EGEE-III INFSO-RI-222667 Enabling Grids for E-sciencE www.eu-egee.org EGEE and gLite are registered trademarks EGEE et la Sécurité Informatique Entités.

Présentation au sujet: "EGEE-III INFSO-RI-222667 Enabling Grids for E-sciencE www.eu-egee.org EGEE and gLite are registered trademarks EGEE et la Sécurité Informatique Entités."— Transcription de la présentation:

1 EGEE-III INFSO-RI-222667 Enabling Grids for E-sciencE www.eu-egee.org EGEE and gLite are registered trademarks EGEE et la Sécurité Informatique Entités concernées et rôles Rolf Rumler, CC-IN2P3 ACP, Paris, 2009-04-02 (basé sur des transparents de Romain Wartel à l’ISGC Taiwan 2008, modifié par David Bouvet lors d’une conférence en Afrique du Sud, Meraka Institute, CSIR campus, Pretoria, 2008)

2 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 2/18 Contenu EGEE, quelques notions « Motivation »… Groupes de Sécurité dans EGEE

3 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 3/18 L’Exploitation à partir d’EGEE-II OCC: Operation Coordination Centre (CERN) 11 ROCs –UKI: United Kingdom and Ireland –FR: France –I: Italy –SWE: South West Europe  Espagne, Portugal –CERN  « Catch-all » (R. p. de Chine, Amérique…) –DECH: Germany and Switzerland –NE: Northern Europe  Belgique, Pays scandinaves et baltes, Pays Bas –R: Russia –CE: Central Europe  Autriche, Croatie, Hongrie, Pologne, R. Tchèque, Slovaquie, Slovénie –SEE: South East Europe  Bulgarie, Chypre, Grèce, Israël, Macédoine, Roumanie, Serbie, Turquie –AP: Asia Pacific  Australie, Corée du Sud, Inde, Japon, Pakistan, Taiwan RC: Resource Centres (>200) RC ROC RC ROC RC ROC OCC RC ROC RC ROC Basé sur une contribution de Pierre Girard

4 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 4/18 Regional Operation Centre: rôle Représentant des sites (“resource centre”, RC) d’un pays / d’une région Assistance aux RC dans la région Coordination du déploiement de l’intergiciel Canal de communication entre site et projet (coordination centrale) Management de la sécurité régionale dans ses aspects grille Monitoring régional Support en cas d’incident et suivi Certification des sites Formation des utilisateurs et des administrateurs des sites RC France Resource Broker / WMS File catalogue RC Italie … Storage VO Basé sur une contribution de Pierre Girard

5 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 5/18 ROC FR: communication Interne –Conférences visio (mensuellement)  Participants français (SA1, NA4, RAG, etc.)  Échange de nouvelles Coordination de l’exploitation Comptes-rendus des réunions EGEE / LCG etc.  Échanges thématiques entre les participants EGEE français Sécurité, autorité de certification, MPI, GGUS… –Listes de diffusion  EGEE SA1-FR  EGEE SECURITE-GRILLE-FR Externe –“SA1 coordination meeting”, conférence téléphonique (toutes les 2 semaines) –“WLCG Weekly operation meeting”  Rapport hebdomadaire sur l’état des sites français  Échanges des informations au niveau international / du projet –“SA1 coordination face to face meeting” (~ 3-4 mois)

6 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 6/18 Motivation…

7 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 7/18 Groupes de Sécurité dans EGEE (initial picture by Ake Edlund)

8 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 8/18 Polices JSPG produit un ensemble de polices de sécurité Projets participants: EGEE, LCG, OSG; DEISA, NDGF, SEE-Grid Les polices suivants ont été approuvés par EGEE (le PEB) et WLCG (le GDB) –Grid Security Policy (= top level policy)  Grid Acceptable Use Policy  Grid Site Operations Policy Site Registration Policy Audit Requirements Policy Grid Security Incident Response Policy Pilot Jobs Policy  VO Security Policy VO Operations Policy User Registration Policy  Approval of Certification Authorities Actuellement une partie de ces documents est en cours de révision

9 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 9/18 Autorités de Certification IGTF (International Grid Trust Federation) est un organisme pour établir des politiques communes et des lignes de conduites entre ses membres, les “Policy Management Authorities (PMAs)”. –PMAs actuelles :  Europe: EUGridPMA  Asia-Pacific: APGridPMA  Amérique Latine, Caraïbes, Amérique du Nord: TAGPMA Dans EGEE il y a la possibilité d’utiliser une AC “catch- all” –France (CNRS) pour toutes les VOs non HEP –CERN pour HEP Voir la présentation précédente pour davantage d’informations.

10 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 10/18 GSVG GSVG (Grid Security Vulnerability Group) est un groupe de travail pour –analyser les failles de sécurité et leur impact au niveau de l’intergiciel (gLite pour EGEE) –pour assurer que toutes les mesures nécessaires sont prises pour éliminer ou contourner le problème Un sous groupe (“RAT” pour Risk Assessment Team) fait l’analyse et donne une estimation de la gravité de la faille Les autres membres du GSVG assurent l’information des instances nécessaires ainsi que le suivi

11 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 11/18 MWSG MWSG (MiddleWare Security Group) est le groupe responsable de l’intégration des besoins de Sécurité dans l’intergiciel Les membres viennent d’EGEE mais aussi d’OSG et d’autres projets grille

12 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 12/18 SCG SCG (Security Coordination Group) est le groupe de coordination de toutes les activités de Sécurité Informatique dans EGEE. Il est composé d’un membre de chacun des autres groupes (2 dans le cas de MWSG).

13 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 13/18 OSCT - Réponse aux incidents Les contacts de sécurité des ROC sont membres de l’Operational Security Coordination Team (OSCT) Coordination des incidents: ROC Security Contact on duty (OSCT-DC)

14 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 14/18 OSCT - Prévention des incidents Activités principales de l’OSCT: –Amélioration de la Réponse aux Incidents  Security service challenges (SSC) SSC1, SSC2, SSC3 http://cern.ch/grid-deployment/ssc/SSC_2/SSC_2_google.html  Canaux de communication pour la RI (listes, “Instant Messaging”)  Scenarios d’incidents et la RI appropriée –Détection d’incident et confinement (monitoring, containment)  Divers outils de monitoring sont disponibles pour les sites  Tests centralisés de sécurité (SAM/NAGIOS) –Prévention des incidents  “Best practice” ex: https://cic.gridops.org/index.php?section=roc&page=securityissues (attention, nécessite un certificat grille chargé dans le browser)https://cic.gridops.org/index.php?section=roc&page=securityissues  Formation

15 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 15/18 Réponse aux incidents - coordination Une grande partie de la réponse aux incidents consiste en la gestion du flux d’information Le rôle du coordinateur est de: –Traiter l’information disponible le plus vite possible et suivre les pistes les plus probables –Fournir des informations correctes aux sites –Contacter les CERTs/CSIRTs pertinents et assurer le suivi avec eux –Détecter des blocages du processus et les éliminer Le but est de: –Comprendre ce qui était le vecteur de l’attaque (point d’entrée) –Assurer le confinement de l’incident –Établir une liste détaillée de ce qui était perdu (exemple: certificats, données) –Prendre les mesures pour éviter la répétition de l’attaque

16 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 16/18 Réponse aux incidents - problèmes Problèmes principaux: –Il est essentiel d’établir la confiance entre les sites et de l’entretenir –Obtenir les informations pertinentes et correctes ainsi que la collaboration de tous les sites potentiellement atteints –Faire face au flux d’information (pour des gros incidents)  A l’occurrence d’un grand incident multi-site le coordinateur avait à traiter plus que 500 mails entrants pendant les cinq premiers jours, avec 280 le troisième –Rediffuser l’information avec un niveau de détails approprié –Éviter les fuites d’information, un problème sérieux.  Leur conséquence peut être un refus des sites de partager les résultats de leurs investigations à l’avenir et de ne plus communiquer des informations sensibles, pourtant nécessaires à l’analyse (exemple: données personnelles)

17 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 17/18 Conclusion Formation et dissémination demandent beaucoup d’effort puisqu’il est généralement difficile d’améliorer les pratiques de sécurité au niveau des sites Des tests (SSC) sont d’une très grande utilité L’expertise de l’OSCT pour gérer des incidents multi-sites augmente Il est (toujours) nécessaire de créer et maintenir la confiance entre les participants Il est essentiel de coopérer et de partager avec les grilles paires (exemple OSG) et avec d’autres partenaires impliqués (exemple NREN)

18 Enabling Grids for E-sciencE EGEE-III INFSO-RI-222667 R. Rumler, Atelier Sécurité Grille, 2009-04-02 18/18 Liens IGTF web site: http://www.igtf.net/ http://www.igtf.net/ OSCT web site: https://twiki.cern.ch/twiki/bin/view/LCG/OSCT https://twiki.cern.ch/twiki/bin/view/LCG/OSCT OSCT web site: http://cern.ch/osct http://cern.ch/osct Incident response guide: https://edms.cern.ch/file/428035/LAST_RELEASED/Inci dent_Response_Guide.pdf https://edms.cern.ch/file/428035/LAST_RELEASED/Inci dent_Response_Guide.pdf