DE112015004562B4 - Kontextbasiertes Cloud-System für die Zusicherung von Sicherheit - Google Patents

Kontextbasiertes Cloud-System für die Zusicherung von Sicherheit Download PDF

Info

Publication number
DE112015004562B4
DE112015004562B4 DE112015004562.7T DE112015004562T DE112015004562B4 DE 112015004562 B4 DE112015004562 B4 DE 112015004562B4 DE 112015004562 T DE112015004562 T DE 112015004562T DE 112015004562 B4 DE112015004562 B4 DE 112015004562B4
Authority
DE
Germany
Prior art keywords
security
assurance
template
cloud application
level
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
DE112015004562.7T
Other languages
English (en)
Other versions
DE112015004562T5 (de
Inventor
Jeffrey Robert Hoy
Nataraj Nagaratnam
Sridhar Muppidi
Sreekanth Ramakrishna Iyer
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of DE112015004562T5 publication Critical patent/DE112015004562T5/de
Application granted granted Critical
Publication of DE112015004562B4 publication Critical patent/DE112015004562B4/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/83—Admission control; Resource allocation based on usage prediction
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/76—Arrangements for rearranging, permuting or selecting data according to predetermined rules, independently of the content of the data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G06Q10/063—Operations research, analysis or management
    • G06Q10/0631—Resource planning, allocation, distributing or scheduling for enterprises or organisations
    • G06Q10/06315—Needs-based resource requirements planning or analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G06Q10/063—Operations research, analysis or management
    • G06Q10/0635—Risk analysis of enterprise or organisation activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/08—Allotting numbers to messages; Counting characters, words or messages
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
    • H04L41/5041—Network service management, e.g. ensuring proper service fulfilment according to agreements characterised by the time relationship between creation and deployment of a service
    • H04L41/5054—Automatic deployment of services triggered by the service manager, e.g. service implementation by automatic configuration of network components
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/78—Architectures of resource allocation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M3/00—Automatic or semi-automatic exchanges
    • H04M3/22—Arrangements for supervision, monitoring or testing
    • H04M3/2254—Arrangements for supervision, monitoring or testing in networks
    • H04M3/2263—Network management

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Debugging And Monitoring (AREA)
  • Stored Programmes (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

Ein Verfahren zum Verbessern eines Cloud-Anwendungsbereitstellungsdienstes, der in einer Cloud-Anwendungsumgebung (402; 822) funktionsfähig ist, wobei das Verfahren aufweist:Empfangen von Informationen über einen in der Cloud-Anwendungsumgebung verfügbaren Satz von Sicherheitsfunktionen, um einen Sicherheitskontext zu definieren, wobei die Sicherheitsfunktionen Ermittlung mindestens eines Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen umfassen;Empfangen einer Auswahl eines Sicherheitszusicherungsniveaus, wobei das Sicherheitszusicherungsniveau in einer Vorlage (602) durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei mindestens eine des Satzes von verallgemeinerten Sicherheitsanforderungen auf eine Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitsressourcenanforderungen, die zum Implementieren des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, wobei die Vorlage eine Schnittstelle umfasst, um den Empfang einer Anweisung zum Einfügen einer Sicherheitsfunktion in eine Anwendung (830) zu ermöglichen, die durch den Cloud-Anwendungsbereitstellungsdienst bereitgestellt wird;für ein gegebenes Sicherheitszusicherungsniveau, Abbilden der mindestens einen des Satzes von verallgemeinerten Sicherheitsanforderungen, die spezifiziert ist, zu der Kennzeichnung des mindestens einen Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen; undals Reaktion auf den Empfang der Auswahl des Sicherheitszusicherungsniveaus, das die Abbildung umfasst, und zumindest teilweise basierend auf dem Sicherheitskontext, Anwenden von Konfigurationsänderungen auf einen Satz von Sicherheitsressourcen in der Cloud-Anwendungsumgebung durch Automatisierung, um eine kontextbasierte Sicherheitszusicherungszone für die vom Cloud-Anwendungsbereitstellungsdienst bereitgestellte Anwendung bereitzustellen, wobei die Konfigurationsänderungen das mindestens eine Sicherheitsprodukt installieren oder seine aktuellen Sicherheitseinstellungen anpassen oder die Sicherheitsfunktion, wie in der Vorlage spezifiziert, erzwingen; wobei die Empfangs- und Konfigurationsschritte in Software durchgeführt werden, die in einem Hardwareelement ausgeführt wird.

Description

  • HINTERGRUND DER ERFINDUNG
  • Technisches Gebiet
  • Die vorliegende Erfindung bezieht sich allgemein auf die Implementierung von Anwendungen in einer „Cloud“-Computing-Umgebung.
  • Hintergrund
  • Cloud-Computing ist ein junges Bereitstellungsmodell für Informationstechnologie (IT), bei dem geteilte Ressourcen, Software und Informationen über das Internet an Computer und andere Geräte auf Anforderung bereitgestellt werden. Cloud-Computing kann IT-Kosten und -Komplexität signifikant reduzieren und gleichzeitig die Optimierung der Auslastung und die Bereitstellung von Diensten verbessern. Mit diesem Ansatz kann eine Anwendungsinstanz von internetbasierten Ressourcen gehostet und verfügbar gemacht werden, auf die mit einem konventionellen Webbrowser über HTTP zugegriffen werden kann. Eine Beispielanwendung könnte etwa eine Auswahl gebräuchlicher Messaging-Funktionen anbieten, wie beispielsweise E-Mail, Kalender, Kontaktmanagement und Instant Messaging. Ein Nutzer würde dann direkt über das Internet auf den Dienst zugreifen. Mit diesem Dienst würde ein Unternehmen seine E-Mail-, Kalender- und / oder Kollaborationsinfrastruktur in der Cloud platzieren und ein Endanwender würde mit einem geeigneten Client auf seine oder ihre E-Mails zugreifen oder einen Kalendervorgang durchführen.
  • Cloud-Computing-Ressourcen befinden sich typischerweise in großen Serverfarmen, auf denen eine oder mehrere Netzwerkanwendungen laufen. Dabei benutzen sie typischerweise eine virtualisierte Architektur, in der Anwendungen innerhalb von virtuellen Servern oder sogenannten „virtuellen Maschinen“ (VMs) ausgeführt werden, die auf physische Server in einem Rechenzentrum abgebildet sind. Die virtuellen Maschinen laufen typischerweise über einem Hypervisor, einem Kontrollprogramm, welches den virtuellen Maschinen physische Ressourcen zuordnet.
  • Es ist aus dem Stand der Technik bekannt, geräte- oder plattformbasierte Lösungen bereitzustellen, die eine schnelle Einführung und Implementierung cloud-basierter Angebote ermöglichen. Cloud-basierte Angebote werden typischerweise in Form von Cloud-Anwendungspaketen implementiert. Ein solches Gerät, das zu diesem Zweck genutzt werden kann, ist IBM® Workload Deployer, der auf der Produktfamilie IBM DataPower® 7199/9005 basiert. Das Gerät wird typischerweise direkt zwischen den von vielen Unternehmen verwendeten Business-Workloads und der darunterliegenden Cloud-Infrastruktur und Plattformkomponenten positioniert. Alternativ können Cloud-Anwendungspakete mithilfe einer Platform-as-a-service-Infrastruktur (PAS) wie der offenen Cloud-Management-Plattform IBM® SmartCloud® Orchestrator implementiert werden. Eine Management-Plattform dieses Typs umfasst typischerweise mehrere Schichten, darunter eine Infrastrukturdiensteschicht für die Vorhaltung, Konfiguration und Verwaltung von Speicher, Computing- und Netzwerkressourcen, eine Plattformdiensteschicht sowie eine Orchestrierungsdiensteschicht zur Bereitstellung von Verwaltungsfunktionen für Geschäftsprozesse. Die Plattformdiensteschicht enthält Funktionen für das Lebenszyklusmanagement von Images von virtuellen Maschinen sowie Musterdienste, wobei ein „Muster“ Implementierungs- und Verwaltungsbefehle für den Business-Dienst bereitstellt. Ein Muster ist vorzugsweise eine XML-basierte Definition einer Infrastrukturkonfiguration, die benötigt wird, um die verschiedenen für einen bestimmten Anwendungs-Workload (oder einen bestimmten Anwendungstyp) benötigten Ressourcen (z.B. Rechner-, Netzwerk- oder Speicherkapazität, Betriebssysteme, Middleware usw.) vorzuhalten und zu verwalten.
  • Implementierungen von Sicherheitssoftware werden immer komplexer, weshalb Anwendungsentwickler zunehmend vom Innenleben der Sicherheitsumgebung entfernt werden. Als Folge davon werden Sicherheitsarbeiten oft den Sicherheitsexperten überlassen. Die Entwicklung hin zu Virtualisierung und Private Clouds gibt Anwendungsentwicklern jedoch immer mehr operative Fähigkeiten. Anwendungsentwickler geraten hierdurch in eine schwierige Lage. Besonders bei der Produktionseinführung einer Anwendung kann es vorkommen, dass dem Entwickler der nötige Hintergrund und Kontext fehlt, um die Sicherheitsauswirkungen und -anforderungen seiner oder ihrer Anwendung korrekt beurteilen zu können. Anwendungsentwickler arbeiten heute oft mit Sicherheitsexperten zusammen, um eine Strategie zur sicheren Anwendungsimplementierung zu entwickeln. Der Sicherheitsexperte wiederum kann mit demselben Problem konfrontiert sein, nur aus der anderen Richtung. Durch die zunehmende Komplexität und Virtualisierung von Anwendungen und Middleware kann es vorkommen, dass der Sicherheitsexperte die Anwendung nicht mehr in ausreichendem Umfang versteht, um ihre Sicherheitsauswirkungen und - anforderungen korrekt beurteilen zu können.
  • Es gibt also einen Bedarf, diese Wissenslücke zwischen Anwendungsentwicklern und Sicherheitsexperten zu schließen und die reibungslose und zuverlässige Implementierung neuer cloud-basierter Anwendungen zu erleichtern.
  • Die US 2014/ 0 196 113 A1 betrifft ein sicheres bedarfsabhängiges Zuleitungsverfahren. Das Verfahren umfasst: Bestimmen eines Konfigurationsparameters eines Sicherheitsfunktionsmoduls gemäß einem Sicherheitsniveau, das durch einen Benutzer für einen angefragten Verkehr eingestellt wird, wobei ein Anwendungsszenario eines Benutzerendgerätes einen Standort des Benutzerendgerätes und eine Art eines Zugangsnetzwerks umfasst, und einer Verkehrsart, wobei die Verkehrsart durch eine Verkehrskennung definiert wird, wobei die Verkehrskennung für den Verkehr zu dem Zeitpunkt des Ausführens eines Dienstgüte-(QoS - Quality of Service)Prioritätsschutzes an dem Verkehr eingestellt wird und die Verkehrskennung durch einen Diffserv-Verkehrsrahmen umgesetzt wird, unter Verwendung des Diffserv-Verkehrsrahmens, wobei jede QoS-Eigenschaft einen entsprechenden abgebildeten Feldwert in einem DSCP-(Differential Services Code Point)Feld eines IP-Daten-Headers aufweist, wobei unterschiedliche Feldwerte unterschiedliche die Verkehrsgranularität differenzierende Kennungen darstellen, die unterschiedliche Verkehrsdaten-Übertragungsprioritäten aufweisen, Konfigurieren des Sicherheitsfunktionsmoduls gemäß dem Konfigurationsparameter und Schützen der Sicherheit von Verkehrsdaten des Benutzers durch das Sicherheitsfunktionsmodul.
  • Die US 2008 / 0 196 002 A1 betrifft ein regelbasiertes Überwachungs-Framework, das eine vereinfachte GUI-gesteuerte und vorlagenbasierte Methode zur Spezifikation und Generierung von Überwachungsregeln bietet. Die automatisch generierten Regeln können direkt eingesetzt oder weiter modifiziert werden, insbesondere durch die Kombination mehrerer Vorlagen. Die Änderung kann in zwei verschiedenen Ansichten der Regel erfolgen: der Codeansicht und der Vorlagenansicht. Die Ansichten können während des Modifikations- /Generierungsprozesses jederzeit geändert werden. Testdaten und Regeldokumentation für die generierte Regel können automatisch aus den GUIgesteuerten Eingabedaten erzeugt werden.
  • Die US 2013 / 0 291 052 A1 betrifft ein System zur Implementierung einer gesicherten Cloud-Umgebung, das den Entwurf und die Instanziierung einer Sicherheitsrichtlinie auf der Infrastrukturebene ermöglicht. Ein beispielhaftes System kann ein erstes Modul umfassen, das die Auswahl von mindestens zwei Cloud-Computing-Komponentenvorlagen aus einem Cloud-Computing-Komponentenkatalog unterstützt. Das System kann ein zweites Modul umfassen, um die Definition einer Verbindung zwischen den mindestens zwei ausgewählten Cloud-Computing-Komponentenvorlagen zu unterstützen. Das System kann ein drittes Modul umfassen, um die Zuweisung einer Sicherheitsstufe und einer Richtlinie zu mindestens einer der mindestens zwei ausgewählten Cloud-Computing-Komponentenvorlagen zu unterstützen. Das System kann ein viertes Modul umfassen, um die Erstellung eines Cloud-Computing-Komponentenentwurfs zu unterstützen.
  • Die US 2014 / 0 075 499 A1 betrifft ein Framework für die Handhabung einer sicheren Interaktion zwischen Komponenten in einem Cloud-Infrastruktursystem, die während der Bearbeitung der Abonnementbestellung eines Kunden Informationen untereinander übertragen möchten. Das Framework ordnet die Sicherheitszonen der Komponenten auf der Grundlage von Sicherheitsstufen und schützt die Übertragung von Informationen zwischen Komponenten in Sicherheitszonen mit unterschiedlichen Sicherheitsstufen. Die Zuordnung einer Komponente zu einer Sicherheitszone basiert auf der Sensibilität der von den Komponenten verarbeiteten Daten, der Sensibilität der von der Komponente ausgeführten Funktionen und dergleichen.
  • ZUSAMMENFASSUNG
  • Der Erfindung liegt die Aufgabe zugrunde ein ressourceneffizientes Verfahren, ein ressourceneffizientes Computerprogrammprodukt und eine ressourceneffiziente Vorrichtung zum Verbessern eines Cloud-Anwendungsbereitstellungsdienstes zu schaffen, der in einer Cloud-Anwendungsumgebung funktionsfähig ist. Diese Aufgabe wurde durch die Merkmale der unabhängigen Ansprüche gelöst. Die Ausführungsformen wurden in abhängigen Patentansprüchen angegeben.
  • Gemäß dieser Offenbarung wird eine Cloud-Infrastruktur durch Bereitstellung eines „kontextbasierten Dienstes für die Zusicherung von Sicherheit“ erweitert, um eine sichere Anwendungsimplementierung z.B. durch Anwendungsentwickler zu ermöglichen, ohne dass diese über fundierte Kenntnisse im Bereich Sicherheit oder Detailwissen über die zugrundeliegenden Sicherheitsmechanismen verfügen müssen, auf denen ihre Anwendungen ausgeführt werden könnten. Der Zusicherungsdienst arbeitet allgemein in Verbindung mit einer Cloud-Anwendungsplattform, die einen Mechanismus zur Anwendungsimplementierung enthält. Der Dienst untersucht Netzwerk- und Cloud-Topologien, um potenziell verfügbare und benötigte Sicherheitsfunktionen (z.B. virtualisierte DMZ, IPS, Ressourcenisolation usw.) zu ermitteln. Vorzugsweise werden diese Optionen daraufhin mit leicht verständlichen, vorkonfigurierten Vorlagen, die Sicherheitszusicherungsstufen darstellen, dem Nutzer angezeigt. Wenn eine Vorlage (die z.B. eine vorkonfigurierte Zusicherungsstufe darstellt) durch den Nutzer ausgewählt wird, aktiviert das System daraufhin bestimmte Funktionen und Steuerelemente, um die vom Nutzer ausgewählte verallgemeinerte Vorgabe (z.B. „hohe Sicherheit“) in granuläre Bedingungen für eine bestimmte Gruppe von Sicherheitsressourcen zu übersetzen. Vorzugsweise basiert die Ermittlung dieser Sicherheitsressourcen auf der Systemkonfiguration und -verwaltung sowie auf mit der vorkonfigurierten Vorgabe zusammenhängenden Informationen. Typischerweise nehmen die implementierten Sicherheitsressourcen (hinsichtlich einer bestimmten, vom Nutzer ausgewählten Lösung) mit der Zusicherungsstufe zu.
  • Aufgrund der ausgewählten Vorlage(n), und vorzugsweise während der Anwendungsimplementierung, wird somit eine Gruppe von Änderungen an der Sicherheitskonfiguration auf eine bestehende Anwendungsausführungsumgebung angewendet, um einen „kontextbasierten“, sicheren Cloud-Anwendungs-„bereich“ zu erzeugen. Nach der Definition dieses Cloud-Anwendungsbereichs wird die Anwendungsimplementierung abgeschlossen und der Bereich bietet einen aktiven Schutz für die Anwendung. Durch diesen Ansatz ist der aktive Schutz durch den Anwendungsbereich spezifisch für den Sicherheitskontext, jedoch setzt er, wie oben ausgeführt, kein Detailwissen der implementierenden Person über die zugrundeliegende Sicherheitsinfrastruktur voraus.
  • Die vorstehende Ausführung enthält einige der relevanteren Merkmale des Offenbarungsgegenstands. Diese Merkmale sind lediglich als Erläuterungen auszulegen. Viele andere vorteilhafte Ergebnisse können erzielt werden, indem der Offenbarungsgegenstand auf andere Weise angewendet wird oder die nachfolgend beschriebene Erfindung modifiziert wird.
  • Figurenliste
  • Ausführungsform(en) der Erfindung werden nun, lediglich beispielhalber, mit Verweis auf die begleitenden Zeichnungen beschrieben, von denen:
    • 1 ein beispielhaftes Blockdiagramm einer verteilten Datenverarbeitungsumgebung zeigt, in der beispielhafte Aspekte der zur Erläuterung dienenden Ausführungsformen implementiert sein können;
    • 2 ein beispielhaftes Blockdiagramm eines Datenverarbeitungssystems ist, in dem beispielhafte Aspekte der veranschaulichenden Ausführungsformen implementiert sein können;
    • 3 eine beispielhafte Cloud-Computing-Architektur darstellt, in der der Offenbarungsgegenstand implementiert sein kann;
    • 4 eine beispielhafte Betriebsumgebung darstellt, in der ein netzwerkbasiertes Gerät verwendet werden kann, um die Implementierung eines oder mehrerer cloud-basierter Angebote zu erleichtern;
    • 5 typische Funktionskomponenten des netzwerkbasierten Gerätes darstellt;
    • 6 ein Blockdiagramm der grundlegenden Betriebskomponenten des Sicherheitszusicherungsdienstes dieser Offenbarung zeigt;
    • 7 eine typische Anzeigeseite der Sicherheitsverwaltungsschnittstellen-Komponente des Sicherheitszusicherungsdienstes zeigt;
    • 8 veranschaulicht, wie der Sicherheitszusicherungsdienst in Verbindung mit einer Cloud-Anwendungsplattform verwendet werden kann, um die Erstellung eines kontextbasierten Cloud-Anwendungs-Sicherheitsbereichs gemäß dieser Offenbarung zu ermöglichen.
  • DETAILBESCHREIBUNG
  • Mit Verweis auf die Zeichnungen, insbesondere 1 - 2, werden nun beispielhafte Diagramme von Datenverarbeitungsumgebungen vorgelegt, in denen zur Erläuterung dienende Ausführungsformen der Offenbarung implementiert werden könnten. Es sollte sich verstehen, dass die 1 - 2 bloß beispielhaft sind und nicht dazu gedacht sind, irgendeine ausdrückliche oder stillschweigende Einschränkung hinsichtlich der Umgebungen vorzunehmen, in denen Aspekte oder Ausführungsformen des Offenbarungsgegenstands implementiert werden könnten. An den gezeigten Umgebungen können viele Modifikationen vorgenommen werden, ohne den Geist und Umfang der vorliegenden Erfindung zu verlassen.
  • Client-Server-Technologien
  • Es wird nun Bezug auf die Zeichnungen genommen. 1 zeigt eine bildliche Darstellung eines beispielhaften verteilten Datenverarbeitungssystems, in dem Aspekte der erläuternden Ausführungsformen implementiert sein können. Das verteilte Datenverarbeitungssystem 100 kann ein Netzwerk von Computern beinhalten, worin Aspekte der erläuternden Ausführungsformen implementiert sein können. Das verteilte Datenverarbeitungssystem 100 enthält zumindest ein Netzwerk 102, welches das Medium ist, das zum Bereitstellen von Kommunikationsverbindungen zwischen verschiedenen innerhalb des verteilten Datenverarbeitungssystems 100 miteinander verbundenen Geräten und Computern verwendet wird. Das Netzwerk 102 kann Verbindungen aufweisen, wie beispielsweise Kabel, drahtlose Kommunikationsverbindungen oder faseroptische Kabel.
  • In dem gezeigten Beispiel sind der Server 104 und der Server 106 zusammen mit der Speichereinheit 108 mit dem Netzwerk 102 verbunden. Außerdem sind die Clients 110, 112 und 114 mit dem Netzwerk 102 verbunden. Diese Clients 110, 112 und 114 können zum Beispiel Personalcomputer, Nerzwerkcomputer oder dergleichen sein. In dem gezeigten Beispiel stellt der Server 104 den Clients 110, 112 und 114 Daten wie beispielsweise Startdateien, Betriebssystem-Images und Anwendungen bereit. Die Clients 110, 112 und 114 sind in dem gezeigten Beispiel Clients des Servers 104. Das verteilte Datenverarbeitungssystem 100 kann weitere, nicht gezeigte Server, Clients sowie andere Geräte aufweisen.
  • In dem gezeigten Beispiel ist das verteilte Datenverarbeitungssystem 100 das Internet, wobei das Netzwerk 102 für eine weltweite Sammlung von Netzwerken und Gateways steht, die die Transmission Control Protocol/Internet Protocol-(TCP/IP-) Protokollsuite verwenden, um miteinander zu kommunizieren. Das Herz des Internets bildet ein Basisnetz aus Hochgeschwindigkeits-Datenkommunikationsleitungen zwischen Hauptknoten oder -Hostrechnern, welche tausende kommerzieller, staatlicher, bildungs- uns sonstiger Computersysteme umfasst, die Daten und Nachrichten weiterleiten. Natürlich kann das verteilte Datenverarbeitungssystem 100 auch so implementiert sein, dass es mehrere verschiedene Netzwerktypen umfasst, wie beispielsweise ein Intranet, ein lokales Datennetz (LAN), ein Weitverkehrsnetz (WAN) oder dergleichen. Wie oben ausgeführt ist 1 als Beispiel gedacht, nicht als Einschränkung verschiedener Ausführungsformen des Offenbarungsgegenstandes auf eine bestimmte Architektur. Deshalb darf die in 1 gezeigte Auswahl von Elemente nicht als Beschränkung bezüglich der Umgebungen betrachtet werden, in denen die erläuternden Ausführungsformen der vorliegenden Erfindung implementiert werden könnten.
  • Mit Bezug auf 2 ist nun ein Blockdiagramm eines beispielhaften Datenverarbeitungssystems gezeigt, in welchem Aspekte der erläuternden Ausführungsformen implementiert werden könnten. Das Datenverarbeitungssystem 200 ist ein Beispiel für einen Computer, so wie der Server 104 oder der Client 110 in 1, in denen sich durch einen Computer nutzbarer Programmcode oder Anweisungen befinden können, die die Prozesse für die erläuternden Ausführungsformen implementieren.
  • Mit Bezug auf 2 ist nun ein Blockdiagramm eines Datenverarbeitungssystems gezeigt, in welchem erläuternde Ausführungsformen implementiert werden könnten. Das Datenverarbeitungssystem 200 ist ein Beispiel für einen Computer, so wie der Server 104 oder der Client 110 in 1, in denen sich für die erläuternden Ausführungsformen durch einen Computer nutzbarer Programmcode oder Anweisungen befinden können, die die Prozesse implementieren. In diesem erläuternden Beispiel zählt zu dem Datenverarbeitungssystem 200 ein Kommunikations-Fabric 202, welches Kommunikation zwischen der Prozessoreinheit 204, dem Speicher 206, dem Festspeicher 208, der Kommunikationseinheit 210, der Ein-/Ausgabe- (I/O-) Einheit 212 und der Anzeigevorrichtung 214 bereitstellt.
  • Die Prozessoreinheit 204 dient der Ausführung von Anweisungen für Software, die in den Speicher 206 geladen werden kann. Die Prozessoreinheit 204 kann, abhängig von der spezifischen Implementierung, eine Gruppe von einem oder mehreren Prozessoren oder ein Multi-Prozessor-Kern sein. Weiterhin kann die Prozessoreinheit 204 mittels einem oder mehreren heterogenen Prozessorsystemen implementiert sein, in denen ein Hauptprozessor mit Sekundärprozessoren auf einem einzelnen Chip vorhanden ist. Als ein weiteres erläuterndes Beispiel kann die Prozessoreinheit 204 ein symmetrisches Multiprozessor-(SMP-)System sein, welches mehrere Prozessoren desselben Typs enthält.
  • Der Speicher 206 und der Festspeicher 208 sind Beispiele für Speichervorrichtungen. Eine Speichervorrichtung ist eine beliebige Hardwarekomponente, die in der Lage ist, Informationen entweder zeitweise und/oder permanent zu speichern. In diesen Beispielen kann der Speicher 206 beispielsweise ein Direktzugriffsspeicher oder eine beliebige andere geeignete flüchte oder nicht flüchtige Speichervorrichtung sein. Der Festspeicher 208 kann je nach spezifischer Implementierung eine Vielzahl von Formen annehmen. Zum Beispiel kann der Festspeicher 208 eine oder mehrere Komponenten oder Geräte enthalten. Der Festspeicher 208 kann beispielsweise eine Festplatte, ein Flashspeicher, eine wiederbeschreibbare optische Disk, ein wiederbeschreibbares Magnetband oder irgendeine Kombination davon sein. Die von dem Festspeicher 208 verwendeten Medien können auch wechselbar sein, es kann zum Beispiel eine Wechselfestplatte als Festspeicher 208 verwendet werden.
  • Die Kommunikationseinheit 210 stellt in diesen Beispielen die Kommunikation mit anderen Datenverarbeitungssystemen oder -geräten bereit. In diesen Beispielen ist die die Kommunikationseinheit 210 eine Netzwerkschnittstellenkarte. Die Kommunikationseinheit 210 kann Kommunikation durch Verwendung von physischen und/oder drahtlosen Kommunikationsverbindungen bereitstellen.
  • Die Ein-/Ausgabeeinheit 212 ermöglicht die Ein-/Ausgabe von Daten mit anderen Geräten, die mit dem Datenverarbeitungssystem 200 verbunden werden können. Zum Beispiel kann die Ein-/Ausgabeeinheit 212 eine Verbindung für Benutzereingaben über eine Tastatur und Maus bereitstellen. Die Ein-/Ausgabeeinheit 212 kann außerdem eine Ausgabe an einen Drucker senden. Die Anzeigevorrichtung 214 stellt einen Mechanismus bereit, um einem Nutzer Informationen anzuzeigen.
  • Anweisungen für das Betriebssystem und Anwendungen oder Programme befinden sich auf dem Festspeicher 208. Diese Anweisungen können zur Ausführung durch die Prozessoreinheit 204 in den Speicher 206 geladen werden. Die Verfahren der verschiedenen Ausführungsformen können durch die Prozessoreinheit 204 unter Verwendung von computerimplementierten Anweisungen durchgeführt werden, die sich in einem Speicher wie beispielsweise dem Speicher 206 befinden können. Diese Anweisungen werden als Programmcode, durch einen Computer verwendbarer Programmcode oder computerlesbarer Programmcode bezeichnet, der durch einen Prozessor in der Prozessoreinheit 204 gelesen und ausgeführt werden kann. Der Programmcode in den verschiedenen Ausführungsformen kann auf verschiedenen physischen oder materiellen computerlesbaren Medien wie zum Beispiel dem Speicher 206 oder dem Festspeicher 208 enthalten sein.
  • Der Programmcode 216 befindet sich in funktioneller Form auf computerlesebaren Medien 218, die wahlweise wechselbar sind, und kann zur Ausführung durch die Prozessoreinheit 204 auf das Datenverarbeitungssystem 200 geladen oder an dieses übertragen werden. Der Programmcode 216 und die computerlesebaren Medien 218 bilden in diesen Beispielen ein Computerprogrammprodukt 220. In einem Beispiel können die computerlesebaren Medien 218 in materieller Form vorliegen, beispielsweise als optische oder magnetische Disk, die zur Datenübertragung auf eine Speichervorrichtung, z. B. eine Festplatte, die Teil des Festspeichers 208 ist, in ein Laufwerk oder ein anderes Gerät eingelegt oder platziert werden kann, welches Teil des Festspeichers 208 ist. In materieller Form können die computerlesebaren Medien 218 auch in Form eines Festspeichers vorliegen, beispielsweise als Festplatte, USB-Stick oder FlashSpeicher, der mit dem Datenverarbeitungssystem 200 verbinden ist. Die materielle Form computerlesebarer Medien 218 bezeichnet auch von einem Computersystem beschreibbare Medien. In manchen Beispielen können die von einem Computer beschreibbaren Medien 218 nicht wechselbar sein.
  • Alternativ kann der Programmcode 216 von den computerlesebaren Medien 218 über eine Kommunikationsverbindung mit der Kommunikationseinheit 210 und/oder durch eine Verbindung mit der Ein-/Ausgabeeinheit 212 an das Datenverarbeitungssystem 200 übertragen werden. Die Kommunikationsverbindung und/oder die Verbindung kann in den erläuternden Beispielen direktleitend oder drahtlos sein. Die computerlesebarer Medien können auch in Form von immateriellen Medien vorliegen, wie beispielsweise Kommunikationsverbindungen oder drahtlose Übertragungen, die den Programmcode aufweisen. Die verschiedenen für das Datenverarbeitungssystem 200 gezeigten Komponenten sind nicht als Einschränkungen hinsichtlich der Architekturen gedacht, in denen verschiedene Ausführungsformen implementiert sein könnten. Die verschiedenen erläuternden Ausführungsformen können in einem Datenverarbeitungssystem implementiert sein, zu dem Komponenten gehören, die die für das Datenverarbeitungssystem 200 gezeigten ergänzen oder ersetzen. Andere in 2 gezeigte Komponenten können von den gezeigten erläuternden Beispielen abweichen. En Beispiel ist eine Speichervorrichtung in dem Datenverarbeitungssystem 200 eine beliebige Hardware-Apparatur, die Daten Speichern kann. Der Speicher 206, der Festspeicher 208 und die computerlesbaren Medien 218 sind Beispiele für Speichervorrichtungen in materieller Form.
  • In einem anderen Beispiel kann ein Bussystem zur Implementierung des Kommunikations-Fabrics 202 verwendet werden. Dieses kann einen oder mehrere Busse wie zum Beispiel einen Systembus oder einen Ein-/Ausgabebus aufweisen. Natürlich kann das Bussystem mit jedem beliebigen Architekturtyp implementiert werden, der eine Datenübertragung zwischen verschiedenen an das Bussystem angeschlossenen Komponenten oder Geräten bereitstellt. Außerdem können zu einer Kommunikationseinheit ein oder mehrere Geräte gehören, die zum Senden oder Empfangen von Daten verwendet werden, wie zum Beispiel ein Modem oder ein Netzwerkadapter. Weiterhin kann ein Speicher zum Beispiel der Speicher 206 oder ein Cash sein, wie dieser in einem Schnittstellen-und-Speicher-Controller-Hub üblich ist, der in dem Kommunikations-Fabric 202 vorhanden sein könnte.
  • Computerprogrammcode zur Durchführung von Arbeitsabläufen der vorliegenden Erfindung kann in einer beliebigen Kombination einer oder mehrerer Programmiersprachen geschrieben sein, einschließlich objektorientierter Programmiersprachen wie JAVA™, Smalltalk, C++, C#, Objektive-C oder dergleichen, sowie konventioneller prozeduraler Programmiersprachen. Der Programmcode kann vollständig oder teilweise auf dem Computer des Nutzers, als alleinstehendes Softwarepaket, teilweise auf dem Computer des Nutzers und teilweise auf einem entfernten Computer oder vollständig auf dem entfernten Computer oder Server ausgeführt werden. In letzerem Szenario kann der entfernte Computer mit dem Computer des Nutzers durch ein Netzwerk beliebigen Typs verbunden sein, einschließlich ein lokales Netzwerk (LAN) oder eine Weitverkehrsnetz (WAN) oder die Verbindung kann mit einem externen Computer hergestellt werden (z. B. über das Internet mithilfe eines Internetserviceproviders).
  • Es versteht sich für einen Durchschnittsfachmann, dass die Hardware in 1 und 2 je nach Implementierung variieren kann. Andere interne Hardware oder Peripheriegeräte wie Flashspeicher, äquivalenter nichtflüchtiger Speicher oder optische Disk-Laufwerke und dergleichen können zusätzlich zu oder anstelle von der in 1 bis 2 gezeigten Hardware verwendet werden. Die Prozesse der erläuternden Ausführungsformen können auch auf ein Multiprozessor-Datenverarbeitungssystem angewendet werden, dass sich von dem zuvor erwähnten FMP-System unterscheidet, ohne das dadurch der Geist und Umfang des Offenbarungsgegenstandes verlassen wird.
  • Wie nachstehend ausgeführt wird, können die hierin beschriebenen Techniken in Verbindung mit dem Standard-Client-Server-Paradigma wie dem in 1 dargestellten ausgeführt werden, in dem Client-Maschinen mit einem über das Internet zugreifbaren, webbasierten Portal kommunizieren, welches aus einer Gruppe von einer oder mehreren Maschinen ausgeführt wird. Endnutzer betreiben internetfähige Geräte (z. B. Desktop-Computer, Notebook-Computer, internetfähige mobile Geräte und dergleichen), die zum Zugriff und zu Interaktionen mit dem Portal fähig sind. Typischerweise ist jede Client- oder Server-Maschine ein Datenverarbeitungssystem, wie das in 2 gezeigte, das Hard- und Software aufweist. Diese Einheiten kommunizieren über ein Netzwerk miteinander, wie z. b. das Internet, ein Intranet, ein Extranet, ein privates Netzwerk oder ein(e) beliebig(s) andere(s) Kommunikationsmedium oder -verbindung. Ein Datenverarbeitungssystem enthält typischerweise einen oder mehrere Prozessoren, ein Betriebssystem, eine oder mehrere Anwendungen sowie ein oder mehrere Utilities. Die Anwendungen auf dem DVS stellen native Unterstützung für Webdienste bereit einschließlich, ohne Einschränkung, Unterstützung für HTTP, SOAP, XML, WSDL, UDDI und WSSL, neben anderen. Informationen bezüglich SOAP, WSDL, UDDI und WSSL sind über das World Wide Web Consortium (W3C) verfügbar, welches für die Entwicklung und Unterhaltung dieser Standards verantwortlich ist. Weitere Informationen über HTTP und XML sind über die Internet Engineering Task Force (IETF). Vertrautheit mit diesem Standard wird vorausgesetzt.
  • Cloud-Computing-Modell
  • Cloud-Computing ist ein Bereitstellungsmodell für Dienste zur Ermöglichung eines komfortablen, bedarfsbasierten Netzwerkzugriffs auf einen geteilten Pool konfigurierbarer Computing-Ressourcen (z. B. Netzwerke, Netzwerkbandbreite, Server, Verarbeitung, Speicher, Archivierung, Anwendungen, virtuelle Maschinen und Dienste), die mit minimalem Verwaltungsaufwand oder Eingriff durch einen Anbieter des Dienstes schnell vorgehalten und freigegeben werden können. Wie in „Draft NIST Definition of Cloud Computing" von Peter Meli und Tim Grance vom 7. Oktober 2009 genauer beschrieben und definiert, kann dieses Cloud-Modell mindestens fünf Charakteristiken, mindestens drei Service-Modelle und mindestens vier Bereitstellungsmodelle enthalten.
  • Typische Charakteristiken sind insbesondere die folgenden:
    • Bedarfsweise Selbstbedienung: Ein Cloud-Verbraucher kann einseitig Computing-Ressourcen im benötigten Umfang automatisch vorhalten, wie beispielsweise Serverzeit und Netzwerkspeicher, ohne dass hierfür persönliche Interaktion mit dem Dienstanbieter erforderlich ist.
    • Breiter Netzwerkzugriff: Ressourcen sind über ein Netzwerk verfügbar und der Zugriff auf diese erfolgt durch Standardmechanismen, die eine Verbindung durch heterogene Thin-Client- oder Thick-Client-Plattformen begünstigen (z. B.
    • Mobiltelefone, Laptops und PDAs).
    • Ressourcen-Pooling: Die Computing-Ressourcen des Anbieters werden zusammengelegt, um mehrere Verbraucher mit Hilfe eines Mandantenmodells zu bedienen, bei dem verschiedene physische und virtuelle Ressourcen bedarfsweise zugewiesen und neu zugewiesen werden. Eine gewisse Ortsunabhängigkeit besteht dadurch, dass der Verbraucher grundsätzlich keine Einflussmöglichkeit oder
    • Kenntnis bezüglich des genauen Ortes der bereitgestellten Ressourcen besitzt, er kann jedoch die Möglichkeit haben, einen Ort auf einem höheren Abstraktionsniveau anzugeben (Land, Bundesland oder Datenzentrum).
    • Schnelle Elastizität: Ressourcen könne, in manchen Fällen automatisch, schnell und
    • elastisch vorgehalten werden, um schnell auswärts zu skalieren, und schnell freigegeben werden, um schnell einwärts zu skalieren. Die zur Vorhaltung zur Verfügung stehenden Ressourcen erscheinen dem Verbraucher oft unbegrenzt und
    • können jederzeit in beliebiger Menge eingekauft werden.
    • Bemessener Dienst: Cloud-Systeme steuern und optimieren automatisch den Ressourcenverbrauch, indem sie auf einem zur Art des Dienstes (z. B. Archivierung, Verarbeitung, Bandbreite und aktive Nutzerkonten) passenden Abstraktionsniveau eine Messfunktion einsetzen. Der Ressourcenverbrauch kann überwacht, gesteuert und protokolliert werden, was sowohl dem Anbieter als auch dem Verbraucher des genutzten Dienstes Transparenz bietet.
  • Die Dienstmodelle sind typischerweise wie folgt:
    • Software as a Service (SaaS): Die dem Verbraucher bereitgestellte Funktion besteht darin, die Anwendungen des Anbieters auf einer Cloud-Infrastruktur ausgeführt zu verwenden. Die Anwendungen sind von vielen Client-Geräten aus über eine Thin-Client-Schnittstelle wie einen Web-Browser zugänglich (z. B. webbasiertes E-Mailing). Der Verbraucher hat keine Möglichkeit zur Verwaltung oder Steuerung der zugrundeliegenden Cloud-Infrastruktur einschließlich Netzwerk, Server, Betriebssysteme, Speicher oder sogar individuelle Anwendungsfunktionen, mit der möglichen Ausnahme begrenzter nutzerspezifischer Konfigurationseinstellungen der Anwendung.
    • Platform as a Service (PaaS): Die dem Verbraucher bereitgestellte Funktion besteht darin, Anwendungen auf der Cloud-Infrastruktur zum Einsatz zu bringen, die von diesem mit vom Anbieter zur Verfügung gestellten Programmiersprachen und Werkzeugen erstellt oder erworben wurden. Der Verbraucher hat keine Möglichkeit, die zugrundeliegende Cloud-Infrastruktur einschließlich Netzwerk, Servern,
    • Betriebssystemen oder Speicher zu verwalten oder zu steuern, er hat jedoch Kontrolle über die nutzbargemachten Anwendungen und eventuell auch Konfigurationen Anwendung-Hosting-Umgebung.
    • Infrastructure as a Service (laaS): Die dem Verbraucher bereitgestellte Funktion besteht darin, Verarbeitung, Archivierung, Netzwerke und andere grundlegende Computing-Ressourcen vorzuhalten, wobei der Verbraucher in der Lage ist beliebige Software anzugbieten und auszugführen, zu der Betriebssysteme und Anwendungen zählen können. Der Verbraucher hat keine Möglichkeiten zur Verwaltung oder
    • Steuerung der zugrundeliegenden Cloud-Infrastruktur, er hat jedoch Kontrolle über Betriebssysteme, Speicher, nutzbargemachten Anwendungen und eventuell eingeschränkte Kontrolle über ausgewählte Netzwerkkomponenten (z.B. Host-Firewalls).
  • Die Bereitstellungsmodelle sind typischerweise wie folgt:
    • Private Cloud: Die Cloud-Infrastruktur wird nur für eine Organisation betrieben. Sie kann von der Organisation oder einer dritten Partei verwaltet werden und innerhalb oder außerhalb der Geschäftsräume existieren.
    • Community Cloud: Die Cloud-Infrastruktur wird von verschiedenen Organisation geteilt und unterstützt eine bestimmte Gemeinschaft mit gemeinsamen Interessen (z. B. Aufgabe, Sicherheitsanforderungen, Politik und Compliance-Überlegungen). Sie kann von den Organisationen oder einer dritten Partei verwaltet werden und kann innerhalb oder außerhalb der Geschäftsräume existieren.
    • Public Cloud: Die Cloud-Infrastruktur wird der allgemeinen Öffentlichkeit oder einer großen Branchengruppe verfügbar gemacht und gehört einer Organisation, die Cloud-Dienste verkauft.
    • Hybrid Cloud: Die Cloud-Infrastruktur ist aus zwei oder mehreren Clouds (Private, Community oder Public) zusammengesetzt, die selbständige Einheiten bleiben, aber durch standardisierte oder proprietäre Technologie miteinander verbunden sind, die eine Portabilität von Daten und Anwendungen ermöglicht (z. B. Cloud-Bursting zur Lastverteilung zwischen Clouds).
  • Eine Cloud-Computing-Umgebung ist dienstorientiert mit einem Schwerpunkt auf Zustandslosigkeit, niedrige Kopplung, Modularität und semantische Interoperabilität, Im Zentrum des steht eine Infrastruktur, die ein Netzwerk aus miteinander verbundenen Knoten aufweist. Ein Cloud-Computing-Knoten ist typischerweise wie der in 2 oben gezeigte. Insbesondere gibt es in einem Cloud-Computing-Knoten ein Computersystem/Server, der mit zahlreichen anderen universellen oder speziellen Umgebungen oder Konfigurationen von Rechnersystemen betrieben werden kann. Zu Beispielen bekannter Computersysteme, Umgebungen und/oder Konfigurationen, die zur Verwendung mit Computersystem/Server geeignet sein könnten, zählen, ohne Einschränkung auf diese, Personalcomputersysteme, Server-Computersysteme, Thin-Clients, Thick-Clients, tragbare Geräte oder Laptop, Multi-Prozessor-Systeme, mikroprozessorbasierte Systeme, Digitalempfänger, programmierbare Verbraucherelektronik, Netzwerk-PCs, Minicomputersysteme, MainFrame-Computersysteme, sowie verteilte Cloud-Computing-Umgebungen zu denen beliebige der vorgenannten Systeme oder Geräte gehören, und dergleichen. Computersystem/Server kann im allgemeinen Kontext von durch Computersysteme ausführbaren Anweisungen, wie etwa Programm-Modulen, die durch ein Computersystem ausgeführt werden, beschrieben werden. Allgemein können zu Programmmodulen, Routinen, Programme, Objekten, Komponenten, Logik, Datenstrukturen usw. zählen, die bestimmte Aufgaben erfüllen oder bestimmte abstrakte Datentypen implementieren. Computersystem/Server kann in verteilten Cloud-Computing-Umgebungen betrieben werden, in denen Aufgaben durch entfernte Verarbeitungsvorrichtungen durchgeführt werden, die durch ein Kommunikationsnetzwerk miteinander verbunden sind. In einer verteilten Cloud-Computing-Umgebung können sich Programm-Module in Speichermedien, einschließlich flüchtiger Speichervorrichtungen, von sowohl lokalen als auch entfernten Computersystemen befinden.
  • Unter Bezugnahme auf 3 wird nun, über zusätzlichen Hintergrund, ein Satz funktionaler Abstraktionsschichten gezeigt, die durch eine Cloud-Computing-Umgebung bereitgestellt werden. Es sollte sich von vorneherein verstehen, dass die in 3 gezeigten Komponenten, Schichten und Funktionen nur der Illustration dienen sollen und das sich Ausführungsformen der Erfindung nicht auf diese beschränken. Wie abgebildet werden die folgenden Schichten und entsprechenden Funktionen bereitgestellt:
  • Die Hardware- und Software-Schicht 300 enthält Hardware- und Softwarekomponenten. Zu Beispielen für Hardware- zählen Main Frames, in einem Beispiel IBM® zSeries®-Systeme; Server auf Basis von RISC-Architektur (Reduced Instruction Set Computer), in einem Beispiel IBM pSeries®-Systeme; IBM xSeries®-Systeme; IBM BladeCenter®-Systeme; Speichervorrichtungen; Netzwerke und Netzwerkkomponenten. Zu Beispielen für Software-Komponenten zählt Software für Netzwerkanwendungsserver, in einem Beispiel IBM-WebSphere-Anwendungssoftware und Datenbanksoftware, in einem Beispiel IBM DB2®-Datenbank-Software (IBM, zSeries, pSeries, xSeries, BladeCenter, WebSphere und DB2 sind Markenzeichen von Business Machines Corporation, die in vielen Rechtsprechungen weltweit registriert sind).
  • Die Virtualisierungsschicht 302 stellt eine Abstraktionsschicht bereit, von der aus die folgenden Beispiele virtueller Einheiten bereitgestellt werden können: virtuelle Server; virtueller Speicher; virtuelle Netzwerke einschließlich virtueller privater Netzwerke; virtuelle Anwendungen und Betriebssysteme; und virtuelle Clients.
  • In einem Beispiel kann die Verwaltungsschicht 304 die unten beschriebenen Funktionen bereitstellen. Die Vorhaltung von Ressourcen liefert eine dynamische Vermittlung von Computing-Ressourcen und anderen Ressourcen, die zur Durchführung von Aufgaben innerhalb der Cloud-Computing-Umgebung genutzt werden. Messung und Preiskalkulation bietet Kostenverfolgung bei Verwendung von Ressourcen innerhalb der Cloud-Computing-Umgebung sowie Gebührenerfassung und Rechnungsstellung für den Verbrauch dieser Ressourcen. In einem Beispiel können diese Ressourcen Lizenzen für Anwendungssoftware aufweisen. Sicherheit liefert Identitätsprüfung für Cloud-Verwender und Aufgaben sowie Schutz für Daten und andere Ressourcen. Nutzerportal liefert Zugang zur Cloud-Computing-Umgebung für Verbraucher und Systemadministratoren. Service-Level-Management liefert Vergabe und Verwaltung von Cloud-Computing Ressourcen, sodass geforderte Service-Niveaus erreicht werden. Planung und Erfüllung von Dienstleistungsvereinbarungen (Service Level Agreement SLA) liefert Vorbereitung und Bevorratung von Cloud-Computing-Ressourcen für die eine zukünftige Anforderung gemäß einem SLA erwartet wird.
  • Die Workload-Schicht 306 zeigt Funktionalitätsbeispiele, für die die Cloud-Computing-Umgebung verwendet werden könnte. Zu Beispielen Für Workloads und Funktionen, die von dieser Schicht bereitgestellt werden könnten, zählen: Kartenerstellung und Navigation; Softwareentwicklung und -lebenszyklusverwaltung, Bereitstellung virtueller Klassenräume für Bildungsangebote, Verarbeitung von Datenanalytik; Verarbeitung von Transaktionen und Weitere (z. B. unternehmensspezifische Funktionen in einer Private Cloud).
  • Es versteht sich von vornherein, dass, obwohl diese Offenbarung eine detaillierte Beschreibung über Cloud-Computing enthält, Implementierungen der hierin wiedergegebenen Lehre nicht auf eine Cloud-Computing-Umgebung beschränkt sind. Ausführungsformen der vorliegenden Erfindung können vielmehr in Verbindung mit einer Rechenumgebung eines beliebigen jetzt bekannten oder in Zukunft entwickelten anderen Typs implementiert werden.
  • Eine stellvertretende Cloud-Computing-Umgebung hat somit einen Satz von hochwertigen Funktionskomponenten, zu denen eine Front-End-Identitätenverwaltung, eine Funktionskomponente für Business-Support-Services (BSS), eine Funktionskomponente für Operational-Support-Services (OSS) sowie die Cloud-Computing-Komponente zählen. Die Identitätenverwaltung fungiert als Schnittstelle mit anfragenden Kunden, um Identitätenverwaltung bereitzustellen, und diese Komponente kann mit einem oder mehreren bekannten Systemen implementiert werden, wie beispielsweise der Tivoli Federated Identity Manager (TFIM), der bei IBM Corporation in Armonk, New York, erhältlich ist. In geeigneten Umständen kann TFIM genutzt werden, um Federated Single-Sign-On (F-SSO) für andere Cloud-Komponenten bereitzustellen. Die Komponente Business-Support-Services stellt bestimmte administrative Funktionen bereit, wie beispielsweise Unterstützung für Gebührenerfassung. Die Komponente Operational-Support-Services wird verwendet, um Vorhaltung und Verwaltung der anderen Cloud-Komponenten, wie beispielsweise Verwaltung Virtueller Maschinen (VM) bereitzustellen. Die Cloud-Komponente stellt die wichtigsten Rechner Ressourcen dar, bei denen es sich typischerweise um eine Vielzahl von Instanzen virtueller Maschinen handelt, die zur Ausführung einer Zielanwendung verwendet werden, die zum Zugriff über die Cloud verfügbar gemacht wird. Eine oder mehrere Datenbanken werden verwendet, um Verzeichnis-, Protokoll- und andere Arbeitsdaten zu speichern. All diese Komponenten (einschließlich der Front-End-Identität) befinden sich „innerhalb“ der Cloud, jedoch ist dies keine Vorgabe. In einer alternativen Ausführungsform kann die Identitätenverwaltung außerhalb der Cloud betrieben werden. Der Dienstanbieter kann ebenfalls außerhalb der Cloud betrieben werden.
  • Manche Clouds basieren auf nichttraditionellen IP-Netzwerken. Somit kann eine Cloud beispielsweise auf zweischichtigen CLOS-basierten Netzwerken mit einem speziellen Einzelschicht-IP-Routing basieren, welches Hashes von MAC-Adressen verwendet, Die hierin beschriebenen Techniken können in solchen nicht traditionellen Clouds verwendet werden.
  • In einer nichteinschränkenden Implementierung sind typische Plattformtechnologien, ohne Einschränkung auf diese, IBM System x®-Server mit VMware vSphere 4.1 Update 1 und 5.0.
  • Zu beispielhaften Cloud-Anwendungen zählen IBM Sametime® Meetings, IBM SmartCloud for Social Business oder dergleichen.
  • Cloud-Bereitstellungstechnologien
  • Es ist bekannt, eine gerätebasierte Lösung bereitzustellen, um eine schnelle Anpassung und Einsetzung sowohl von IAAS- als auch PAAS-Angeboten zu ermöglichen. Wie vorstehend beschrieben, ist IBM Workload Deployer (IWD) ein solches Gerät, und dieses Gerät kann auch dazu verwendet werden, um eine geteilte, mandantenfähig Umgebung zu verwalten, bei der Isolation und Sicherheit von größter Bedeutung sind. Diese sichere Natur des physischen Gerät (hierin manchmal als Box bezeichnet) wird typischerweise durch einen selbstabschaltenden Schalter bereitgestellt, der ausgelöst wird, wenn das Gerätegehäuse geöffnet wird. Diese physische Sicherheit erlaubt es, das Gerät als sicheren Tresor für Zugangsdaten zu verwenden, die über ihren gesamten Lebenszyklus hinweg (im Speicher, in Verteilung, in Ausführung in der Cloud oder in Entfernung aus der Cloud) an virtuelle Abbilder gebunden sein können. IBM Workload Deployer enthält auch einen Speichertreiber, der die Speicherung von Abbildanpassungen rationalisiert. Es dient außerdem als dedizierter Speicher für sowohl vorgeladene als auch angepasste virtuelle Middleware-Abbilder und -Muster. Zu dem Gerät gehören auch hochentwickelte Kompressions- und Speichertechnologien, die eine Speicherung einer großen Zahl dieser virtuellen Abbilder (von denen jedes in der Größe veränderbar sein kann) erlaubt.
  • In Betrieb kann das Gerät standardisierte und angepasste virtuelle Middleware-Images und -Muster vorhalten, die auf sichere Weise innerhalb von privaten oder in den Geschäftsräumen befindlichen Cloud-Computing-Umgebungen eingesetzt und verwaltet werden können. Diese virtuellen Abbilder können Organisationen dabei helfen, geschäftliche Anwendungen einfach und schnellt zu entwickeln, testen und einzusetzen und somit die manuellen, repetitiv und fehleranfälligen Prozesse zu beenden, die häufig mit der Erstellung dieser komplexen Umgebungen verbunden sind. Nach Beendigung werden die Ressourcen automatisch zur zukünftigen Verwendung an den Ressourcen-Pool zurückgegeben und für interne Ausgleichszwecke protokolliert. Das Gerät verwaltet zudem den Ressourcenzugriff für einzelne Nutzer und Gruppen, und gibt so IT-Managern die Kontrolle, die zur Effizienzoptimierung auf einem feinkörnigen Niveau nötig ist.
  • Zum Gerät gehört typischerweise Kryptographieunterstützung auf Hard- und Firmwarebasis, um alle Daten auf Festplatte zu verschlüsseln. Zu diesen Daten gehören, ohne Einschränkung, Ereignisprotokolldaten. Keine Nutzer, einschließlich administrative Nutzer, können auf irgendwelche Daten auf physischem Plattenspeicher zugreifen. Insbesondre sperrt das Betriebssystem (z. B. Linux) das Root-Nutzerkonto und stellt kein Befehlszeilen-Terminal zur Verfügung, und der Nutzer hat keinen Dateisystemzugriff. Wenn ein Administrator ein Backup des Geräts durchführt, ist das Backup-Abbild verschlüsselt, um die Vertraulichkeit der Daten zu schützen. Bei der Wiederherstellung eines verschlüsselten Abbilds ist daher ein Entschlüsselungs-Schlüssel nötig, um das Backup-Abbild zu entschlüsseln und eine Wiederherstellung der Daten auf das Gerät zu ermöglichen.
  • Bezugnehmend auf 4 enthält eine typische Betriebsumgebung das physische Gerät 400, das über eine Schnittstelle mit der Cloud 402 verbunden ist. Eine Implementierung des Geräts kann ein Datenverarbeitungssystem verwenden, wie das zuvor mit Bezug auf 2 beschriebene. Zu dem Gerät 400 gehört vorzugsweise eine Web-2.0-basierte Nutzerschnittstelle (user interface, UI), eine Kommandozeilenschnittstelle (Command Line Interface, CLI), sowie REST-basierte Programmierschnittstellen (Application Programming Interfaces, APIs). Das Gerät stellt eine Verwaltungsfunktion bereit, die die schnelle Bereitstellung cloud-basierter Lösungen ermöglicht. Zu diesem Zweck stellt das Gerät Speicher bereit für (i) Daten 404 zur Ressourcenzugriffsverwaltung für Nutzer und Gruppen (ii) für vorgeladene oder anpassbare Middleware-Abbilder 406 und (iii) für konfigurierbare Muster und Skriptpakete 408. Muster sind logische Beschreibungen, der sowohl physischen als auch virtuellen Mittel, die eine bestimmte Lösung aufweisen. Wie nachfolgend detaillierter beschrieben, sind Muster vorzugsweise gemäß der TOSCA-Spezifikation strukturiert. Die Verwaltungsfunktion und Schnittstelle, stellen einen vorlagebasierten Konstruktionsansatz bereit, der die schnelle Erstellung und Modifizierung einer ansonsten komplexen Reihe von Hardware- und Softwarekomponenten ermöglicht. Die Verwendung von Mustern erlaubt es einer Organisation insbesondere, ein individuelles Element oder eine integrierte Lösung einmal zu konstruieren und das Endprodukt daraufhin bedarfsweise zu verteilen. Es gibt typischerweise zwei Mustertypen: Virtuelle Systemmuster stellen die größte Flexibilität und die meisten Anpassungsoptionen der beiden Typen bereit. Sie bestehen aus einem Betriebssystem und eventuell zusätzlichen Software-Lösungen wie beispielsweise WebSphere® Application Server. Virtuelle Anwendungsmuster sind typischerweise für die Unterstützung eines einmaligen Workloads optimiert und konstruiert.
  • Wie ebenfalls in 4 zu sehen ist, enthält die in den Geschäftsräumen befindliche oder private Cloud-Umgebung 402, auf der die Middleware-Anwendung typischerweise läuft, Hypervisoren, Netzwerkinfrastruktur und Speichergeräte, die dem Gerät zugewiesen sind. Eine typische Umgebung kann wie vorstehend mit Bezug auf 3 beschrieben implementiert sein.
  • 5 veranschaulicht, wie das Gerät dazu verwendet werden kann, eine kundenspezifische Private Cloud aufzubauen. In Schritt 1 werden die Hardware, Hypervisoren und Netzwerke für die Cloud ermittelt. In Schritt 2 wählt der Nutzer die virtuellen Abbilder aus und passt diese an. In Schritt 3 fügt der Nutzer ein oder mehrere Skript-Pakte im benötigten Umfang hinzu, um die implementierte Middleware-Umgebung anzupassen. In Schritt 4 werden vorinstallierte oder angepasste Muster verwendet, um die zu implementierende Middleware-Topologie zu beschreiben. Muster können aus virtuellen Abbildern erzeugt werden, z. B: unter Verwendung einer Drag-and-Drop-Schnittstelle. In Schritt 5 werden die virtuellen Systeme der Cloud bereitgestellt.
  • Die hierin enthaltenen Verweise auf IBM Workload Deployer sind beispielhaft und sollen nicht als Einschränkung der offenbarten Technologie verstanden werden, die auf einem beliebigen Gerät (oder allgemeiner Maschine) implementiert werden kann, die die beschriebene allgemeine Charakteristik und betriebliche Funktionalität besitzt. Spezifische Referenzen auf IWD sind so auszulegen, dass diese sowohl das vorgenannte Produkt als auch andere Technologien beinhalten, die die vorstehend verwiesene Funktionalität implementieren.
  • Als zusätzlicher Hintergrund ist die Oasis Topology and Orchestration Specification for Cloud Applications (TOSCA) eine Spezifikation, die entwickelt wurde, um die Portabilität von Cloud-Anwendungen und -Diensten zu erweitern. Sie ermöglicht die interoperable Beschreibung von Anwendungs- und Infrastruktur-Cloud-Diensten, der Beziehungen zwischen Teilen des Dienstes sowie des Verhaltens dieser Dienste im Betrieb (z. B. Bereitstellung, Patch, Abschaltung) unabhängig von dem den Dienst erstellenden Lieferanten und von bestimmten Cloud-Anbieter- oder Hosting-Technologien. Unter anderen Vorteilen ermöglicht TOSCA eine portable Bereitstellung auf eine beliebige kompatible Cloud und erleichtert eine reibungslose Migration existierender Anwendungen in die Cloud. Durch Verwendung von TOSCA können Cloud-Anwendungen nahtlos zwischen Produkten und Cloud-Plattformen mehrerer Anbieter modelliert, geteilt, bereitgestellt und verwaltet werden.
  • Ein TOSCA-Dokument ist ein Deskriptor, der alle an die Cloud bereitzustellenden Anwendungskomponenten und ihre Beziehungen untereinander beschreibt. In dem Deskriptor wird jede Anwendungskomponente typischerweise eindeutig durch einen Bezeichner identifiziert, der aus einem Namen, einer Version, einer Architektur sowie einem Anbieter der Komponente aufgebaut ist. Dieser Bezeichner ist ein nützlicher Suchschlüssel im Bezug auf eine Informationsdatenbank; wie nachstehend ausgeführt, ist eine solche Datenbank eine Datenbank bekannter Defekte und/oder Schwachstellen für diese spezielle Anwendungskomponente.
  • Es ist bekannt, eine Cloud-Verwaltungs-Plattform bereitzustellen, die TOSCA-kompatible Lösungen implementiert. In einem Beispiel ist die Cloud-Verwaltungs-Plattform die offene Verwaltungs-Plattform IBM® SmartCloud® Orchestrator, die zusätzliche standardisierte Techniken wie OpenStack und OSLC (Open Service for Lifecycle Collaboration) nutzt. Eine Verwaltungs-Plattform dieses Typs weist typischerweise drei Hauptfunktionsschichten auf: eine Infrastrukturdienste-Schicht, die vorzugsweise auf OpenStack basiert, zur Vorhaltung, Konfiguration und Verwaltung von Speicher, Rechen- und NetzwerkRessourcen, eine Plattformdienste-Schicht zu der Lebenszyklusmanagementfunktionen für virtuelle Maschinenabbilder und Musterdienste gehören, und eine Orchestrierungsdienste-Schicht. Wie vorstehend beschrieben stellt ein „Muster“ Bereitstellungs- und Verwaltungsbefehle für den Businessdienst bereit. Ein Muster ist vorzugsweise eine XML-basierte Definition einer Infrastrukturkonfiguration, die benötigt wird, um die vielfältigen Ressourcen (z. B. Computing, Netzwerk, Speicher, OS, Middleware und dergleichen) für einen bestimmten Anwendungs- (oder anwendungsartigen) Workload vorzuhalten und zu verwalten. Die Orchestrierungsdienste-Schicht stellt eine Lösung zur Verwaltung von Geschäftsprozessen bereit.
  • Natürlich ist die vorstehend beschriebene Cloud-Verwaltungsumgebung nicht als Einschränkung gedacht, die die hierin beschriebenen Techniken in anderen (offenen, geschlossenen oder hybriden) Umgebungen und/oder unter Verwendung anderer Bereitstellungstechnologien (egal ob offen oder proprietär oder gemischt) implementiert werden können.
  • Kontextbasierter Cloud-Dienst für die Zusicherung von Sicherheit
  • Mit dem Vorgenannten als Hintergrund wird nun der Gegenstand dieser Offenbarung beschrieben. Dieser Gegenstand wird hierin manchmal als „kontextbasierter Cloud-Dienst für die Zusicherung von Sicherheit“ bezeichnet, als „Sicherheitszusicherungsdienst oder -system“ oder nur „der Dienst“ oder „das System“ als Abkürzung. Ohne Einschränkung kann der Gegenstand innerhalb eines oder in Verbindung mit einem Cloud-Bereitstellungsplattform-System oder -Gerät (4) wie beschrieben implementiert werden oder mittels eines beliebigen anderen Typs von Bereitstellungssystemen, -produkten, -geräten, -programmen oder - prozessen. Eine typische Cloud-Anwendungsplattform mit der der Sicherheitszusicherungsdienst implementiert werden kann, ist einschließlich, ohne Einschränkung IBM® SmartCloud® Orchestrator, bei dem es sich wie oben ausgeführt um ein Plattformsystem handelt, dass speziell zur Ausführung von Anwendungen entwickelt und eingestellt wurde und das die Verwendung von Mustern für eine einfache Bereitstellung in seine Cloud-Umgebung unterstützt. Der Bezug auf dieses kommerzielle System ist nicht als Einschränkung gedacht, da der Sicherheitszusicherungsdienst dieser Offenbarung mit jeder beliebigen Cloud-Infrastruktur zusammenarbeiten kann.
  • Die hierin beschriebenen Techniken können als Verwaltungslösung, Dienst, Produkt, Gerät, Vorrichtung, Prozess, Programm, Ausführungs-Thread oder dergleichen implementiert werden. Typischerweise werden die Techniken in Software implementiert, als ein oder mehrere Computerprogramme, die in Hardware-Verarbeitungselementen ausgeführt werden, in Verbindung mit in einer oder mehreren Datenquellen, wie einer Problemdatenbank gespeicherten Daten. Manche oder alle der beschriebenen Verarbeitungsschritte können automatisiert sein und autonom in Verbindung mit anderen Systeme operieren. Die Automatisierung kann vollständig oder teilweise sein und die Operationen (ganz oder in Teilen) können synchron oder asynchron, bedarfsgeführt oder anderweitig sein.
  • Es folgt eine allgemeine Beschreibung des Cloud-Dienstes für die Zusicherung von Sicherheit. Die grundsätzliche Arbeitsweise des Dienstes besteht allgemein darin, Informationen über verfügbare Cloud-Plattformen, -Topologien und - Ressourcen zu sammeln (oder anderweitig aus andren Datenquellen zu erhalten. Der Dienst ermittelt außerdem Sicherheitsfunktionen, die zur Aktivierung zur Verfügung stehen. Zu diesen Sicherheitsfunktionen gehören, ohne Einschränkung, virtuelle Umkreisnetzwerke (DMZs, Netzwerkisolierung, Speicherisolierung, Bereitstellung eines Intrusion Prevention System (IPS), Bereitstellung eines Security Information and Event Management (SIEM), Reverse-Proxies, Firewalls, SSL-Kommunikation, Konfiguration mit existierenden SIEM, mehrstufige Authentifizierung, risikobasierte Authentifizierung und weitere. Vorzugsweise vereinfacht (oder abstrahiert) der Dienst die verfügbaren Ressourcen in leichtverständliche Sicherheitszusicherungskategorien für die bestehende Topologie der Umgebung.
  • Der Zusicherungsdienst zeigt die Kategorien, dem Nutzer (während der Anwendungsbereitstellung) als Vorlagen. Der Dienst ist vorzugsweise mit einem Satz von Standard-Vorlagen ausgestattet. Eine Vorlag definiert vorzugsweise die Anforderungen für ein bestimmtes Sicherheitszusicherungsniveau, zum Beispiel könnte eine Vorlage für „mittlere Sicherheit“ die folgenden festgelegten Anforderungen enthalten: „SSL, SEIM, IPS, Festplattenverschlüsselung, mehrstufige Authentifizierung, keine Ressourcentrennung und -isolation“. Ein Sicherheitsadministrator (für den Dienst) kann später den Standard-Vorlagensatz verändern (durch Hinzufügen andrere Vorlagen) oder eventuell die Konfiguration einer bestehenden Vorlage verändern, um Anforderungen hinzuzufügen oder zu entfernen. Allerdings muss der Sicherheitszusicherungsdienst die spezifischen Anforderungen einer Vorlage vorzugsweise nicht interpretieren vielmehr, und wie nachstehend detaillierter beschrieben, interpretiert der Sicherheitszusicherungsdienst den „Kontext“ einer bestimmten Bereitstellung, um zu ermitteln, welche Sicherheitsressourcen (und oder deren besondere Einstellungen) die Anforderungen der Vorlage erfüllen. In diesem Ansatz werden die Vorlagen in den Zusicherungsdienst geladen (z. B. durch Sicherheitsexperten) und sollen sich hochgradig instruktiv auf das System auswirken. Bei Verwendung werden die Vorlagen vorzugsweise dem Endnutzer mit vereinfachten Namen angezeigt (oder Bezeichnern, Deskriptoren oder dergleichen) wie z. B. „hohe Sicherheit“, „mittlere Sicherheit“ oder „niedrige Sicherheit“. Vorzugsweise werden diese Begriffe (mehr oder weniger wortwörtlich) dem Endnutzer angezeigt. Es ist nicht erforderlich, dass der EN die Ressourcen (oder deren Betriebseigenschaften) versteht, die dem durch die Vorlage repräsentierten Sicherheitszusicherungsniveau zugrunde liegen. Allerdings versteht das System diese Details und arbeitet daran, spezifische Funktionen und Bedienelemente anzuwenden, um die vom Nutzer ausgewählte Spezifikation (z. B. „hohe Sicherheit“) in granuläre Anforderungen zu übersetzen. Diese absichtlich einfache Terminologie für den Endnutzer kann dem Endnutzer in Form einer Taste oder eines anderen Bedienelements angezeigt werden und, wie angemerkt, ist die dem Endnutzer angezeigte Terminologie nicht dazu gedacht, die einzelnen zugrundeliegenden Anforderungen oder Ressourcen zu beschreiben, von denen die Bereitstellung des Sicherheitszusicherungsniveaus erwartet wird. Der Endnutzer muss vielmehr nur wissen, welches verallgemeinerte Zusicherungsniveau er oder sie für die bereitzustellende Anwendung implementieren möchte.
  • Basierend auf den festgelegten Anforderungen hat eine Vorlage einen gegebenen Satz von einer oder mehreren damit verbunden Änderungen an der Sicherheitskonfiguration. Wie nachfolgend beschrieben wird, wählt der Endnutzer (typischerweise der Anwendungsentwickler) eine oder mehrere solcher Sicherheitsvorlagen aus, die er oder sie durch den Dienst für die Anwendung konfiguriert/vorgehalten haben möchte. Der Dienst kann dem Nutzer hierfür eine Empfehlung geben. Aufgrund der Auswahlen des Nutzers interpretiert der Dienst daraufhin die angefragten eine oder mehreren Sicherheitszusicherungsvorlagen und erzeugt als Antwort eine konkrete Liste einer oder mehrerer Änderungen an der Sicherheitskonfiguration. Typischerweise Änderungen/Aktualisierungen von Sicherheitseinstellungen für bestehende Sicherheitsinfrastruktur). Optional erzeugt der Dienst auch einen Hinweis für den/die Sicherheitsadministrator(en) über die für die Anwendung genutzten Ressourcen. Während der Bereitstellung der Anwendung wendet der Dienst die Sicherheitsänderungen an, vorzugsweise unter Verwendung von REST-basierten (oder äquivalenten) Schnittstellen zu bestehenden (konfigurierten) Sicherheitsprodukten; außerdem kann der Dienst im erforderlichen Umfang, um das von dem/den Vorlage(n) festgelegte Sicherheitszusicherungsniveau einzuhalten neue Instanzen von Sicherheitssoftware bereitstellen (soweit zutreffend und falls Lizenzen verfügbar sind). Weiterhin, und wiederum in erforderlichem Umfang, um das ausgewählte Sicherheitszusicherungsniveau einzuhalten kann der Dienst Hardware und Netzwerkumgebungen vorhalten, vorzugsweise unter Verwendung von bestehenden Cloud-Einrichtungen und im für die Anwendung benötigten Umfang. Auf diese Weise schafft der Sicherheitszusicherungsdienst einen kontextspezifischen, sicheren Cloud-Anwendungsbereich für die Anwendung in Bereitstellung. Der Bereitstellungsplattform für die Anwendung wird vorzugsweise eine Rückmeldung gegen, wenn die Aktualisierung der Sicherheitskonfiguration abgeschlossen ist; die Plattform schließt daraufhin die Bereitstellung ab. Die neu bereitgestellte und gesicherte Anwendung wird dann aktiviert (eventuell direkt durch den Dienst).
  • Wie beschrieben arbeitet der Zusicherungsdienst wie hierin beschrieben vorzugsweise auf eine kontextbasierte Art, wobei der „Kontext“ beachtet wird, in dem die Anwendung bereitgestellt werden soll. Typische „Kontext-Informationen“ enthalten, ohne Einschränkung, die Art der Zielplattform, die Art der Umgebung in der der Workload voraussichtlich ausgeführt werden wird, die Art jedweder Compliance- oder anderer regulatorischen Anforderungen für den Workload, jedwede unternehmensseitigen Sicherheitsanforderungen (konfiguriert durch Administratoren) Kontext der bereitgestellten Anwendung (Software, Konfiguration, Topologie usw.) der sich darauf auswirken kann oder wird wie Sicherheitsressourcen mit der Anwendung interagieren und so fort. Somit kann der Dienst, wenn der Workload zum Beispiel auf der (öffentlichen) Amazon® Cloud bereitgestellt wird Anforderungen für Public Clouds in Betracht ziehen wie beispielsweise SSL-Kommunikation für den gesamten Traffic, obwohl solche Anforderungen nicht notwendigerweise in einer Private Cloud erzwungen werden würden. Als ein anderes Beispiel kann der Dienst, wenn der Workload in einer Test- oder Entwicklungsumgebung läuft, lediglich minimale Kontrollen um Daten vorhalten, da die Anwendung (in diesem Kontext) keine echten (live) Kundendaten handhaben würde. Als ein weiteres Beispiel kann der Dienst einen Workload, der PCI-kompatibel sein muss, nur auf einem bestimmten Netzwerk vorhalten, aber den Umzug des Workloads in ein unsicheres Netzwerk oder VLAN untersagen (oder anderweitig blockieren). Natürlich sind die vorstehenden Beispiele lediglich stellvertretend. Vorzugsweise wird Sicherheitsinformation durch den Sicherheitszusicherungsdienst direkt gesammelt oder solche Informationen werden dem Sicherheitszusicherungsdienst aus anderen verbundenen Datenquellen verfügbar gemacht, die diese Informationen (oder Zugriff auf diese Informationen) besitzen.
  • 6 illustriert die grundlegenden Komponenten eines Cloud-Dienstes für die Zusicherung von Sicherheit 600 dieser Offenbarung gemäß einer Ausführungsform. Bezugszeichen 601 stellt die Cloud-Plattform und die auf der Cloud-Plattform laufenden Systeme dar (d. h. den Verbraucher-Workload). Die Cloud-Plattform und ihre zugeordneten Verbraucher-Workloads werden durch den Zusicherungsdienst geschützt, der einen zentralisierten oder gebündelten Dienst bereitstellt, welcher alle (oder festgelegte einzelne) Sicherheitsressourcen verwaltet, die von einer oder mehreren Anwendungsbereitstellung(en) betroffen sind. Diese Ressourcen können ziemlich verschieden sein und beinhalten, unter anderem, Reverse Proxies, HTTP-Server, Autorisierungsaktualisierungen, Hinzufügen neuer Identitäten, Vorhaltung von VPNs, Protokollintegration in eine SEIM-Lösung, DMZs, Firewall-Konfigurationen zum Öffnen von Ports usw. Wie nachfolgend beschrieben wird, aktiviert der Dienst vorzugweise entfernte Schnittstellen (z. B. REST-basierte Schnittstellen) um Konfigurationen für die Sicherheitsressourcen zu aktivieren. Die Ermittlung, welche der Sicherheitsressourcen aktiviert werden soll und wie dies geschehen soll, hängt von dem vorlagenbasierten Ansatz wie beschreiben ab. Die verschiedenen auf der Cloud-Plattform ausgeführten Workloads 603 werden von dem/den Cloud-Plattform-Verbraucher(n) initialisiert, typischerweise im Voraus. Die Cloud-Plattform wird durch die Icons repräsentiert, wie zum Beispiel IBM Pure™, Amazon®-Webservices oder VMWare®, welche bloß stellvertretend genannt sind.
  • Der Cloud-Sicherheitszusicherungsdienst 600 enthält eine Kontextmonitor-Komponente (oder „Kontextmonitor“), deren Funktion darin besteht, verfügbare Ressourcen von der Cloud-Plattform abzufragen, und die diese in einer Zusicherungsdienstdatenbank 607 katalogisiert. Im Betrieb fragt der fragt der Kontextmonitor 605 die Cloud-Plattform 601 unter Verwendung von durch die Cloud bereitgestellten Programmierschnittstellen (APIs) ab, um die verfügbaren Ressourcen zu bestimmen, da Cloud-Plattformen diese Informationen grundsätzlich auf diese Weise ausgeben. Der Kontext-Monitor bildet daraufhin verfügbare Software auf Sicherheitsfunktionen ab. Die Produkt-Funktions-Abbildung kann direkt von der Cloud-Plattform bereitgestellt werden oder diese Information kann in die Zusicherungsdienstdatenbank 607 eingebettet sein. Somit kann zur Cloud-Plattform z. B. IBM QRadar gehören, welches SIEM-Fähigkeit bereitstellt. Zum Zusicherungsdienst zählen Konfigurationsinformationen, welche Angeben, welche Sicherheitszusicherungsniveaus welche spezielle Funktion erfordern. Somit kann zum Beispiel ein „hohes“ oder „mittleres“ Zusicherungsniveau eine SIEM-Lösung erfordern, während ein „niedriges“ Niveau dies nicht tut. Wie vorstehend angemerkt, ist/sind die Anforderung(en) für ein bestimmtes Sicherheitszusicherungsniveau mit einer vordefinierten Vorlage verbunden (vorzugsweise im Voraus durch einen Sicherheitsexperten). Wie beschrieben, und in diesem speziellen Beispielszenario, nutzt der Sicherheitszusicherungsdienst die Cloud-Plattform um das Produkt zu installieren (oder seine Sicherheitseinstellungen anzupassen, falls dieses bereit installiert wurde), wenn der Endnutzer eine bestimmte Sicherheitslösung (z. B. „hoch“) auswählt, um die SIEM-Anforderung für dieses Sicherheitsniveau zu erfüllen.
  • Zu diesem Zweck stellt der Dienst 600 Sicherheitszusicherungsvorlagen 602 bereit. Wie zuvor angemerkt, wird vorzugsweise ein Standardsatz von Vorlagen 602 durch den Dienst bereitgestellt und jede Vorlage definiert die Anforderungen für ein bestimmtes Sicherheitszusicherungsniveau. Vorlagen werden typischerweise verschiedene Typen oder Kategorien aufweisen. Wie erläutert, ist eine Vorlage in hohem Maße instruktiv (für das System) in dem Sinne, dass es einen definierten Satz von Anforderungen für das Sicherheitszusicherungsniveau aufweist. Somit kann ein „mittleres“ Sicherheitsniveau durch eine Vorlage festgelegt werden, die Anforderungen wie z. B. „SSL, SIEM, IPS, Laufwerkverschlüsselung“ usw. definiert. Vorzugsweise, und wie vorstehend beschrieben, muss der Dienst diese Anforderungen nicht interpretieren. Der Dienst interpretiert vielmehr den Kontext der Bereitstellung (wie von der Kontextmonitor-Komponente angegeben oder zugesichert), um zu ermitteln, welche Sicherheitsressourcen (oder deren Einstellungen) diese Anforderungen erfüllen. Die Vorlage(n) wird/werden vorzugsweise vorkonfiguriert ausgeliefert. Der Satz von Vorlagen 602 kann um zusätzliche Vorlagen erweitert werden oder die Anforderungen einer bestimmten Vorlage können im erforderlichen Umfang angepasst werden.
  • Vorzugsweise, und wie hierin verwendet, sind die Sicherheitszusicherungsvorlagen 602 Module innerhalb des Dienstes, die leichtverständliche Sicherheitskategorien oder -profile sowie deren zugeordnete Sicherheitsniveaus, wie beispielsweise „hohe/mittlere/niedrige interne Netzwerksicherheit“ und „hohe/mittlere/niedrige interne Firewall-Sicherheit“ und dergleichen bereitstellen. Der Dienst 600 enthält zudem einen Zusicherungskonfigurationsvermittler 604, der die Sicherheitsziele der ausgewählten Vorlagen ermittelt und der dafür vorgesehen ist, die Auswahl einer Vorlage in detaillierte Konfigurationsschritte zu übersetzen, vorzugsweise aufgrund von Systemkonfiguration und Kontext verfügbarer Ressourcen, Dieser Übersetzungsvorgang wird nachfolgend ausführlicher beschrieben. Weiterhin gehört zum Dienst (oder ist diesem zugeordnet) vorzugsweise eine Sicherheitsverwaltungsschnittstelle 608 (z. B. Cloud-Werkzeug-UI wie z. B. IBM SmartCloud Orchestrator), bei der es sich um einen Konfigurationspunkt handelt, der dazu verwendet wird, Sicherheitsvorlagen hinzuzufügen oder zu entfernen, manuelle Konfiguration verwalteter Sicherheitsressourcen bereitzustellen und/oder eine von einem Nutzer ausgewählte Sicherheitsvorlage außer Kraft zu setzen (unter zulässigen Umständen). Zum Sicherheitszusicherungsdienst gehört auch ein Cloud-Sicherheitsprozess-Workflow 610, bei dem es sich um ein Modul handelt, das geeignete (z. B. REST-basierte) Schnittstellen aktiviert, um Änderungen an der zugrundeliegenden Sicherheitsinfrastruktur (Sicherheitsressourcen) wie durch den Konfigurationsvermittler 604 angegeben anzuwenden. Ein Zusicherungsmuster-Modul 612, das eine Verwaltungsschnittstelle bereitstellt, ist ein cloud-spezifischer Dienst, der die Bereitstellung und Vorhaltung von Anwendungen mit dem Sicherheitszusicherungsdienst 600 abstimmt. Das Zusicherungsmuster-Modul 612 weist typischerweise eine Verwaltungsschnittstellenkomponente der Cloud-Anwendungsplattform auf, dies ist jedoch keine Vorgabe. Das Zusicherungsmuster-Modul 612 fragt beim Zusicherungsdienst verfügbare Zusicherungsvorlagen aufgrund der bereitzustellenden Anwendungen ab.
  • In 6 stellen die Anwendungseigentümer/Administratoren oben links den/die Bereitsteller der Anwendung dar; dies sind Personen, die lediglich Zugriff auf die leichtverständlichen Sicherheitszusicherungsniveau-Vorlagen (nach Kategorie/Sicherheitslevel) haben müssen. Die Cloud-Teams oder anderen Administratoren stellen Personen dar, die entweder die Vorlagen erstellen oder die dazu befähigt sind, neue Vorlagen hinzuzufügen oder die besonderen Anforderungen in einer vorkonfigurierten Vorlage zu ändern. Die Cloud Teams oder anderen Administratoren interagieren mit dem System oder Dienst über weine Verwaltungsschnittstelle. Jede der zuvor beschriebenen Komponenten ist typischerweise als Software implementiert d. h. als ein Satz von Computerprogrammanweisungen, die in einem oder mehreren Hardwareprozessoren ausgeführt werden. Die Komponenten sind individuell dargestellt, was aber keine Vorgabe darstellt, da die Komponenten auch ganz oder teilweise ineinander integriert sein können. Eine oder mehrere der Komponenten können an einem dedizierten Ort oder entfernt voneinander ausgeführt werden. Eine oder mehrere der Komponenten können Unterkomponenten haben, die gemeinsam ausgeführt werden, um die Funktionalität bereitzustellen. Es ist nicht vorgegeben, dass bestimmte Funktionen des Sicherheitszusicherungsdienstes von einer bestimmten, wie vorstehend bezeichneten Komponente, ausgeführt werden, da die Funktionalität hierin (oder ein beliebiger Aspekt davon) in anderen oder Systemen implementiert sein kann.
  • Der Sicherheitszusicherungsdienst kann von einem Cloud-Service-Anbieter implementiert werden, der Infrastruktur für eine Private Cloud, eine Public Cloud der eine Hybride Cloud betreibt. Dieses Sicherheitszusicherungssystem nutzt und verwaltet Sicherheitsinfrastruktur. Vorzugsweise, und wie vorstehend beschrieben, interagiert das Zusicherungssystem mit dem Sicherheitsadministrator der Cloud (oder dergleichen) durch eine Verwaltungsschnittstelle sowie mit dem Anwendungseigentümer durch Cloud-Werkzeug-Ul. Der Anwendungseigentümer interagiert vorzugsweise mit dem Cloud-Werkzeug-Ul (siehe 7, die lediglich beispielhaft ist), um die Sicherheitsanforderungen auf hohem Niveau festzulegen und die Anwendung bereitzustellen. 7 steht stellvertretend für einen webbasierten Editor, obwohl die jeweilige Implementierung des Editors (oder einer äquivalenten Anwendung, die die Präsentation und Verwaltung der Vorlagen in der beschriebenen Weise ermöglicht) von einem beliebigen Typ sein kann.
  • Bei der Verwendung des Cloud-Werkzeug-UI (oder von deren Äquivalent) kann der Nutzer auch die Cloud-Anwendungsumgebung abfragen (z. B. um Details über die bereitzustellende Anwendung abzufragen) und als Antwort Informationen über eine oder mehrere verfügbare Sicherheitsfunktionen empfangen, die in der Cloud-Anwendungsumgebung verfügbar sind (z. B. bestimmte Sicherheitsressourcen, die für die bereitzustellende Anwendung geeignet sind). Zu diesen verfügbaren Ressourcen können beispielsweise verfügbare Hardware, verfügbare Software, bestehende Lizenzen und verfügbare Lizenzen gehören.
  • Somit, und wie beschrieben, können verschiedene Nutzerztypen mit dem Dienst auf verschiedene Arten interagieren. In einer Ausführungsform arbeitet ein erster Nutzertyp (z. B. der Anwendungsinhaber) mit dem Dienst, indem er eine Vorlage betrachtet und mit dieser interagiert, während ein zweiter Nutzertyp (z. B. der Sicherheitsadministrator) mit dem Dienst durch Betrachtung und Interaktion arbeitet, indem er eine oder mehrere Sicherheitsverwaltungsansicht(en) verwendet, beispielweise von Sicherheitsänderungen im Zusammenhang mit der Auswahl von Vorlagen durch den ersten Nutzertyp. Eine Sicherheitsverwaltungsansicht erlaubt es dem System, Eingaben des Sicherheitsadministrators zu empfangen, die eine Erzwingung einer oder mehrerer Sicherheitsaktionen hinsichtlich der Konfiguration einer oder mehrerer Sicherheitsfunktionen in der Cloud-Anwendungsumgebung auslösen kann. Zu solchen Eingaben können beispielsweise zählen: eine Eingabe, um eine ausstehende Änderung an der Sicherheitskonfiguration zu genehmigen, eine Eingabe, die eine Auswahl einer Vorlage durch einen ersten Nutzer außer Kraft setzt oder die eine Auswahl einer mit einer Vorlage zusammenhängenden Sicherheitsfunktion außer Kraft setzt oder die eine Bereitstellung einer Anwendung in die Cloud-Anwendungsumgebung verhindert, wenn nicht durch einen ersten Nutzer eine Vorlage mit einem minimalen Sicherheitszusicherungsniveau ausgewählt wurde, oder dergleichen. Die Sicherheitsverwaltungsansicht kann auch eine oder mehrere zusätzliche Verwaltungsfunktionen bereitstellen wie beispielsweise: Konfigurieren einer neuen Vorlage oder verändern einer bestehenden Vorlage, verwenden von Sicherheitsanalytik, um eine Anwendungsbereitstellung aufgrund von Unternehmenssicherheitspolitik zu verwalten, definieren von Sicherheitsanforderungen für die Cloud-Anwendungsumgebung, überprüfen von in der Cloud-Anwendungsumgebung verfügbaren Sicherheitsfunktionen und dergleichen. In einer Ausführungsform startet eine in der Sicherheitsverwaltungsansicht verwendete Eingabe einen Sicherheits-Scan der Cloud-Anwendungsumgebung und die Ergebnisse dieses Sicherheits-Scans (z. B. eine beliebige Sicherheitsfunktions-Lückenanalyse) können dann dem Administrator angezeigt werden. In einem andreren Anwendungsfall kann eine Eingabe auch dazu verwendet werden, um nachträglich eine aktualisierte Vorlage auf eine bestehende Anwendung anazuwenden, die bereits in der Cloud-Anwendungsumgebung bereitgestellt wurde.
  • In einem besonderen (jedoch nicht einschränkenden) Implementierungsszenario hat ein Unternehmen eine mit diesem verbundene Private Cloud (implementiert innerhalb eines Cloud-Dienstes), die von einer Cloud-Anwendungsplattform verwaltet wird. Diese Plattform kann dann so erweitert werden, dass sie mit dem Sicherheitszusicherungsdienst dieser Offenbarung interagiert (oder diesen tatsächlich einbindet).
  • Allgemeiner kann der Sicherheitszusicherungsdienst von einem Unternehmen auf eine eigenständige Weise implementiert werden. Er kann als ein verwalteter Dienst Verfügbar sein, der durch einen Cloud-Dienst oder einen anderen Dienstanbieter bereitgesellt wird.
  • Wie beschrieben arbeitet der Dienst vorzugsweise so, dass ein Endnutzer eine verallgemeinerte Angabe eines Sicherheitsniveaus macht (z. b. „hohe Netzwerksicherheit“), die der Dienst daraufhin benutzt (nach einer Interpretation der Anwendungsvorgaben und verfügbaren Ressourcen), um eine sicherheitsoptimierte Bereitstellung für Anwendungen zu erzeugen. Typischerweise, und wie oben angegeben, wird die Anwendung in eine bestehende Umgebung bereitgestellt und der Sicherzusicherungsdienst hat die Funktion, die für diese bestehende Umgebung (in die die Anwendung bereitgestellt werden soll) benötigten Änderungen an der Sicherheitskonfiguration zu definieren und/oder anzupassen. Die sicherheitsoptimierte Bereitstellung für die Anwendung wird hierin gelegentlich als eine sichere, kontextbasierte „Cioud-Anwendungszone“ bezeichnet.
  • Wie beschrieben, werden „Sicherheitsniveaus“ hierin gelegentlich als „Sicherheitszusicherungsniveaus“ bezeichnet diese Niveaus werden, wie oben beschrieben, als leichtverständliche oder „grobgekörnte“ Deskriptoren („hoch“ oder „niedrig“) angezeigt, verglichen mit feinkörnigeren Spezifikationen, die sonst etwa einem Sicherheitsexperten bekannt oder verfügbar sind. Die Begriffe „grob“ oder „fein“ sind relative Ausdrücke doch es gehört zur Idee einer „groben“ Beschreibung eines Sicherheitszusicherungsniveaus, dass diese lediglich die grundlegenden Informationen liefert, der ansonsten keine Kenntnisse darüber besitzt oder dazu fähig ist, die ausdrücklichen Sicherheitsanforderungen, die einem bestimmten „groben“ Sicherheitszusicherungsniveau zugrundeliegen, zuzusichern (oder sich um diese zu kümmern). Es genügt dem Nutzer (dem Anwendungsinhaber) unter diesen Umständen, zu wissen, dass das von ihm oder ihr (für eine bestimme Kategorie) gewünschte Sicherheitszusicherungsniveau „hoch“ oder „niedrig“ ist oder einer anderen derartigen Klassifikation entspricht (wie auch immer beschrieben). Der Begriff „hoch“ (mit Bezug auf ein bestimmtes grobes Sicherheitszusicherungsniveau) kann somit alternativ durch einen Zahlenwert oder eine(n) beliebige(n) andere(n) Bezeichner oder Angabe benannt werden. Wie beschrieben sind diese Begriffe jedoch dazu gedacht, mehr oder weniger wortwörtlich, dem Endnutzer angezeigt zu werden. Das System verwendet daraufhin bestimme Ressourcen und Bedienelemente, um die vom Nutzer ausgewählte Sicherheitslösung in die granulären Anforderungen an die zugrundeliegenden Sicherheitsressourcen zu übersetzen. Eine bevorzugte Art, die Lösung anzugeben, ist ein Button oder ein beliebiges anderes bekanntes Bildelement.
  • In einer beispielhaften Ausführungsform zeigt der Dienst einen Satz von Sicherheitsvorlagen an, die nach Typ kategorisiert werden können, stellt diese Bereit oder interagiert mit diesen. Diese Vorlagen werden durch das in 6 gezeigte Zusicherungsvorlagenmodul bereitgestellt. Der Dienst kann somit beispielsweise Sicherheitsvorlagen mit den folgenden Kategorien anzeigen: „Interne Netzwerksicherheit“, „Anwendungssicherheit“, „Datensicherheit“ und „Intrusionsschutz“. Diese sind lediglich stellvertretend. Eine bestimmte Vorlagenkategorie kann daraufhin anhand eines vorgegebenen Sicherheitsniveaus, wie z. B. „niedrig“ oder „hoch“, ermittelt werden. Der Dienst kann lediglich „niedrig“- oder „hoch“-Vorlagen bereitstellen oder er kann weitere Niveaus (z. B. niedrig, mittel und hoch oder weiter konkretere Niveaus) bereitstellen. Eins bestimmte bereitzustellende Unternehmensanwendung kann daher mit einer oder mehrere dieser Sicherheitsvorlage verknüpft sein, von denen jede eine Kategorie und ein angegebenes Sicherheitsniveau definiert. Eine bestimmte bereitzustellende Anwendung kann somit beispielsweise die folgende Spezifikation aufweisen: Interne Netzwerksicherheit (niedrig), Anwendungssicherheit (hoch), Datensicherheit (hoch) und Intrusionsschutz (hoch). Eine webbasierte oder anderweitige Konfigurationsschnittstelle kann dazu verwendet werden, die eine oder mehrere Sicherheitsvorlage(n) anzugeben, die mit einer bestimmten bereitzustellenden Anwendung verknüpft werden soll(en). Diese Schnittstelle kann mit einem konventionellen Workload-Bereitstellungstool verbunden sein, wie zum Beispiel IBM® Workload Deployer Virtual Application Builder. 7 veranschaulicht eine typische Benutzerschnittstelle für diesen Zweck, die einen Teil der Sicherheitsverwaltungsschnittstelle (siehe 6) aufweisen kann. Wie zuvor beschrieben, stellt diese Schnittstelle den Konfigurationspunkt zum Hinzufügen oder Entfernen von Sicherheitsvorlagen bereit, zur manuellen Konfiguration verwalteter Sicherheitsressourcen oder (falls konfiguriert) zum Außerkraftsetzen von durch Endnutzer ausgewählten Sicherheitsvorlagen. In einer alternativen Ausführungsform werden die Kategorien und Sicherheitsniveaus automatisch oder programmatisch festgelegt oder derartige Informationen werden aus einem von einer anderen Quelle veröffentlichten Magazin für solche Daten verfügbar gemacht.
  • Wie beschrieben, definiert die Vorlage einen Satz von Anforderungen, die ein bestimmtes „Sicherheitszusicherungs“-Niveau liefern, wobei dieses Zusicherungsniveau dann bezüglich einer oder mehrerer Sicherheitsressourcen realisiert oder implementiert wird. Eine Sicherheitsressource kann ein System, eine Vorrichtung, ein Gerät, ein Programm, ein Prozess oder eine andere Computing-Einheit innerhalb der Sicherheitsinfrastruktur. Vorzugsweise interpretiert der Sicherheitszusicherungsdienst den Kontext der Bereitstellung, um zu bestimmen, welche Sicherheitsressourcen (und welche Einstellungen in diesen) nötig sind, um die Anforderungen einer bestimmten Vorlage zu erfüllen. Somit, und zumindest teilweise auf dem jeweiligen Bereitstellungskontext basierend, ist eine Sicherheitsvorlage mit einer oder mehreren Sicherheitskonfigurationen (Einstelllungen von Sicherheitsressourcen) verknüpft, welche die Kategorie (und das angegebene Niveau) für diesen Kontext implementieren. Vorzugsweise, und wie vorstehend beschrieben, werden diese Sicherheitskonfigurationen durch die Sicherheitszusicherungskonfigurations-Vermittlerkomponente ermittelt (siehe 6), die die verallgemeinerten Sicherheitsziel der ausgewählten Vorlage (als Eingabe) verwendet und diese Auswahl in detaillierte Konfigurationsschritte (oder Änderungen) aufgrund der Systemkonfiguration und dem Kontext verfügbarer Sicherheitsressourcen (wie durch den Kontextmonitor bereitgestellt) übersetzt.
  • Wenn also zum Beispiel die Anwendungskategorie „interne Netzwerksicherheit“ ist und das Sicherheitsniveau etwa „niedrig“, dann ermittelt der Vermittler, dass die zum Implementieren dieser Vorlage nötigen detaillieren Sicherheitsschritte Folgendes aufweisen könnten: (i) Erstellen eines „Knotenpunkts“ zwischen einem Front-End-Proxy-Server und einem Back-End-Webanwendungsserver auf Basis eines Anwendungsendpunkts (ii) Verwenden grundlegender Authentifizierung für den Kontenpunkt und konfigurieren eines Trust Association Interceptors (TAI) in dem Anwendungsserver für Single-Sign-On (SSO), und (iii) Aktivieren restriktiver Firewalls sowie Öffnen von Ports zu dem Anwendungsendpunkt. In einem anderen Beispiel, wenn die Anwendungskategorie „Anwendungssicherheit“ ist und das Sicherheitsniveau etwa „hoch“, dann könnten die detaillierten Sicherheitsschritte, die zur Implementierung dieser Vorlage nötig sind, beinhalten: (i) Ausführen eines Sicherheitsanalysetools (z. B. AppScan) gegen Endpunkte und anhalten der Bereitstellung, falls eine kritische Schwachstelle entdeckt wird, (ii) Anweisen der Cloud-Anwendungsplattform, ein VPN vorzuhalten, um die Anwendung in der Cloud zu hosten, (iii) Konfigurieren von Zugriffsmanager-Richtlinien für durch die Anwendung definierte autorisierte Rollen, und (iv) Erstellen einer zusätzlichen softwarebasierten, der Anwendung festzugeordneten DMZ in der Cloud. In einem anderen Beispiel, wenn die Anwendungskategorie „Datensicherheit“ ist und das Sicherheitsniveau etwa „niedrig“, dann könnten die detaillierten Sicherheitsschritte, die zur Implementierung dieser Vorlage nötig sind, beinhalten (i) Aktualisieren des Anwendungsservers für die Verwendung einer SSL-Verbindung zur Datenbank oder dergleichen. In noch einem anderen Beispiel, wenn die Anwendungskategorie „Intrusionsschutz“ ist und das Sicherheitsniveau etwa „hoch“, dann könnten die detaillierten Sicherheitsschritte, die zur Implementierung dieser Vorlage nötig sind, Folgendes aufweisen: (i) Konfigurieren der Protokollquellen der Security-lntelligence-Plattform (z. B. IBM® QRadar), (ii) Aktualisieren von SIEM-Filtern für die Anwendung, und (iii) Aktualisieren von IPS-Regeln für die Anwendung. Natürlich handelt es sich hierbei lediglich um typische (nicht einschränkende) Beispiele für die Änderungen an der Sicherheitskonfiguration. Die im Einzelnen durch den Sicherheitszusicherungsdienst implementierten Änderungen werden von der Implementierung und verfügbaren Ressourcen (Produkten, Systemen, Konfigurationen) und dergleichen abhängen.
  • Somit, gemäß dieser Offenbarung, wenn der Cloud-Anbieter die Anwendung bereitstellt (oder die Bereitstellung initiiert), dann benachrichtigt er den Sicherheitszusicherungsdienst über die eine oder mehreren ausgewählten (oder anderweitig definierten oder vorgeschriebenen) Sicherheitsvorlagen. Vorzugsweise sendet der Cloud-Anbieter auch die Zusicherungsdienst-Details der Anwendung. Der Sicherheitszusicherungsdienst nimmt die ausgewählten Vorlagen als Richtlinie und die Vermittlerkomponente passt daraufhin die detaillierten Änderungen an der Sicherheitskonfiguration, die für die bestehende Umgebung erforderlich sind, daraufhin an, dass diese die Anwendung innerhalb der ausgewählten Sicherheitsbeschränkungen, die festgelegt wurden, und des Kontexts der verfügbaren Ressourcen (wie durch den Kontextmonitor ermittelt) unterstützen. Falls erwünscht, können diese Änderungen an der Sicherheitskonfiguration vor der Implementierung einem Sicherheitsadministrator zur Überprüfung angezeigt werden. Nach Überprüfung, falls dieser optionale Schritt implementiert wird, aktiviert der den Sicherheitszusicherungsdienst vorzugsweise entfernte Schnittstellen für Software-Konfiguration. Zusätzlich, und falls erforderlich, kommuniziert der Dienst mit dem Cloud-Anbieter, um Informationen über Voraussetzungen (des Cloud-Anbieters) zu erhalten, auf die eventuell während der Bereitstellung der Anwendung Rücksicht genommen werden muss. Zu diesen Voraussetzungen kann beispielsweise die Erstellung eines VPNs gehören, oder andere anbieterspezifische Sicherheitsanforderungen.
  • Eine Vorlage kann auch andere Informationen enthalten, wie beispielsweise mit einer bestimmten Sicherheitsfunktion verbundene Kosteninformationen. Die Kosteninformationen in einer Vorlage können als Abschätzung einer oder mehrerer Kosten bestimmt werden, die mit einer Gruppe von einer oder mehreren Änderungen an der Sicherheitskonfiguration in der Cloud-Anwendungsumgebung verbunden sind. Diese Kosteninformationen können auch von Zeit zu Zeit angepasst werden, z. B. aufgrund von veränderlichen Kosten für Sicherheitsfunktionen in der Cloud-Anwendungsumgebung oder als Ergebnis anderer veränderter Bedingungen. Wenn das System solche Kosteninformationen anzeigt, können vorzugsweise Kosteninformationen, die sich aus der Auswahl der Vorlagen ergeben (z. B. durch einen oder mehrere Nutzer) gesammelt und zugelassenen Personen in geeigneten Ansichten im Editor (oder einer anderen Anwendung) angezeigt werden.
  • Das System (z. B. der Ul-Editor) kann auch die Funktion bereitstellen, Informationen zu empfangen, die einen Sicherheits-Kostenpunkt für eine oder mehrere Sicherheitsänderungen festlegen. Der Satz von Vorlagen, der dem Nutzer angezeigt wird, kann basierend auf diesen Informationen angepasst werden.
  • Es folgt eine Beschreibung eines typischen Anwendungsfalls lediglich zu Beispielzwecken. Die Details dieses Beispielszenarios sollen keine Einschränkung darstellen, und alle Produkte und Dienste, werden nur zu Diskussionszwecken angegeben. Wie in 8 dargestellt hat ein Unternehmen (Acme Bank) eine Produktionszone 800, die in einer Private-Cloud-Umgebung implementiert ist. Die Private Cloud ist aus dem Internet über eine DMZ 802 zugänglich, die sich zwischen einem Paar von Firewalls 804 und 806 befindet. Gemäß dieser Offenbarung hostet eine Sicherheitszone 808 den Sicherheitszusicherungsdienst 810 wie gezeigt, wird angenommen, dass das Unternehmen auch bereits eine umfangreiche Sicherheitssoftware-Suite einsetzt. Diese Suite enthält zum Beispiel IBM Security Access Manager (ISAM) für Zugriffsverwaltung 812, IBM Security Identity Manager (ISIM) für Identitätenverwaltung 814, das Gerät IBM Security Web Gateway (die DMZ für Secure Proxy) 816, die Datenbank IBM DB2 für Nutzerspeicher 818, IBM QRadar SIEM 820 gehostet auf IBM PureApplication, einer standardisierten Cloud-Anwendungsplattform 822, IBM Security AppScan 824, und ein Netzwerk IPS 826 in der DMZ 802. Heike 828 ist eine Anwendungsentwicklerin / Administratorin bei Acme und hat die Aufgabe, die PocketBook™-Anwendung 830 bereitzustellen zu diesem Zweck, und unter Verwendung der Werkzeuge der Cloud-Anwendungsplattform, erstellt Heike ein virtuelles System, das geeignete Enterprise-Knoten (z. B. Red-Hat-Enterprise-Knoten, RHELs) für verschiedene Komponenten oder Anwendungsinstanzen enthält, wie zum Beispiel (in diesem Beispielszenario) einen Knoten 832 für eine WebSphere Application Server-(WAS-) Instanz, einen Knoten 834 für eine IBM HTTP Server-(IHS-) Instanz, und einen Knoten 836 für eine IBM DB2-Instanz usw. Das virtuelle System umfasst vorzugsweise die Bestandteile, die für Anwendungsfunktionalität und -skalierbarkeit (für die neue Anwendung) in der Acme Private Cloud benötigt werden. In diesem Beispielszenario wird jedoch angenommen, dass das von Heike erstellte Cloud-Muster die Sicherheitsbestandteile, die benötigt werden, um die zukünftige extern verfügbare Webanwendung zu schützen, abdeckt oder anderweitig anzeigt. Darum wird der Sicherheitszusicherungsdienst dieser Offenbarung gebraucht.
  • Wie auch in 8 gezeigt, ist Hans 838 ein Sicherheitsarchitekt bei Acme, zu dessen Aufgaben die Sicherheit für Produktionssysteme im Betrieb gehören. Als Unterstützung bei systemweiter Konfiguration stellt Hans den Sicherheitszusicherungsdienst 810 dieser Offenbarung bereit (siehe z.B. 6), und insbesondere konfiguriert er den Dienst dahingehend, dass dieser alle softwarebasierten sicherheitsbezogenen Ressourcen in der Cloud verwaltet, zusammen mit Anbindung an bestehende Implementierungen wie beispielsweise (in diesem Beispielszenario) ISAM, ISIM, Web Security Gateway, QRadar, AppScan und IPS. Wenn Heike 828 den Cloud-Mustereditor verwendet (bereitgestellt durch das PureApplication-System 822), um die PocketBook-Anwendung 830 zur Bereitstellung vorzubereiten, wird angenommen, dass sie nicht ausreichend mit den internen Abläufen der Sicherheitsimplementierungen vertraut ist, um diese Teile des Sicherheits-Puzzles zu konfigurieren. Heike weiß (oder fordert) allerdings, dass diese Anwendung für jedwede Kommunikation mit dem Internet in hohem Maße abgesichert werden muss, doch vielleicht nicht ganz so sicher in Bezug auf Anfragen aus dem internen Netzwerk. Unter Verwendung der Techniken dieser Offenbarung wählt Heike eine oder mehrere Sicherheitsvorlagen aus, die benötigt (oder gewünscht) werden, um die sichere Cloud-Anwendungszone für diese neu entwickelte Anwendung zu erstellen. Wie vorstehend beschrieben, arbeitet der Sicherheitszusicherungsdienst vorzugsweise mit den anderen Cloud-Bereitstellungswerkzeugen zusammen, so dass Heike während der Bereitstellung neben anderen Bereitstellungsmodulen (siehe z.B. 7) aus einer oder mehreren leicht verständlichen Sicherheitszusicherungsvorlagen auswählen kann. In diesem Beispiel wird angenommen, dass Heike die vier (4) in 7 gezeigten und vorstehend beschriebenen Sicherheitsmodule ausgewählt hat. Wie vorstehend beschrieben, verwendet der Sicherheitszusicherungsdienst die ausgewählten Vorlagen als Richtlinie bei der Anpassung der detaillierten Änderungen an der Sicherheitskonfiguration, die für die bestehende Umgebung erforderlich sind. ( 8). Die Anwendung wird daraufhin innerhalb der konfigurierten Cloud-Anwendungszone mit ihrer kontextbasierten Sicherheitszusicherung bereitgestellt.
  • 8 veranschaulicht die detaillierten Verfahrensschritte. In Schritt (1) und unter Verwendung einer Anwendungsserver-Schnittstelle, erstellt Heike ein Muster, um die die PocketBook™-Anwendung 830 bereitzustellen. In Schritt (2) fragt die Cloud-Anwendungsplattform beim Sicherheitszusicherungsdienst 810 eine Liste verfügbarer Zusicherungsvorlagen ab. Diese Abfrage enthält Informationen über die bereitzustellende Anwendung (z. B. eine „J2EE-Anwendung mit einem einzelnen Kontext-Root, erstellt auf WebSphere® Application Server (WAS) und mit Hilfe von DB2“). Nach Erhalt dieser Spezifikation fährt der Sicherheitszusicherungsdienst bei Schritt (3) damit fort, Vorlagen der Typen „Interne Netzwerksicherheit“, „Anwendungssicherheit“, „Datensicherheit“ und „Intrusionsschutz“ zusammen mit Sicherheitsniveauoptionen „hoch“ oder „niedrig“ für jede davon (siehe 7) bereitzustellen. Der/Die von dem Sicherheitszusicherungsdienst zurückgegebene(n) Type(n) und deren Niveaus können sich je nach der angegebenen Anwendung in verfügbaren Ressourcen und der gleichen unterscheiden. In Schritt (4) zeigt die Cloud-Anwendungsplattform die einfachen Sicherheitsvorlagen für eine einfache Auswahl durch den Nutzer ein einem Konfigurator an (z.B. dem Mustererstellungswerkzeug von IBM Workload Deployer. Im Schritt (5) wählt Heike die vier Vorlagen aus, z. B. auf der Grundlage ihres allgemeinen Gefühls, dass das interne Netzwerk sicher ist, aber dass häufige Angriffe und Advanced Persistent Threats (APTs) aus dem externen Netzwerk wahrscheinlich sind. In Schritt (6) und vorzugsweise bei Anwendungsbereitstellung, übermittelt die Cloud-Anwendungsplattform die ausgewählten Sicherheitsvorgaben an den Cloud-Dienst, vorzugsweise zusammen mit den Details der bereitzustellenden Anwendung. In Schritt (7) erzeugt der Sicherheitszusicherungsdienst eine Liste von Konfigurationsschritten und zeigt die Liste Hans zur Bestätigung an. Die Anzeige der Liste für Hans (im Gegensatz zu Heike oder einer anderen Person) ist keine Vorgabe, aber könnte ein typischer Anwendungsfall sein. In Schritt (8) wendet der Sicherheitszusicherungsdienst die Konfigurationsänderungen aus der Ferne an, um die kontextspezifische sichere Cloud-Anwendungszone für die bereitzustellende Anwendung zu erstellen. In Schritt (9), und wenn die Erstellung der Zone abgeschlossen ist, benachrichtigt der Sicherheitszusicherungsdienst die Cloud-Anwendungsplattform (über einen Call Back) drüber, dass die Konfigurationseinstellungen abgeschlossen sind, und dass die Cloud-Anwendungsplattform den Bereitstellungsvorgang fortsetzen kann. Die Bereitstellung wird durch die Cloud-Anwendungsplattform auf die übliche Weise abgeschlossen.
  • Ohne als Einschränkung gemeint zu sein, wendet der Sicherheitszusicherungsdienst in diesem besonderen Beispielszenario (in dem es um die PocketBook™-Anwendung geht) eine Reihe von Konfigurationsänderungen an und diese wurden vorstehend im Detail erläutert. So erstellt der Dienst zum Beispiel in Unterschritt (8.1) einen WebSEAL-Knotenpunkt in dem Web Security Gateway 816 für den neuen Anwendungsendpunkt. In Unterschritt (8.2) konfiguriert der Dienst den Knotenpunkt und die WAS-Instance 832 dafür, grundlegende Authentifizierung für interne Kommunikation zu verwenden. In Unterschritt (8.3) aktiviert der Dienst Firewalls auf den neubereitgestellten RHEL-Instanzen, wobei nur benötigte Endpunkt-Ports geöffnet werden. In Unterschritt (8.4) führt der Dienst AppScan 824 gegen die neubereitgestellte Anwendung aus (falls erforderlich in einer Sandbox) und erstattet Bericht an den Nutzer oder Sicherheitsadministrator. In Unterschritt (8.5) hält der Dienst ein VPN für die neue Bereitstellung vor, z. B. durch das PureApplication System 822. In Unterschritt (8.6) aktualisiert der Dienst Access Manager 812 für berechtigte Nutzer der neuen Anwendung. In Unterschritt (8.7) aktualisiert der Dienst DB2 818 und 836 zur Verwendung einer SSL-Verbindung von WAS. In Unterschritt (8.8) konfiguriert der Dienst QRadar 820 Protokollquellen aus DB2, RHEL-Instanzen, WebSEAL und WAS. In Schritt (8.9)aktualisiert der Dienst QRadar-Regeln für die neue Anwendung. In Schritt (8.10) aktualisiert das System IPS 826 Regeln für die neue Anwendung und schließt so die Konfiguration der kontextspezifischen Cloud-Anwendungs-Sicherheitszone ab.
  • Diese besondere in 8 gezeigte Konfiguration sowie die Reihenfolge der Konfigurationsänderungen und Schritte sind lediglich beispielhaft. Wie ein Fachmann zu würdigen weiß, wird sich die Natur und Reihenfolge der zahlreichen Konfigurationsänderungen natürlich entsprechend ändern, falls andere Sicherheitsvorlagen ausgewählt werden und/oder falls andere Ressourcen verfügbar sind.
  • Nachfolgend werden typische oder zusätzliche Funktionen des Sicherheitszusicherungsdienstes dieser Offenbarung beschrieben. Eine oder mehrere dieser zusätzlichen Funktionen können je nach Wunsch bereitgestellt werden.
  • Der Cloud-Sicherheitszusicherungsdienst kann eine bestehende Sicherheitsumgebung analysieren, um Interaktionen für angepasste Konfigurationsschritte zu ermitteln, z. B. kann der kann der Dienst ermitteln, dass ein Virtuelles Privates Netzwerk (VPN) in einer bestimmten Konfiguration nicht benötigt wird, da das Netzwerk bereits durch eine andere Vorrichtung, ein anderes Netzwerk oder einen anderen Mechanismus isoliert ist.
  • Der Sicherheitszusicherungsdienst kann eine Funktion besitzen, Konfigurationen aufgrund von anderen Bereitstellungen zu aktualisieren. So kann der Sicherheitszusicherungsdienst es zum Beispiel erkennen, wenn ein Web-Sicherheits-Gateway eingesetzt wird, das bereits Zertifikate für andere Anwendungen verwendet und lediglich die neu bereitgestellte Anwendung dazu nachrüsten, ebenfalls Zertifikate zu verwenden.
  • Die in dem System (z. B. in einem Mustereditor) verfügbaren Sicherheitsvorlagen können vorzugsweise Verbindungs- und Interaktionslogik enthalten. Im Kontext eines Endnutzereditors vom WYSIWYG-Typ bezieht sich Verbinden auf ein Verbinden zweier Elemente (z. B. durch zeichnen einer Linie zwischen diesen) und stellt ein Mittel für einen Endnutzer dar, seiner oder ihrer Anwendung eine Sicherheitsfunktion hinzuzufügen. Wie in 7 gezeigt, ist die PocketBook™-Anwendung mit der Datenbank verbunden. Die in dem Editor erscheinenden Sicherheitsboxen haben vorzugsweise verknüpfte Metadaten (möglicherweise ausgeblendet), die dazu verwendet werden können, zu bestimmen, wie die Boxen miteinander wechselwirken. Mit einem einfachen Beispiel, in dem eine „Intrusionsschutz-Vorlage“ mit einem hohen Niveau ausgewählt wurde, können die Metadaten verhindern, dass eine Vorlage dieses Typs mit einem niedrigeren Niveau angewendet wird. In einem anderen, komplexeren, Beispiel, kann ein Sicherheitsadministrator eine Richtlinie festgelegt haben, dass das Netzwerk mindestens so sicher sein muss wie die von diesem gehostete Anwendung; dann kann die interne Netzwerksicherheit automatisch auf eine hohes Niveau hochgestuft werden (z.B. in dem Mustereditor) wenn der Nutzer ein hohes Datensicherheitsniveau auswählt. Oder, in diesem letzteren Umstand, kann das System den Nutzer daran hindern, zu versuchen, eine Box mit einer „hohen Anwendungssicherheit“ mit einer Box mit „niedriger Anwendungssicherheit“ zu verbinden. Verallgemeinernd, und abhängig von den Metadaten, können die Versuche des Nutzers, Elemente miteinander zu verbinden, auf diese Weise erlaubt oder unterbunden werden.
  • Somit, und in einem typischen Anwendungsszenario des Editors, wurde eine erste Vorlage ausgewählt. In Reaktion auf die Auswahl einer zweiten Vorlage durch den Nutzer und einer Anweisung, die zweite Vorlage mit der ersten Vorlage zu verbinden, werden dann zutreffende Sicherheitseinschränkungen hinsichtlich einer oder beider Vorlagen erzwungen.
  • Ein Sicherheitsadministrator interagiert vorzugsweise direkt mit dem Sicherheitszusicherungsservice, um Vorlagen auf bestehende Bereitstellungen anzuwenden, z. B. um Sicherheitseinstellungen für eine Anwendung, die etwa angegriffen wurde, zu aktualisieren.
  • Vorzugsweise ermöglicht er der Dienst einem Sicherheitsadministrator eine bestimmte Kategorisierung außer Kraft zu setzten. In einem nicht beschränkenden Beispiel könnte ein Hochsicherheitsnetzwerk einer Bank ein hohes Niveau von Steuerelemente benötigen, selbst im Vergleich zu einer ansonsten „niedrigen“ Sicherheitskategorie.
  • Der Sicherheitszusicherungsdienst protokolliert vorzugsweise Konfigurationseinstellungen und kann Sicherheitskonfigurationsschritte entfernen, wenn eine Anwendung aus dem System entfernt wird. Diese Sicherheits„Entfernungs“-Funktion interagiert vorzugsweise auch mit anderen Systemen, z. B. optionale Zurückstufung von Sicherheitsniveaus andrerer Anwendungen, falls ihre Sicherheit nur für die gerade entfernte Anwendung hochgestuft wurde.
  • Dem Sicherheitsadministrator wird vorzugsweise die Funktion bereitgestellt, in dem Dienst verfügbare Sicherheitsvorlagen zu ändern sowie Regeln anhand denen Vorlagen unter bestimmten Umständen verwendet werden müssen, zu ändern.
  • Der Sicherheitszusicherungsdienst interagiert vorzugsweise mit einer oder mehreren Cloud-Plattformen, um die virtualisierten Ressourcen zu verwalten. So kann der Sicherheitszusicherungsdienst zum Beispiel bestehende Kataloge des Unternehmens abfragen, um Installationen von Sicherheitssoftware sowie deren Orte und verfügbaren Ressourcen zu ermitteln. Der Dienst könnte auch versuchen, in dem Netzwerk vorhandene Software automatisch zu ermitteln, oder er könnte spezielle Sicherheitslösungen (wie beispielsweise einen Protokollmanager) abfragen, um andere in dem System installierte Software zu finden.
  • Vorzugsweise, und falls der Ressourcenverbrauch aufgrund von Sicherheitsoptionen mit einem hohen Niveau eine Rolle spielt, kann der Sicherheitszusicherungsdienst die Gesamtkosten der ausgewählten Sicherheitsvorlage(n) abschätzen und diese Information dem Bereitsteller der Anwendung zur Genehmigung anzeigen. Auch könnte ein Sicherheitsexperte optional Gesamt-Sicherheitsniveaus „maximal“ und „minimal“ konfigurieren, die für Anforderungen bestimmter Typen zulässig und erforderlich sind.
  • Ein Sicherheitsadministrator kann vorzugsweise den Sicherheitszusicherungsdienst dazu verwenden, Bereitstellungen von Anwendungen zu verhindern, falls Sicherheitsvorlagen nicht auf minimalen Sicherheitsniveaus ausgewählt wurden.
  • Der Sicherheitszusicherungsdienst kann vorzugsweise Muster zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitsniveaus durchsuchen, um automatisch Sicherheitsniveaus für neu bereitzustellende Anwendungen vorzuschlagen.
  • Der Sicherheitszusicherungsdienst kann vorzugsweise während der Anwendungsbereitstellung mit Sicherheitsanalysesystemen oder -diensten (z. B. Rational AppScan) interagieren oder zusammenarbeiten, um das Gesamtsicherheitsniveau einer bereitgestellten Anwendung zu prüfen und zu ermitteln, ob diese in die Sicherheitspolitik eines Unternehmens passt.
  • Der Dienst bietet vorzugsweise auch ein „Patching“ von Sicherheitszusicherungsvorlagen an entweder manuell oder automatisch (z. B. durch ein Auto-Update-Tool) um Sicherheitsempfehlungen basierend auf ausgewählten Vorlagen zu verbessern und um nachträglich neue Sicherheitskonfigurationen auf bestehende Anwendungen anzuwenden.
  • Der Dienst kann vorzugsweise Berichte oder andere Ausgaben, die häufige Schwachstellen beschreiben, oder Angriffsmusterdateien (z. B. APT-Muster) empfangen und ermitteln, ob ein solcher Angriff mit einer bestehenden Sicherheitskonfiguration verhindert würde. Im Fall einer möglichen Gefährdung durch einen Angriff erzeugt der Dienst dann Konfigurationsänderungen und wendet diese optional an, um die Umgebung zu schützen.
  • Wie vorstehend beschrieben, arbeitet der Sicherheitszusicherungsdienst vorzugsweise in Verbindung oder zusammen mit bestehender Cloud-Anwendungsplattform-Infrastruktur einschließlich, ohne Einschränkung, einer Cloud-Anwendungsplattform mit Funktionen zur Bereitstellung von Workloads. Auf diese Weise ergänzt oder unterstützt der Sicherheitszusicherungsdienst die gesamte Cloud-Infrastruktur um eine sichere kontextbasierte Anwendungsbereitstellung zu erleichtern.
  • In dem Beispielszenario der 8 werden die Sicherheitsvorlagen und ihre verknüpften Sicherheitskonfigurationsänderungen während des Bereitstellungsprozesses der Anwendung implementiert. In diesem Beispiel wird die Anwendungsbereitstellung gestartet, dann werden die Änderungen an der Sicherheitskonfiguration durchgeführt und anschließend wird der restliche Anwendungsbereitstellungsprozess ins Auge gefasst. Während dies ein typisches Arbeitsszenario darstellt, können die Sicherheitskonfigurationsänderungen orthogonal zum eigentlichen Bereitstellungsvorgang selbst implementiert werden. So können die Änderungen an der Sicherheitskonfiguration in einen Offline-Prozess implementiert werden, bevor die eigentliche Anwendungsbereitstellung gestartet wird. In dieser Alternative kann die Anwendungsbereitstellung gestartet und abgeschlossen werden, gefolgt von einem separaten Ausführungs-Thread des Sicherheitszusicherungsdienstes. Somit kann eine gegebene kontextbasierte Cloud-Anwendungs-Sicherheitszone vor, während oder nach dem eigentlichen Anwendungsbereitstellungsvorgang erstellt werden.
  • Die für die Implementierung der Sicherheitskonfigurationsänderungen für eine oder mehrere bestimmte Sicherheitsressourcen (wie durch eine bestimmte Sicherheitsvorlage vorgegeben) benötigten Werkzeuge können direkt oder indirekt durch die Vorlage festgelegt oder gesteuert werden.
  • Wie vorstehend beschrieben können zugelassene Administratoren berechtigt sein, Vorlagen direkt zu aktualisieren. Allgemeiner kann es wünschenswert sein Sicherheitsrichtlinien getrennt von den Vorlagen zu definieren. Beispielsweise kann eine „niedrige“ Datensicherheitsvorlage lediglich SSL erfordern, aber ein Administrator könnte (im Zuge einer Richtlinie) den Zusicherungsdienst so konfiguriert haben, dass dieser etwa Festplattenverschlüsselung für alle Bereitstellungen unabhängig von den gewählten Vorlagen erfordert. Dies ist funktional äquivalent zu einer Aktualisierung der Vorlagen, wie beschrieben, durch Administratoren. So werden in einer alternativen Ausführungsform solche administratorseitigen Änderungen als Richtlinien getrennt von den Vorlagen gespeichert. Dann prüft das System, um zu ermitteln, wie die Sicherheitszone erstellt werden soll, die verfügbare Software mit Bezug auf Anforderungen von Vorlagen sowie solchen Administratoreinstellungen. Solche Richtlinien können systemweit gelten oder in ihrem Geltungsbereich auf bestimmte Domänen beschränkt sein, zum Beispiel alle auf einer bestimmten Cloud ausgeführten Workloads oder alle mit einer bestimmten Software erstellten Workloads oder dergleichen.
  • Der zuvor beschriebene Gegenstand bietet viele Vorteile. Insbesondere liefern die vorstehend beschriebenen und erläuterten Techniken dieser Offenbarung einen systemübergreifenden, vorlagenbasierten Ansatz, der eine Kategorisierung von Anwendungen und Bereitstellungstechnologien vorsieht, um Anwendungen auf sichere Weise in eine Umgebung vorzuhalten, wobei alle oder relevante Sicherheitsinfrastruktur (z. B. Firewalls, Ereignisprotokolldienste, Verzeichnisse, Reverse Proxys usw.) mit den nötigen und/oder für diese Anwendung und Bereitstellungstopologie geeigneten Sicherheitseinstellungen aktualisiert werden. Dieser vorlagenbasierte Ansatz beruht auf vorzugsweise auf abstrakten oder „verallgemeinerten“ Kategorien, wobei der Dienst dann automatisch die erweiterte Vorhaltung in Form der nötigen Konfigurationsänderungen „im Verborgenen“ bereitstellt.
  • Der hierin geschilderte Ansatz liefert einen zentralisierten oder föderierten Sicherheitszusicherungsdienst, der Hardware-, Software-, Netzwerk- und Cloud-Ressourcen im erforderlichen Umfang für Anwendungssicherheit verwaltet. Die beschriebenen Techniken verwenden auf vorteilhafte Weise abstrakte Sicherheitszusicherungsvorlagen um Anwendungsentwicklung zu erweitern. Die Vorlagen sind vorzugsweise kontextbasiert und leiten sich aus Informationen über verfügbare Ressourcen und gewünschte Sicherheitsziele ab. Eine Liste von Sicherheitsvorlagen kann leicht aufgrund der Verfügbarkeit von Sicherheitssoftware in der Umgebung und / oder kombiniert mit Eigenschaften der Anwendung und Middleware angepasst werden. Der Dienst interpretiert auch abstrakte zusammengefasste Vorlagen, um bestimmte Konfigurationsschritte zu erzeugen. Der Dienst erzeugt eine software-definierte Ende-zu-Ende-Sicherheitsumgebung für neu bereitgestellte Anwendungen. Der Dienst aktualisiert Sicherheit für andere Anwendungen, falls eine Sicherheitsanforderung der neuen Anwendung sich auf diese auswirkt. Der Dienst ermöglicht eine automatische Erstellung von Sicherheitslösungen im erforderlichen Umfang Sicherheitsanforderungen von Anwendungen, wie beispielsweise Erstellen eines VPN oder einer DMZ, oder Hinzufügen von Firewalls. Der beschriebene Ansatz liefert eine Quintessenz eine Liste anstehender Sicherheitskonfigurationsänderungen, die ein Experte verstehen würde, und bietet zudem optional eine Bestätigung und Genehmigung solcher Änderungen. Der vorlagenbasierte Ansatz fügt sich auch leicht in andere Cloud-Bereitstellungswerkzeuge wie beispielsweise Anwendungsmuster-Tools ein.
  • Der Zusicherungsdienst kann über Details der bereitzustellenden Anwendung abgefragt werden, um für diese Anwendung geeignete Sicherheitsmaßnahmen zu ermitteln. Der Sicherheitsdienst wird vorzugsweise zentral verwaltet, um ein höheres oder niedrigeres Sicherheitszusicherungsniveau zu bieten. Der Ansatz erlaubt die Dekonfiguration einer Sicherheitsumgebung, wenn die Bereitstellung einer Anwendung beendet wird. Der Dienst ermöglicht auch eine Interaktionsverwaltung verwandter Zusicherungsvorlagen in Echtzeit, um Nutzerschnittstellenfunktionen (Ul-Funktionen), wie beispielsweise Verbindungen, oder sich gegenseitig ausschließende Vorlagen (z.B. kann sich das Hinzufügen von SSL auf die Schlüssellänge für verschiedene Zusicherungsniveaus auswirken) bereitzustellen. Der Dienst bietet automatische Suche oder Integration mit einer Softwareablage, um verfügbare Sicherheitssoftware und lizenzierte Ressourcen für die Auswahl verfügbarer Zusicherungsvorlagen aufzufinden. Der Dienst bietet vorzugsweise eine Verwaltungsfunktion zum fallbasierten, anwendungsspezifischen Außerkraftsetzen angewendeter Sicherheitsvorlagen an. Der Ansatz erlaubt eine Abschätzung systemweiter Kosten von Sicherheitskonfigurationsänderungen sowie eine Anzeige dieser Kosten an den Nutzer in einem leicht verständlichen Format. Der Dienst ermöglicht auch eine Fokussierung der Vorlagen auf die von Sicherheitseinstellungen verursachten Kosten, z.B. durch Vorgabe einer maximalen Kostenbelastung für die Sicherheitsumgebung. In diesem Fall kann der Endnutzer nur aus einem Teil der Sicherheitszusicherungsfunktionen auswählen. Der Ansatz erlaubt es dem Nutzer, eine zentralisierte Sicherheitsrichtlinie aufzustellen, um die Bereitstellung von Anwendungen zu verhindern, falls Sicherheitsvorlagen nicht mit einem Mindest-Sicherheitsniveau ausgewählt wurden.
  • Der Dienst bietet Analysefunktionen, die zum Vorschlagen von Sicherheitsvorlagen verwendet werden können, z.B. aufgrund von in der Vergangenheit ausgewählten Vorlagen. Die Verwendung von Sicherheitsanalysen während der Anwendungsbereitstellung bietet einen nützlichen Weg, um zu ermitteln, ob die Anwendungsbereitstellung zur Sicherheitspolitik des Unternehmens passt.
  • Der Dienst ermöglicht auch eine nachträgliche Anwendung hochgestufter Sicherheitsvorlagen auf bestehende Anwendungen. Der Dienst erlaubt auch eine Integration in Systeme, die Sicherheits-Scans durchführen oder Security-Intelligence-Berichte erstellen, um die Identifizierung von Lücken im Systemschutz zu erleichtern, und um fehlende Konfigurationen oder Produkte zu empfehlen und optional automatisch anzuwenden.
  • Der hierin beschriebene Ansatz kann ganz oder teilweise manuell oder automatisiert implementiert werden.
  • Während eine bevorzugte Betriebsumgebung und ein bevorzugter Anwendungsfall (ein Gerät oder eine Plattform für Cloud-Bereitstellungen) beschrieben wurden, können die hierin beschriebenen Techniken in jeder beliebigen anderen Betriebsumgebung verwendet werden, in der eine Bereitstellung von Anwendungen bei gleichzeitiger Umsetzung eines gegebenen Sicherheitskontexts erwünscht ist.
  • Wie beschrieben kann die vorstehend beschriebene Funktionalität als eigenständige Lösung implementiert werden, z.B. als eine oder mehrere softwarebasierte Funktionen, die von einem oder mehreren Hardware-Prozessoren ausgeführt werden, sie kann jedoch auch als verwalteter Dienst verfügbar sein (einschließlich als Web-Service über eine SOAP/XML-Schnittstelle). Die hierin beschriebenen hard- und softwareseitigen Implementierungsdetails dienen nur zu Illustrationszwecken und sind nicht dazu gedacht, den Geltungsbereich des beschriebenen Gegenstands einzuschränken.
  • Allgemeiner sind Rechnervorrichtungen innerhalb des Kontexts des Offenbarungsgegenstands jeweils ein Datenverarbeitungssystem (wie das in 2 gezeigte), welches Hardware und Software aufweist, und diese Einheiten miteinander über ein Netzwerk, so wie das Internet, ein Intranet, ein Extranet, ein privates Netzwerk oder ein(s) beliebige(s) andere Kommunikationsmedium oder - verbindung. Die Anwendungen auf dem Datenverarbeitungssystem bieten native Unterstützung für Web- und andere bekannte Dienste und Protokolle, einschließlich, ohne Einschränkung, Unterstützung für HTTP, FTP, SMTP, SOAP, XML, WSDL, UDDI und WSFL, unter anderen. Informationen bezüglich SOAP, WSDL, UDDI und WSFL können vom World Wide Web Consortium (W3C) bezogen werden, welches für die Entwicklung und Pflege dieser Standards verantwortlich ist; weitere Informationen bezüglich HTTP, FTP, SMTP und XML sind bei der Internet Engineering Task Force (IETF) verfügbar.
  • Zusätzlich zu der Cloud-basierten Umgebung können die hierin beschriebenen Techniken in oder in Verbindung mit verschiedenen serverseitigen Architekturen implementiert werden, einschließlich n-schichtige Architekturen, Web-Portale, föderierte Systeme und dergleichen.
  • Noch allgemeiner kann der hierin beschriebene Gegenstand die Form einer vollständig Hardware-implementierten Ausführungsform, einer vollständig Softwareimplementierten Ausführungsform oder einer Ausführungsform annehmen, die sowohl Hardware- als auch Software-Elemente enthält. In einer bevorzugten Ausführungsform wird der Sicherheitszusicherungsdienst (oder eine beliebige Komponente davon) als Software implementiert, wozu ohne Einschränkung auf das Genannte Firmware, residente Software, Microcode und dergleichen zählen. Des Weiteren können die Schnittstellen und Funktionen zum Herunterladen und Löschen die Form eines Computerprogrammprodukts annehmen, auf das auf einem durch einen Computer verwendbaren oder computerlesbaren Medium zugegriffen werden kann, welches Programmcode zur Verwendung durch oder in Verbindung mit einem Computer oder einem beliebigen Befehle verarbeitenden System bereitstellt. Für die Zwecke dieser Beschreibung kann ein durch einen Computer verwendbares oder computerlesbares Medium eine beliebige Vorrichtung sein, die das Programm zur Verwendung durch oder in Verbindung mit dem / der Befehle verarbeitenden System, Vorrichtung oder Gerät beinhalten oder speichern kann. Das Medium kann ein elektronisches, magnetisches, optisches, elektromagnetisches, Infrarot- oder Halbleitersystem (oder ein(e) entsprechende(s) Vorrichtung oder Gerät) sein. Zu Beispielen für ein computerlesbares Medium zählen ein Halbleiter- oder Festkörperspeicher, Magnetband, eine wechselbare Computerdiskette, ein Direktzugriffsspeicher (RAM), ein Festwertspeicher (ROM), eine starre Magnetscheibe und eine optische Disc. Aktuelle Beispiele optischer Discs beinhalten Compact Disc - Festwertspeicher (CD-ROM), Compact Disc mit Lese-/Schreibzugriff (CD-R/W) und DVD. Das computerlesbare Medium ist ein materielles, nicht vergänglicher Gegenstand.
  • Das Computerprogrammprodukt kann ein Produkt sein, das Programmanweisungen (oder Programmcode) aufweist, um eine oder mehrere der beschriebenen Funktionen zu implementieren. Diese(r) Anweisungen oder Code können nach einem Download von einem entfernten Datenverarbeitungssystem über ein Netzwerk in einem computerlesbaren Speichermedium in einem Datenverarbeitungssystem gespeichert werden. Alternativ können diese(r) Anweisungen oder Code in einem computerlesbaren Speichermedium in einem Server-Datenverarbeitungssystem gespeichert sein und zum Download über ein Netzwerk an ein entferntes Datenverarbeitungssystem zur Verwendung in einem computerlesbaren Speichermedium innerhalb des entfernten Systems geeignet sein.
  • In einer typischen Ausführungsform sind die Techniken in einer Spezialcomputer-Plattform implementiert, vorzugsweise als von einem oder mehreren Prozessoren ausgeführte Software. Die Software ist in einem oder mehreren Datenspeichern oder Arbeitsspeichern enthalten, die den einen oder mehreren Prozessoren zugeordnet sind, und die Software kann als ein oder mehrere Computerprogramme implementiert sein. Gemeinsam weist diese spezialisierte Hardware und Software die vorstehend beschriebene Funktionalität auf.
  • In der wie vorstehend beschriebenen Ausführungsform ist die hierin bereitgestellte Funktionalität als Zusatz oder Erweiterung einer bestehenden Cloud-Computing-Lösung zur Bereitstellungsverwaltung implementiert.
  • Die hierin beschriebenen Techniken liefern Verbesserungen für eine Technologie oder ein technisches Gebiet, nämlich Computereinheiten, die Cloud-Bereitstellungen verwalten, sowie Verbesserungen der Funktionsweise des Anwendungsbereitstellungsmechanismus selbst, nämlich durch Erweiterung seines konventionellen Funktionsumfangs, um Sicherheitskontext auf der Grundlage leicht verständlicher Vorlagen zu berücksichtigen, denen Anweisungen für Änderungen an Werkzeugsätzen zur Sicherheitskonfiguration zugeordnet sind.
  • Die besondere Nomenklatur einer „Vorlage“, wie hierin verwendet, soll nicht als auf ein(e) bestimmte(s) Format oder Struktur beschränkt verstanden werden, da der Begriff sich absichtsgemäß auf ein beliebiges Konstrukt bezieht (unabhängig von dessen Form oder Struktur), welches den Typ der bezeichneten Information beinhaltet (die vorkonfigurierten Sicherheitsanforderungen, die zu einem bestimmten Sicherheitszusicherungsniveau gehören), welches vorzugsweise mit einem leicht verständlichen Bezugswort bezeichnet sind (z.B. „hohe Sicherheit“), und welches dazu geeignet ist, von dem Dienst / System (typischerweise zusammen mit der Systemkonfiguration usw.) in die granulären Anforderungen übersetzt zu werden, die zur Implementierung des festgelegten Sicherheitsniveaus erforderlich sind. Je nach Implementierung kann eine „Vorlage“ einen Satz von Konfigurationsdaten aufweisen, die diese Eigenschaften und Charakteristiken besitzen.
  • Nachdem wir unsere Erfindung beschrieben haben, lauten unsere Ansprüche nun wie folgt:

Claims (42)

  1. Ein Verfahren zum Verbessern eines Cloud-Anwendungsbereitstellungsdienstes, der in einer Cloud-Anwendungsumgebung (402; 822) funktionsfähig ist, wobei das Verfahren aufweist: Empfangen von Informationen über einen in der Cloud-Anwendungsumgebung verfügbaren Satz von Sicherheitsfunktionen, um einen Sicherheitskontext zu definieren, wobei die Sicherheitsfunktionen Ermittlung mindestens eines Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen umfassen; Empfangen einer Auswahl eines Sicherheitszusicherungsniveaus, wobei das Sicherheitszusicherungsniveau in einer Vorlage (602) durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei mindestens eine des Satzes von verallgemeinerten Sicherheitsanforderungen auf eine Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitsressourcenanforderungen, die zum Implementieren des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, wobei die Vorlage eine Schnittstelle umfasst, um den Empfang einer Anweisung zum Einfügen einer Sicherheitsfunktion in eine Anwendung (830) zu ermöglichen, die durch den Cloud-Anwendungsbereitstellungsdienst bereitgestellt wird; für ein gegebenes Sicherheitszusicherungsniveau, Abbilden der mindestens einen des Satzes von verallgemeinerten Sicherheitsanforderungen, die spezifiziert ist, zu der Kennzeichnung des mindestens einen Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen; und als Reaktion auf den Empfang der Auswahl des Sicherheitszusicherungsniveaus, das die Abbildung umfasst, und zumindest teilweise basierend auf dem Sicherheitskontext, Anwenden von Konfigurationsänderungen auf einen Satz von Sicherheitsressourcen in der Cloud-Anwendungsumgebung durch Automatisierung, um eine kontextbasierte Sicherheitszusicherungszone für die vom Cloud-Anwendungsbereitstellungsdienst bereitgestellte Anwendung bereitzustellen, wobei die Konfigurationsänderungen das mindestens eine Sicherheitsprodukt installieren oder seine aktuellen Sicherheitseinstellungen anpassen oder die Sicherheitsfunktion, wie in der Vorlage spezifiziert, erzwingen; wobei die Empfangs- und Konfigurationsschritte in Software durchgeführt werden, die in einem Hardwareelement ausgeführt wird.
  2. Ein Verfahren zum Verbessern eines Cloud-Anwendungsbereitstellungsdienstes, der in einer Cloud-Anwendungsumgebung (402; 822) funktionsfähig ist, wobei das Verfahren aufweist: Empfangen von Informationen über einen in der Cloud-Anwendungsumgebung verfügbaren Satz von Sicherheitsfunktionen, um einen Sicherheitskontext zu definieren, wobei die Sicherheitsfunktionen Ermittlung mindestens eines Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen umfassen; Empfangen einer Auswahl eines Sicherheitszusicherungsniveaus, wobei das Sicherheitszusicherungsniveau in einer Vorlage (602) durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, die für die Cloud-Anwendungsumgebung in einer automatisierten Weise ermittelt wurden, wobei das Sicherheitszusicherungsniveau ein aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei mindestens eine des Satzes von verallgemeinerten Sicherheitsanforderungen auf eine Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitsressourcenanforderungen, die zum Implementieren des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, wobei die Vorlage eine Schnittstelle umfasst, um den Empfang einer Anweisung zum Integrieren einer Sicherheitsfunktion in eine Anwendung (830) zu ermöglichen, die durch den Cloud-Anwendungsbereitstellungsdienst bereitgestellt wird; für ein gegebenes Sicherheitszusicherungsniveau, Abbilden der mindestens einen des Satzes von verallgemeinerten Sicherheitsanforderungen, die spezifiziert ist, zu der Kennzeichnung des mindestens einen Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen; und als Reaktion auf den Empfang der Auswahl des Sicherheitszusicherungsniveaus, das die Abbildung umfasst, und zumindest teilweise basierend auf dem Sicherheitskontext, Anwenden von Konfigurationsänderungen auf einen Satze von Sicherheitsressourcen in der Cloud-Anwendungsumgebung durch Automatisierung, um eine kontextbasierte Sicherheitszusicherungszone für die vom Cloud-Anwendungsbereitstellungsdienst bereitgestellte Anwendung bereitzustellen, wobei die Konfigurationsänderungen das mindestens eine Sicherheitsprodukt installieren oder seine aktuellen Sicherheitseinstellungen anpassen oder eine Verbindungsanweisung, wie in der Vorlage spezifiziert, erzwingen, wobei das Erzwingen der Verbindungsanweisung eine Verbindungseinschränkung zwischen einer ersten Sicherheitsressource und einer zweiten Sicherheitsressource in Reaktion auf einen Empfang einer Anweisung zum Integrieren einer Sicherheitsfunktion erzwingt; wobei die Empfangs- und Konfigurationsschritte in Software durchgeführt werden, die in einem Hardwareelement ausgeführt wird.
  3. Das wie in Anspruch 1 oder 2 beschriebene Verfahren, weiterhin aufweisend ein Bereitstellen eines Satzes von Vorlagen, wobei jede Vorlage mit einem der Sicherheitszusicherungsniveaus verknüpft ist, und wobei die Auswahl des Sicherheitszusicherungsniveaus einer Auswahl einer Vorlage entspricht.
  4. Das wie in Anspruch 3 beschriebene Verfahren, wobei der Satz von Vorlagen über mit der Cloud-Anwendungsumgebung verknüpfte Nutzerschnittstellen-Werkzeuge einem Endnutzer bereitgestellt wird, wobei der Empfang der Auswahl einer Auswahl durch den Endnutzer über die Nutzerschnittstellen-Werkzeuge entspricht.
  5. Das wie in Anspruch 3 beschriebene Verfahren, wobei die Vorlagen einem Sicherheitsadministrator über eine Verwaltungsschnittstelle bereitgestellt werden.
  6. Das wie in Anspruch 5 beschriebene Verfahren, weiterhin aufweisend ein Anpassen des Satzes von mit einer Vorlage verknüpften Sicherheitsanforderungen über die Verwaltungsschnittstelle.
  7. Das wie in Anspruch 1 oder 2 beschriebene Verfahren, wobei das Verfahren ferner ein Anpassen des konfigurierten Satzes von Sicherheitsressourcen aufweist.
  8. Das wie in Anspruch 7 beschriebene Verfahren, wobei die Anpassung stattfindet nach einem von: Dekonfiguration einer Sicherheitsumgebung wenn die Bereitstellung einer Anwendung beendet wird, Modifizierung einer Sicherheitsumgebung für eine erste Anwendung wenn eine zweite Anwendung bereitgestellt wird, und Modifizierung einer Sicherheitsumgebung für eine erste Anwendung, wenn eine zweite Anwendung, die ein höheres Sicherheitsniveau als das der ersten Anwendung hat, dekonfiguriert wird.
  9. Ein Verfahren für kontextbasierte Zusicherung von Sicherheit in einer Cloud-Anwendungsumgebung (402; 822), aufweisend: während eine Anwendung (830) in der Cloud-Anwendungsumgebung bereitgestellt wird, Abfragen der Cloud-Anwendungsumgebung und, als Antwort, Empfangen von Informationen über einen Satz von in der Cloud-Anwendungsumgebung verfügbaren Sicherheitsfunktionen, zumindest teilweise basierend auf den empfangenen Informationen, Präsentieren eines Satzes von Vorlagen (602) in einem Editor, wobei mit einer Vorlage ein Sicherheitszusicherungsniveau verknüpft ist, das durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungens und häufig ausgewählten Sicherheitszusicherungsniveau ermittelt wird, wobei zumindest eine des Satzes von verallgemeinerten Sicherheitsanforderungen in einer Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitswerkzeuganforderungen, die zum Implementieren der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, und wobei eine Vorlage auch Kosteninformationen spezifiziert, die mit zumindest einer Sicherheitsfunktion verknüpft sind, die durch Abfragen der Cloud-Anwendungsumgebung in Zusammenhang mit einem maximalen Niveau, das mit Sicherheitsumgebungskosten verknüpft ist, ermittelt wurde, und, als Reaktion auf den Empfang einer Auswahl einer Vorlage, die Sicherheitsfunktionen beinhaltet, die dem spezifizierten maximalen Niveau entsprechen, automatisches Konfigurieren eines Satzes von Sicherheitsressourcen in der Cloud-Anwendungsumgebung, wobei der Satz von Sicherheitsressourcen die zumindest eine spezifische Sicherheitswerkzeuganforderung beinhaltet, die zum Implementieren einer Sicherheitsfunktion in der ausgewählten Vorlage erforderlich ist, wobei die Abfrage-, Präsentations- und Konfigurationsschritte in Software durchgeführt werden, die in einem Hardwareelement ausgeführt wird.
  10. Das wie in Anspruch 9 beschriebene Verfahren, wobei die Informationen über einen Satz von verfügbaren Sicherheitsfunktionen eine von verfügbarer Hardware, verfügbarer Software, vorhandenen Lizenzen und verfügbaren Lizenzen beinhaltet.
  11. Das wie in Anspruch 9 beschriebene Verfahren, wobei die Kosteninformationen in einer Vorlage als eine Schätzung von Kosten abgeleitet werden, die mit einem Satz von Sicherheitskonfigurationsänderungen in der Cloud-Anwendungsumgebung verknüpft sind.
  12. Das wie in Anspruch 9 beschriebene Verfahren, das ferner aufweist: Empfangen von Informationen, die die Sicherheitskosten einer oder mehrerer Sicherheitskonfigurationsänderungen festlegen; und Anpassen des Satzes von präsentierten Vorlagen auf der Grundlage der empfangen Informationen, die die Einstellungskosten festlegen.
  13. Das wie in Anspruch 9 beschriebene Verfahren, das ferner aufweist: Anpassen der Kosteninformationen in einer Vorlage auf der Grundlage des Empfangs einer Auswahl einer bestimmten Sicherheitsfunktion, die in der Vorlage bestimmt ist.
  14. Das wie in Anspruch 9 beschriebene Verfahren, wobei der Satz von präsentieren Vorlagen auf der Grundlage von Änderungskosten von Sicherheitsfunktionen in der Cloud-Anwendungsumgebung angepasst wird.
  15. Das wie in Anspruch 9 beschriebene Verfahren, das ferner aufweist: Sammeln von Kosteninformationen, die sich aus der Auswahl der Vorlagen durch mehrere Benutzer ergeben; und Darstellen der gesammelten Kosteninformationen in einer oder mehreren Display-Ansichten.
  16. Ein Verfahren für kontextbasierte Zusicherung von Sicherheit in einer Cloud-Anwendungsumgebung (402; 822), aufweisend: Bereitstellen eines Sicherheitszusicherungsdienstes (810), durch einen ersten Nutzer (828) mit einer mit der Cloud-Anwendungsumgebung verknüpften Cloud-Verwaltungsplattform interagieren, wobei der Sicherheitszusicherungsdienst den ersten Nutzern Sätze von Vorlagen (602) bereitstellt, wobei mit einer Vorlage ein Sicherheitszusicherungsniveau verknüpft ist, das durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungens und häufig ausgewählten Sicherheitszusicherungsniveau ermittelt wird, wobei zumindest eine des Satzes von verallgemeinerten Sicherheitsanforderungen in einer Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitswerkzeuganforderungen, die zum Implementieren der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich sind, dem ersten Nutzer nicht anzeigt, Bereitstellen einer Sicherheitsverwaltungsansicht von mit einer Auswahl von Vorlagen durch die ersten Nutzer verknüpften Sicherheitskonfigurationsänderungen an zumindest einen zweiten Nutzer (838), der sich von den ersten Nutzern unterscheidet, und, als Antwort auf einen Empfang einer Eingabe von dem zweiten Nutzer über die Sicherheitsverwaltungsansicht, Erzwingen einer Sicherheitsverwaltungsmaßnahme bezüglich einer Konfiguration von einer oder mehreren Sicherheitsfunktionen in der Cloud-Anwendungsumgebung, wobei die Eingabe Informationen enthält, die eine sich von der Vorlage unterscheidende Sicherheitsrichtlinien spezifizieren, wobei die Informationen mindestens eine zusätzliche spezifische Sicherheitswerkzeuganforderung enthalten, die der zweite Benutzer für notwendig erachtet, um die Sicherheitsanforderung des Sicherheitszusicherungsniveaus zu implementieren, und die nicht anderweitig in den spezifischen Sicherheitswerkzeuganforderungen spezifiziert ist; wobei das Erzwingen der Sicherheitsverwaltungsmaßnahme das Anwenden der von dem zweiten Benutzer spezifizierten Sicherheitsrichtlinien auf die Vorlage enthält, so dass ein Satz von Sicherheitsressourcen, der zur Implementierung der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich ist, die mindestens eine spezifische Werkzeuganforderung enthält, die von dem zweiten Benutzer in den Sicherheitsrichtlinien spezifiziert wurde; wobei die Bereitstellungs- und Erzwingungsschritte in Software durchgeführt werden, die in einem Hardwareelement ausgeführt wird.
  17. Das wie in Anspruch 16 beschriebene Verfahren, wobei die Eingabe eine anstehende Sicherheitskonfigurationsänderung genehmigt.
  18. Das wie in Anspruch 16 beschriebene Verfahren, wobei die Eingabe eine Auswahl der Vorlage durch einen ersten Benutzer oder eine mit der Vorlage verbundene Sicherheitsfunktion außer Kraft setzt.
  19. Das wie in Anspruch 16 beschriebene Verfahren, wobei die Eingabe die Bereitstellung einer Anwendung in der Cloud-Anwendungsumgebung verhindert, wenn eine Vorlage mit einem damit verknüpften minimalen Sicherheitszusicherungsniveau nicht von einem ersten Benutzer ausgewählt wurde.
  20. Das wie in Anspruch 16 beschriebene Verfahren, wobei die Sicherheitsverwaltungsansicht auch eine von mehreren zusätzlichen administrativen Funktionen bietet, die eine der folgenden sind: Konfigurieren einer neuen Vorlage oder Verändern einer bestehenden Vorlage, Verwenden von Sicherheitsanalytik, um eine Anwendungsbereitstellung aufgrund von Unternehmenssicherheitsrichtlinien zu verwalten, Definieren von Sicherheitsanforderungen für die Cloud-Anwendungsumgebung und Überprüfen von in der Cloud-Anwendungsumgebung verfügbaren Sicherheitsfunktionen.
  21. Das wie in Anspruch 16 beschriebene Verfahren, wobei die Eingabe einen Sicherheits-Scan der Cloud-Anwendungsumgebung startet und das Verfahren ferner das Präsentiren der Ergebnisse des Sicherheits-Scans an den zweiten Benutzer enthält, wobei die dem zweiten Benutzer präsentierten Ergebnisse eine Sicherheitsfunktions-Lückenanalyse beinhalten.
  22. Das wie in Anspruch 16 beschriebene Verfahren, wobei die Eingabe nachträglich eine aktualisierte Vorlage auf eine bestehende Anwendung anwendet, die in der Cloud-Anwendungsumgebung bereitgestellt wurde.
  23. Das wie in Anspruch 16 beschriebene Verfahren, wobei die Sicherheitsrichtlinien entweder Sicherheitsrichtlinien, die systemweit angewendet werden, oder Sicherheitsrichtlinien, die auf eine bestimmte Domäne beschränkt sind, sind.
  24. Ein Verfahren für kontextbasierte Zusicherung von Sicherheit in einer Cloud-Anwendungsumgebung (402; 822), aufweisend: während eine Anwendung (830) in der der Cloud-Anwendungsumgebung bereitgestellt wird, Präsentieren eines Satzes von Vorlagen (602) in einem Editor, wobei eine Vorlage vordefiniert ist und ein dazugehöriges Sicherheitszusicherungsniveau aufweist, das durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, die für die Cloud-Anwendungsumgebung in einer automatisierten Weise ermittelt wurden, wobei das Sicherheitszusicherungsniveau ein aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei mindestens eine des Satzes von verallgemeinerten Sicherheitsanforderungen in einer Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitswerkzeuganforderungen, die zum Implementieren der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, als Antwort auf einen Empfang einer Auswahl einer Vorlage, und zumindest teilweise basierend auf einem Sicherheitskontext der Bereitstellung, automatisches Anwenden von Konfigurationsänderungen durch Automatisierung auf einen Satz von Sicherheitsressourcen, die in der Cloud-Anwendungsumgebung vorhanden sind, um eine Cloud-Anwendungszone zu erstellen, wobei der Satz von Sicherheitsressourcen die zumindest eine spezifische Sicherheitswerkzeuganforderung, die zur Implementierung der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich ist, die Konfigurationsänderungen eine fehlende Konfiguration oder ein fehlendes Produkt enthalten; und bei einem Empfang einer Angabe, dass die Sicherheitsressourcen konfiguriert wurden, Vervollständigen des Bereitstellens der Anwendung in die Cloud-Anwendungszone, wobei die Präsentations-, Konfigurations- und Bereitstellungsschritte in Software durchgeführt werden, die in einem Hardwareelement ausgeführt wird.
  25. Das wie in Anspruch 24 beschriebene Verfahren, weiterhin aufweisend: Empfangen von Informationen über einen Satz von Sicherheitsfunktionen, die in der Cloud-Anwendungsumgebung verfügbar sind, und als Reaktion darauf Definieren des Sicherheitskontextes.
  26. Das wie in Anspruch 24 beschriebene Verfahren, wobei der Satz von Vorlagen einem Endbenutzer über ein mit der Cloud-Anwendungsumgebung verknüpftes Benutzerschnittstelle-Werkzeug zur Verfügung gestellt wird.
  27. Das wie in Anspruch 24 beschriebene Verfahren, wobei der Satz von Sicherheitsressourcen über eine REST-basierte Schnittstelle fernkonfiguriert wird.
  28. Das wie in Anspruch 24 beschriebene Verfahren, weiterhin aufweisend: als Reaktion auf Empfang, im Editor, einer Auswahl einer zweiten Vorlage und einer Anweisung, die zweite Vorlage mit der Vorlage zu verbinden, Erzwingen einer Sicherheitseinschränkung hinsichtlich mindestens einer der Vorlagen.
  29. Das wie in Anspruch 24 beschriebene Verfahren, wobei der Satz von Vorlagen, der im Editor präsentiert wird, zumindest teilweise basiert auf einem von: der Anwendung, die bereitgestellt wird, der Verfügbarkeit von Sicherheitssoftware in der Cloud-Anwendungsumgebung und einer oder mehreren Eigenschaften von Middleware in der Cloud-Anwendungsumgebung.
  30. Das wie in Anspruch 24 beschriebene Verfahren, weiterhin aufweisend: als Reaktion auf den Empfang, im Editor, einer Abfrage mit Details über die Anwendung, die bereitgestellt wird, Liefern von Informationen über eine oder mehrere verfügbare Sicherheitsressourcen, die für die Anwendung geeignet sind.
  31. Ein Computerprogrammprodukt (220) in einem nicht flüchtigen computerlesbaren Medium (218) zur Verwendung in einem Datenverarbeitungssystem (200), wobei das Computerprogrammprodukt Computerprogrammanweisungen (216) aufweist, die durch das Datenverarbeitungssystem ausgeführt werden, um kontextbasierte Sicherheitszusicherung in einer Cloud-Anwendungsumgebung (402; 822) bereitzustellen, wobei die Computerprogrammanweisungen bei Ausführung durch das Datenverarbeitungssystem das Verfahren gemäß einem beliebigen der Ansprüche 1 bis 30 durchführen.
  32. Vorrichtung (200), aufweisend: einen Prozessor (204); Computerspeicher (208), der Computerprogrammanweisungen aufweist, die durch den Prozessor ausgeführt werden, um einen Cloud-Anwendungsbereitstellungsdienst zu verbessern, wobei die Computerprogrammanweisungen aufweisen: Programmcode, der funktionsfähig ist zum Empfangen von Informationen über einen in einer Cloud-Anwendungsumgebung (402; 822) verfügbaren Satz von Sicherheitsfunktionen, um einen Sicherheitskontext zu definieren, wobei die Sicherheitsfunktionen Ermittlung mindestens eines Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen umfassen; Programmcode, der funktionsfähig ist zum Empfangen einer Auswahl eines Sicherheitszusicherungsniveaus, wobei das Sicherheitszusicherungsniveau in einer Vorlage (602) durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei mindestens eine des Satzes von verallgemeinerten Sicherheitsanforderungen auf eine Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitsressourcenanforderungen, die zum Implementieren des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, wobei die Vorlage eine Schnittstelle umfasst, um den Empfang einer Anweisung zum Einfügen einer Sicherheitsfunktion in eine Anwendung (830) zu ermöglichen, die durch den Cloud-Anwendungsbereitstellungsdienst bereitgestellt wird; Programmcode, der funktionsfähig ist zum Abbilden, für ein gegebenes Sicherheitszusicherungsniveau, der mindestens einen des Satzes von verallgemeinerten Sicherheitsanforderungen, die spezifiziert ist, zu der Kennzeichnung des mindestens einen Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen; und Programmcode zum Anwenden, als Reaktion auf den Empfang der Auswahl des Sicherheitszusicherungsniveaus, das die Abbildung umfasst, und zumindest teilweise basierend auf dem Sicherheitskontext, von Konfigurationsänderungen auf einen Satze von Sicherheitsressourcen in der Cloud-Anwendungsumgebung, durch Automatisierung, um eine kontextbasierte Sicherheitszusicherungszone für die vom Cloud-Anwendungsbereitstellungsdienst bereitgestellte Anwendung bereitzustellen, wobei die Konfigurationsänderungen das mindestens eine Sicherheitsprodukt installieren oder seine aktuellen Sicherheitseinstellungen anpassen oder die Sicherheitsfunktion, wie in der Vorlage spezifiziert, erzwingen.
  33. Vorrichtung (200), aufweisend: einen Prozessor (204); Computerspeicher (208), der Computerprogrammanweisungen aufweist, die durch den Prozessor ausgeführt werden, um einen Cloud-Anwendungsbereitstellungsdienst zu verbessern, wobei die Computerprogrammanweisungen aufweisen: Programmcode, der funktionsfähig ist zum Empfangen von Informationen über einen in einer Cloud-Anwendungsumgebung (402; 822) verfügbaren Satz von Sicherheitsfunktionen, um einen Sicherheitskontext zu definieren, wobei die Sicherheitsfunktionen Ermittlung mindestens eines Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen umfassen; Programmcode, der funktionsfähig ist zum Empfangen einer Auswahl eines Sicherheitszusicherungsniveaus, wobei das Sicherheitszusicherungsniveau in einer Vorlage (602) durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei mindestens eine des Satzes von verallgemeinerten Sicherheitsanforderungen auf eine Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitsressourcenanforderungen, die zum Implementieren des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, wobei die Vorlage eine Schnittstelle umfasst, um den Empfang einer Anweisung zum Einfügen einer Sicherheitsfunktion in eine Anwendung (830) zu ermöglichen, die durch den Cloud-Anwendungsbereitstellungsdienst bereitgestellt wird; Programmcode, der funktionsfähig ist zum Abbilden, für ein gegebenes Sicherheitszusicherungsniveau, der mindestens einen des Satzes von verallgemeinerten Sicherheitsanforderungen, die spezifiziert ist, zu der Kennzeichnung des mindestens einen Sicherheitsprodukts oder seiner aktuellen Sicherheitseinstellungen; und Programmcode, der als Reaktion auf den Empfang der Auswahl des Sicherheitszusicherungsniveaus, das die Abbildung umfasst, und zumindest teilweise basierend auf dem Sicherheitskontext, funktionsfähig ist zum Anwenden von Konfigurationsänderungen auf einen Satze von Sicherheitsressourcen in der Cloud-Anwendungsumgebung durch Automatisierung, um eine kontextbasierte Sicherheitszusicherungszone für die vom Cloud-Anwendungsbereitstellungsdienst bereitgestellte Anwendung bereitzustellen, wobei die Konfigurationsänderungen das mindestens eine Sicherheitsprodukt installieren oder seine aktuellen Sicherheitseinstellungen anpassen oder eine Verbindungsanweisung, wie in der Vorlage spezifiziert, erzwingt, wobei das Erzwingen der Verbindungsanweisung eine Verbindungseinschränkung zwischen einer ersten Sicherheitsressource und einer zweiten Sicherheitsressource in Reaktion auf einen Empfang einer Anweisung zum Integrieren einer Sicherheitsfunktion erzwingt.
  34. Die wie in Anspruch 32 oder 33 beschriebene Vorrichtung, wobei die Computerprogrammanweisungen ferner Programmcode zum Bereitstellen eines Satzes von Vorlagen aufweisen, wobei jede Vorlage mit einem der Sicherheitszusicherungsniveaus verknüpft ist, und wobei die Auswahl des Sicherheitszusicherungsniveaus einer Auswahl einer Vorlage entspricht.
  35. Die wie in Anspruch 34 beschriebene Vorrichtung, wobei der Satz von Vorlagen über mit der Cloud-Anwendungsumgebung verknüpfte Nutzerschnittstellen-Werkzeuge einem Endnutzer bereitgestellt wird, wobei der Empfang der Auswahl einer Auswahl durch den Endnutzer über die Nutzerschnittstellen-Werkzeuge entspricht.
  36. Die wie in Anspruch 34 beschriebene Vorrichtung, weiterhin eine Verwaltungsschnittstelle aufweisend, und wobei die Vorlagen einem Sicherheitsadministrator über die Verwaltungsschnittstelle bereitgestellt werden.
  37. Die wie in Anspruch 36 beschriebene Vorrichtung, wobei die Computerprogrammanweisungen weiterhin Programmcode zum Anpassen des Satzes von mit einer Vorlage verknüpften Sicherheitsanforderungen über die Verwaltungsschnittstelle aufweisen.
  38. Die wie in Anspruch 32 oder 33 beschriebene Vorrichtung, weiterhin Programmcode aufweisend, der zum Anpassen des konfigurierten Satzes von Sicherheitsressourcen funktionsfähig ist.
  39. Die wie in Anspruch 38 beschriebene Vorrichtung, wobei die Anpassung stattfindet nach einem von: Dekonfiguration einer Sicherheitsumgebung wenn die Bereitstellung einer Anwendung beendet wird, Modifizierung einer Sicherheitsumgebung für eine erste Anwendung wenn eine zweite Anwendung bereitgestellt wird, und Modifizierung einer Sicherheitsumgebung für eine erste Anwendung, wenn eine zweite Anwendung, die ein höheres Sicherheitsniveau als das der ersten Anwendung hat, dekonfiguriert wird.
  40. Vorrichtung (200), aufweisend: einen Prozessor (204); Computerspeicher (208), der Computerprogrammanweisungen aufweist, die durch den Prozessor ausgeführt werden, um eine kontextbasierte Zusicherung von Sicherheit in einer Cloud-Anwendungsumgebung (402; 822) einen Cloud-Anwendungsbereitstellungsdienst bereitzustellen, wobei die Computerprogrammanweisungen aufweisen: Programmcode, der, während eine Anwendung in der Cloud-Anwendungsumgebung bereitgestellt wird, funktionsfähig ist zum Abfragen der Cloud-Anwendungsumgebung und, als Antwort, zum Empfangen von Informationen über einen in der Cloud-Anwendungsumgebung verfügbaren Satz von Sicherheitsfunktionen; Programmcode, der zumindest teilweise basierend auf den empfangenen Informationen funktionsfähig ist zum Präsentieren eines Satzes von Vorlagen (602) in einem Editor, wobei mit einer Vorlage ein Sicherheitszusicherungsniveau verknüpft ist, das durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei zumindest eine des Satzes von verallgemeinerten Sicherheitsanforderungen auf eine Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitswerkzeuganforderungen, die zum Implementieren der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, und wobei eine Vorlage auch Kosteninformationen spezifiziert, die mit zumindest einer Sicherheitsfunktion verknüpft sind, die durch Abfragen der Cloud-Anwendungsumgebung in Zusammenhang mit einem maximalen Niveau, das mit Sicherheitsumgebungskosten verknüpft ist, ermittelt wurde; und Programmcode, der als Reaktion auf den Empfang einer Auswahl einer Vorlage, die Sicherheitsfunktionen beinhaltet, die dem spezifizierten maximalen Niveau entsprechen, funktionsfähig ist zum automatischen Konfigurieren eines Satzes von Sicherheitsressourcen in der Cloud-Anwendungsumgebung, wobei der Satz von Sicherheitsressourcen die zumindest eine spezifische Sicherheitswerkzeuganforderung beinhaltet, die zum Implementieren einer Sicherheitsfunktion in der ausgewählten Vorlage erforderlich ist.
  41. Vorrichtung (200), aufweisend: einen Prozessor (204); Computerspeicher (208), der Computerprogrammanweisungen aufweist, die durch den Prozessor ausgeführt werden, um eine kontextbasierte Zusicherung von Sicherheit in einer Cloud-Anwendungsumgebung (402; 822) bereitzustellen, wobei die Computerprogrammanweisungen aufweisen: Programmcode, der funktionsfähig ist zum Bereitstellen eines Sicherheitszusicherungsdienstes (810), durch einen ersten Nutzer (828) mit einer mit der Cloud-Anwendungsumgebung verknüpften Cloud-Verwaltungsplattform interagieren, wobei der Sicherheitszusicherungsdienst den ersten Nutzern Sätze von Vorlagen (602) bereitstellt, wobei mit einer Vorlage ein Sicherheitszusicherungsniveau verknüpft ist, das durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei zumindest eine des Satzes von verallgemeinerten Sicherheitsanforderungen in einer Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitswerkzeuganforderungen, die zum Implementieren der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich sind, dem ersten Nutzer nicht anzeigt, Programmcode, der funktionsfähig ist zum Bereitstellen einer Sicherheitsverwaltungsansicht von mit einer Auswahl von Vorlagen durch die ersten Nutzer verknüpften Sicherheitskonfigurationsänderungen an zumindest einen zweiten Nutzer (838), der sich von den ersten Nutzern unterscheidet, und, Programmcode, der als Antwort auf einen Empfang einer Eingabe von dem zweiten Nutzer über die Sicherheitsverwaltungsansicht funktionsfähig ist, zum Erzwingen einer Sicherheitsverwaltungsmaßnahme bezüglich einer Konfiguration von einer oder mehreren Sicherheitsfunktionen in der Cloud-Anwendungsumgebung, wobei die Eingabe Informationen enthält, die eine sich von der Vorlage unterscheidende Sicherheitsrichtlinien spezifizieren, wobei die Informationen mindestens eine zusätzliche spezifische Sicherheitswerkzeuganforderung enthalten, die der zweite Benutzer für notwendig erachtet, um die Sicherheitsanforderung des Sicherheitszusicherungsniveaus zu implementieren, und die nicht anderweitig in den spezifischen Sicherheitswerkzeuganforderungen spezifiziert ist; wobei das Erzwingen der Sicherheitsverwaltungsmaßnahme das Anwenden der von dem zweiten Benutzer spezifizierten Sicherheitsrichtlinien auf die Vorlage enthält, so dass ein Satz von Sicherheitsressourcen, der zur Implementierung der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich ist, die mindestens eine spezifische Werkzeuganforderung enthält, die von dem zweiten Benutzer in den Sicherheitsrichtlinien spezifiziert wurde.
  42. Vorrichtung (200), aufweisend: einen Prozessor (204); Computerspeicher (208), der Computerprogrammanweisungen aufweist, die durch den Prozessor ausgeführt werden, um kontextbasierte Zusicherung von Sicherheit in einer Cloud-Anwendungsumgebung (402; 822) bereitzustellen, wobei die Computerprogrammanweisungen aufweisen: Programmcode, der funktionsfähig ist zum Präsentieren eines Satzes von Vorlagen in einem Editor, während eine Anwendung (830) in der der Cloud-Anwendungsumgebung bereitgestellt wird, wobei eine Vorlage (602) vordefiniert ist und ein dazugehöriges Sicherheitszusicherungsniveau aufweist, das durch einen Satz von verallgemeinerten Sicherheitsanforderungen spezifiziert ist, die für die Cloud-Anwendungsumgebung in einer automatisierten Weise ermittelt wurden, wobei das Sicherheitszusicherungsniveau aus einer Vielzahl von Sicherheitszusicherungsniveaus ausgewählt wird, die durch das Durchsuchen von Mustern zwischen Anwendungsbereitstellungen und häufig ausgewählten Sicherheitszusicherungsniveaus ermittelt wird, wobei mindestens eine des Satzes von verallgemeinerten Sicherheitsanforderungen in einer Weise spezifiziert ist, die zumindest manche spezifischen Sicherheitswerkzeuganforderungen, die zum Implementieren der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich sind, nicht anzeigt, Programmcode, der als Antwort auf einen Empfang einer Auswahl einer Vorlage, und zumindest teilweise basierend auf einem Sicherheitskontext der Bereitstellung, funktionsfähig ist zum automatischen Anwenden von Konfigurationsänderungen durch Automatisierung auf einen Satz von Sicherheitsressourcen, die in der Cloud-Anwendungsumgebung vorhanden sind, um eine Cloud-Anwendungszone zu erstellen, wobei der Satz von Sicherheitsressourcen die zumindest eine spezifische Sicherheitswerkzeuganforderung, die zur Implementierung der Sicherheitsanforderung des Sicherheitszusicherungsniveaus erforderlich ist, die Konfigurationsänderungen eine fehlende Konfiguration oder ein fehlendes Produkt enthalten; und Programmcode, der bei einem Empfang einer Angabe, dass die Sicherheitsressourcen konfiguriert wurden, funktionsfähig ist zum Vervollständigen des Bereitstellens der Anwendung in die Cloud-Anwendungszone.
DE112015004562.7T 2014-11-28 2015-11-05 Kontextbasiertes Cloud-System für die Zusicherung von Sicherheit Active DE112015004562B4 (de)

Applications Claiming Priority (9)

Application Number Priority Date Filing Date Title
US14/555,739 2014-11-28
US14/555,739 US9838431B2 (en) 2014-11-28 2014-11-28 Context-based cloud security assurance system
US14/555,745 2014-11-28
US14/555,748 2014-11-28
US14/555,741 2014-11-28
US14/555,741 US9871822B2 (en) 2014-11-28 2014-11-28 Deployment using a context-based cloud security assurance system
US14/555,748 US9876822B2 (en) 2014-11-28 2014-11-28 Administration of a context-based cloud security assurance system
US14/555,745 US9699213B2 (en) 2014-11-28 2014-11-28 Cost-based configuration using a context-based cloud security assurance system
PCT/IB2015/058543 WO2016083925A1 (en) 2014-11-28 2015-11-05 Context-based cloud security assurance system

Publications (2)

Publication Number Publication Date
DE112015004562T5 DE112015004562T5 (de) 2017-06-22
DE112015004562B4 true DE112015004562B4 (de) 2021-12-23

Family

ID=56079934

Family Applications (1)

Application Number Title Priority Date Filing Date
DE112015004562.7T Active DE112015004562B4 (de) 2014-11-28 2015-11-05 Kontextbasiertes Cloud-System für die Zusicherung von Sicherheit

Country Status (4)

Country Link
US (6) US9838431B2 (de)
CN (1) CN107004095B (de)
DE (1) DE112015004562B4 (de)
WO (1) WO2016083925A1 (de)

Families Citing this family (65)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3063661B1 (de) 2013-10-30 2020-05-06 Hewlett-Packard Enterprise Development LP Topologiesanierung
WO2015065374A1 (en) 2013-10-30 2015-05-07 Hewlett-Packard Development Company, L.P. Management of the lifecycle of a cloud service modeled as a topology
US10567231B2 (en) 2013-10-30 2020-02-18 Hewlett Packard Enterprise Development Lp Execution of a topology
EP3063668A4 (de) * 2013-10-30 2017-05-31 Hewlett-Packard Enterprise Development LP Verwaltung des lebenszyklus eines als topologie modellierten cloud-dienstes mit mehreren richtlinien
WO2015065355A1 (en) 2013-10-30 2015-05-07 Hewlett-Packard Development Company, L. P. Stitching an application model to an infrastructure template
WO2015065370A1 (en) 2013-10-30 2015-05-07 Hewlett-Packard Development Company, L.P. Monitoring a cloud service modeled as a topology
US10057194B1 (en) * 2014-01-07 2018-08-21 Marvell Israel (M.I.S.L) Ltd. Methods and apparatus for memory resource management in a network device
US9807079B2 (en) * 2014-10-23 2017-10-31 Palo Alto Network, Inc. Single sign on proxy for regulating access to a cloud service
US20170339251A1 (en) * 2015-01-06 2017-11-23 Hewlett Packard Enterprise Development Lp Supporting interoperability in cloud environments
US9922085B2 (en) * 2015-07-30 2018-03-20 Sap Se Template based generation of cross views
US9762616B2 (en) * 2015-08-08 2017-09-12 International Business Machines Corporation Application-based security rights in cloud environments
US10606577B1 (en) * 2015-11-05 2020-03-31 Cognizant Trizetto Software Group, Inc. System and method for assuring customers during software deployment
US10200387B2 (en) * 2015-11-30 2019-02-05 International Business Machines Corporation User state tracking and anomaly detection in software-as-a-service environments
US10817593B1 (en) * 2015-12-29 2020-10-27 Wells Fargo Bank, N.A. User information gathering and distribution system
US10095539B2 (en) * 2016-07-25 2018-10-09 International Business Machines Corporation Automated data structure-driven orchestration of complex server provisioning tasks
US10713355B2 (en) * 2016-10-21 2020-07-14 Qatar University Method and system for adaptive security in cloud-based services
US10491700B2 (en) * 2016-11-18 2019-11-26 Sap Se Application managed service instances
US11323427B2 (en) 2016-12-02 2022-05-03 Carrier Corporation Mixed-mode cloud on-premise secure communication
US10986178B2 (en) 2017-01-04 2021-04-20 International Business Machines Corporation Execution of data logging in a networked computing environment
US10404751B2 (en) * 2017-02-15 2019-09-03 Intuit, Inc. Method for automated SIEM custom correlation rule generation through interactive network visualization
US11575770B2 (en) * 2017-06-30 2023-02-07 Vmware, Inc. Method for defining network application security based on declarative properties
US10958659B2 (en) * 2017-08-30 2021-03-23 Red Hat, Inc. Setting application permissions in a cloud computing environment
US10594735B2 (en) * 2017-09-28 2020-03-17 At&T Intellectual Property I, L.P. Tag-based security policy creation in a distributed computing environment
US11368489B2 (en) 2017-11-20 2022-06-21 Nokia Technologies Oy Apparatus, system and method for security management based on event correlation in a distributed multi-layered cloud environment
US10785190B2 (en) * 2017-12-13 2020-09-22 Adaptiv Networks Inc. System, apparatus and method for providing a unified firewall manager
FR3075422B1 (fr) * 2017-12-19 2022-05-20 Atos Information Tech Gmbh Plate-forme de nuage public gere
FR3076364A1 (fr) * 2017-12-29 2019-07-05 Agarik Sas Plate-forme cloud hybride orchestre pour environnement multi-cloud
US10402301B2 (en) 2018-01-08 2019-09-03 Microsoft Technology Licensing, Llc Cloud validation as a service
US10893023B2 (en) * 2018-01-12 2021-01-12 Vmware, Inc. Per-application VPN in container based environments
EP3511820A1 (de) * 2018-01-15 2019-07-17 Siemens Aktiengesellschaft Cloud-basiertes artefakt-lebenszyklusverwaltungssystem und verfahren dafür
US11017107B2 (en) * 2018-03-06 2021-05-25 Amazon Technologies, Inc. Pre-deployment security analyzer service for virtual computing resources
CN108428213B (zh) * 2018-03-30 2022-02-25 北京乐蜜科技有限责任公司 图像拼贴方法、装置、电子设备及介质
GB2574241B (en) * 2018-05-31 2021-07-14 British Telecomm Networked application orchestration
US20210157927A1 (en) * 2018-05-31 2021-05-27 British Telecommunications Public Limited Company Networked application orchestration
US11709946B2 (en) 2018-06-06 2023-07-25 Reliaquest Holdings, Llc Threat mitigation system and method
US20190377881A1 (en) 2018-06-06 2019-12-12 Reliaquest Holdings, Llc Threat mitigation system and method
US11487590B2 (en) * 2018-10-09 2022-11-01 Kyndryl, Inc. Orchestration engine resources and blueprint definitions for hybrid cloud composition
US10819589B2 (en) * 2018-10-24 2020-10-27 Cognizant Technology Solutions India Pvt. Ltd. System and a method for optimized server-less service virtualization
CN109756362B (zh) * 2018-11-23 2022-11-04 奇安信科技集团股份有限公司 一种第三方安全组件的集成处理方法及装置
US11394711B2 (en) 2018-11-29 2022-07-19 Microsoft Technology Licensing, Llc Streamlined secure deployment of cloud services
CN111355620A (zh) * 2018-12-20 2020-06-30 双子星云端运算股份有限公司 云服务测试及发布自动化系统
US11263642B2 (en) 2019-02-08 2022-03-01 International Business Machines Corporation Ensuring compliance in on-premise compute models
US10951605B2 (en) * 2019-02-20 2021-03-16 Xage Security, Inc. Centrally managing data for distributed identity-based firewalling
US11418399B2 (en) * 2019-04-30 2022-08-16 Cisco Technology, Inc. Multi-fabric deployment and management platform
US11095644B2 (en) * 2019-06-04 2021-08-17 Bank Of America Corporation Monitoring security configurations of cloud-based services
WO2021035590A1 (zh) * 2019-08-28 2021-03-04 Oppo广东移动通信有限公司 一种配置客户端的方法及装置、终端设备
CN110768966B (zh) * 2019-10-10 2022-03-25 中国人民解放军战略支援部队信息工程大学 一种基于拟态防御的安全云管理系统构建方法和装置
US11432149B1 (en) 2019-10-10 2022-08-30 Wells Fargo Bank, N.A. Self-sovereign identification via digital credentials for selected identity attributes
US11218491B2 (en) * 2019-12-12 2022-01-04 At&T Intellectual Property I, L.P. Security de-escalation for data access
US11651072B2 (en) 2020-03-01 2023-05-16 Cyberproof Israel Ltd. System, method and computer readable medium for identifying missing organizational security detection system rules
CN111711695B (zh) * 2020-06-17 2023-03-24 池州市新晟电子科技有限公司 一种基于云平台式的分布式设备管理系统
CN114070722A (zh) * 2020-07-28 2022-02-18 阿里巴巴集团控股有限公司 网络配置方法及装置
US20220070225A1 (en) * 2020-09-03 2022-03-03 Vmware, Inc. Method for deploying workloads according to a declarative policy to maintain a secure computing infrastructure
WO2022061022A1 (en) * 2020-09-16 2022-03-24 Ingram Micro Inc. Systems and methods for implementing trans-cloud application templates
US11641377B2 (en) * 2020-09-22 2023-05-02 Cyborg Security, Inc. System for mapping information security configurations across technology platforms
US11366894B1 (en) 2020-12-08 2022-06-21 International Business Machines Corporation Secure computing resource deployment using homomorphic encryption
CN112685179A (zh) * 2020-12-28 2021-04-20 跬云(上海)信息科技有限公司 一种基于云上成本的资源部署系统及方法
CN115190034B (zh) * 2021-04-07 2023-11-03 上海荟诚信息系统有限公司 基于边缘云计算的服务部署方法
US20220345367A1 (en) * 2021-04-27 2022-10-27 Kyndryl, Inc. Integration of network segments and security components into containers and hybrid cloud environments
WO2023163772A1 (en) * 2022-02-25 2023-08-31 Microsoft Technology Licensing, Llc. Platform-capability-policy profiles
US20230319073A1 (en) * 2022-04-01 2023-10-05 Reliaquest Holdings, Llc Threat mitigation system and method
US20230336578A1 (en) * 2022-04-13 2023-10-19 Wiz, Inc. Techniques for active inspection of vulnerability exploitation using exposure analysis
US20230336554A1 (en) * 2022-04-13 2023-10-19 Wiz, Inc. Techniques for analyzing external exposure in cloud environments
US20230336550A1 (en) * 2022-04-13 2023-10-19 Wiz, Inc. Techniques for detecting resources without authentication using exposure analysis
CN115174158B (zh) * 2022-06-14 2024-04-16 阿里云计算有限公司 基于多云管理平台的云产品配置检查方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080196002A1 (en) 2007-02-09 2008-08-14 Klaus Koster Template-based rule generation
US20130291052A1 (en) 2012-04-30 2013-10-31 Ca, Inc. Trusted public infrastructure grid cloud
US20140075499A1 (en) 2012-09-07 2014-03-13 Oracle International Corporation Security infrastructure for cloud services
US20140196113A1 (en) 2011-08-08 2014-07-10 Zte Corporation Secure on-demand supply method and system and traffic type acquisition method

Family Cites Families (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003001376A1 (en) 2001-06-22 2003-01-03 Wonderware Corporation A customizable system for creating supervisory process control and manufacturing information applications
US7448066B2 (en) 2002-09-19 2008-11-04 International Business Machines Corporation Application server object-level security for distributed computing domains
US7237267B2 (en) 2003-10-16 2007-06-26 Cisco Technology, Inc. Policy-based network security management
US20050096937A1 (en) 2003-11-04 2005-05-05 Subash Ghaisas S. Method of automation of business processes and apparatus therefor
US7475427B2 (en) * 2003-12-12 2009-01-06 International Business Machines Corporation Apparatus, methods and computer programs for identifying or managing vulnerabilities within a data processing network
US20120151553A1 (en) * 2005-11-16 2012-06-14 Azos Ai, Llc System, method, and apparatus for data cognition incorporating autonomous security protection
US8055904B1 (en) 2006-10-19 2011-11-08 United Services Automobile Assocation (USAA) Systems and methods for software application security management
US8838755B2 (en) 2007-03-23 2014-09-16 Microsoft Corporation Unified service management
US20100095235A1 (en) 2008-04-08 2010-04-15 Allgress, Inc. Enterprise Information Security Management Software Used to Prove Return on Investment of Security Projects and Activities Using Interactive Graphs
US8745213B2 (en) * 2008-12-19 2014-06-03 Openpeak Inc. Managed services platform and method of operation of same
KR101628361B1 (ko) 2009-05-08 2016-06-08 삼성전자주식회사 리눅스 기반의 보안 운영 체제를 위한 보안 정책 제공 방법 및 시스템
US8856333B2 (en) 2009-06-16 2014-10-07 Microsoft Corporation Datacenter execution templates
US20110093955A1 (en) 2009-10-19 2011-04-21 Bank Of America Corporation Designing security into software during the development lifecycle
US8713688B2 (en) * 2010-03-24 2014-04-29 Microsoft Corporation Automated security analysis for federated relationship
EP2385676B1 (de) 2010-05-07 2019-06-26 Alcatel Lucent Verfahren zur Anpassung von Sicherheitsrichtlinien einer Informationssysteminfrastruktur
CN102255933B (zh) 2010-05-20 2016-03-30 中兴通讯股份有限公司 云服务中介、云计算方法及云系统
US9354939B2 (en) 2010-05-28 2016-05-31 Red Hat, Inc. Generating customized build options for cloud deployment matching usage profile against cloud infrastructure options
US8656023B1 (en) 2010-08-26 2014-02-18 Adobe Systems Incorporated Optimization scheduler for deploying applications on a cloud
CN102843387B (zh) * 2011-06-20 2017-02-01 北京太能沃可网络科技股份有限公司 一种基于安全分级的云计算安全控制平台
US9639402B2 (en) * 2011-08-05 2017-05-02 Oracle International Corporation Systems and methods for automatic hardware provisioning based on application characteristics
US9311505B2 (en) * 2011-09-22 2016-04-12 Noka Technologies Oy Method and apparatus for providing abstracted user models
US8856936B2 (en) 2011-10-14 2014-10-07 Albeado Inc. Pervasive, domain and situational-aware, adaptive, automated, and coordinated analysis and control of enterprise-wide computers, networks, and applications for mitigation of business and operational risks and enhancement of cyber security
CN103067344B (zh) * 2011-10-24 2016-03-30 国际商业机器公司 在云环境中自动分发安全规则的非侵入性方法和设备
CN102438047A (zh) * 2011-12-13 2012-05-02 北京航空航天大学 一种移动互联网环境下的云服务安全动态自适应方法
KR20130093806A (ko) * 2012-01-10 2013-08-23 한국전자통신연구원 클라우드 컴퓨팅 환경에서의 개인 정보 유출 알림 시스템 및 방법
US9027077B1 (en) * 2012-04-30 2015-05-05 Palo Alto Networks, Inc. Deploying policy configuration across multiple security devices through hierarchical configuration templates
US9691051B2 (en) 2012-05-21 2017-06-27 Box, Inc. Security enhancement through application access control
US9276877B1 (en) * 2012-09-20 2016-03-01 Wiretap Ventures, LLC Data model for software defined networks
US9245144B2 (en) * 2012-09-27 2016-01-26 Intel Corporation Secure data container for web applications
US9251324B2 (en) * 2012-12-13 2016-02-02 Microsoft Technology Licensing, Llc Metadata driven real-time analytics framework
CN103841198B (zh) * 2014-03-07 2017-03-29 中南大学 一种净室云计算数据处理方法及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080196002A1 (en) 2007-02-09 2008-08-14 Klaus Koster Template-based rule generation
US20140196113A1 (en) 2011-08-08 2014-07-10 Zte Corporation Secure on-demand supply method and system and traffic type acquisition method
US20130291052A1 (en) 2012-04-30 2013-10-31 Ca, Inc. Trusted public infrastructure grid cloud
US20140075499A1 (en) 2012-09-07 2014-03-13 Oracle International Corporation Security infrastructure for cloud services

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
„Draft NIST Definition of Cloud Computing" von Peter Meli und Tim Grance vom 7. Oktober 2009

Also Published As

Publication number Publication date
US20180103067A1 (en) 2018-04-12
US10212190B2 (en) 2019-02-19
US9876822B2 (en) 2018-01-23
US20160156664A1 (en) 2016-06-02
US9912701B2 (en) 2018-03-06
US9699213B2 (en) 2017-07-04
US20160156663A1 (en) 2016-06-02
CN107004095A (zh) 2017-08-01
US9838431B2 (en) 2017-12-05
DE112015004562T5 (de) 2017-06-22
US20160212175A1 (en) 2016-07-21
CN107004095B (zh) 2021-02-05
US9871822B2 (en) 2018-01-16
US20160156662A1 (en) 2016-06-02
WO2016083925A1 (en) 2016-06-02
US20160156661A1 (en) 2016-06-02

Similar Documents

Publication Publication Date Title
DE112015004562B4 (de) Kontextbasiertes Cloud-System für die Zusicherung von Sicherheit
DE102016222048B4 (de) Dynamisch definierte virtuelle private netzwerktunnel in hybriden cloud-umgebungen
CN107085524B (zh) 用于云环境中的保证的日志管理的方法和装置
DE112016003726B4 (de) Dynamisch definierte virtuelle private Netzwerktunnel in hybriden Cloud-Umgebungen
DE112016006080B4 (de) Verwaltung von virtuellen desktopinstanzenpools
DE112019001481T5 (de) Selektives bereitstellen gegenseitiger transportschichtsicherheit mittels alternativer servernamen
US9588795B2 (en) Monitoring and reporting resource allocation and usage in a virtualized environment
DE102012203561A1 (de) Die Personifikation/Bevollmächtigung eines Benutzers in einem Merkmal-basierenden Authentifizierungssystem
DE112010004160T5 (de) Portieren virtueller Abbilder zwischen Plattformen
DE112016000915T5 (de) Sicherheit innerhalb softwaredefinierter Infrastruktur
DE112012000249T5 (de) Bewusstheit der Mehrmandantenprüfung bei der Unterstützung von Cloud-Umgebung
DE102016222034A1 (de) Dynamische Kennworterzeugung
DE112011103522T5 (de) Erstellung eines Multidimensionalen Modells von Software-Angeboten
DE102021206841A1 (de) Verfahren zur verschlüsselung der daten im ruhezustand für daten, die sich auf kubernetes-persistenten volumen befinden
DE112020002343T5 (de) Verteilung von Sicherheitsberechtigungsnachweisen
DE112022003107T5 (de) Automatisierte synthese von referenzrichtlinien zum schutz von mikrodiensten während der laufzeit
DE102014116744A1 (de) Management von Informationstechnologieressourcen
Naik et al. Workload monitoring in hybrid clouds
DE112021005237T5 (de) Verwaltung von privaten schlüsseln
DE112021002737T5 (de) Verwaltung von geheimen schlüsseln für die datenverarbeitung
DE102021122507A1 (de) Bereitstellen von isolierten containern zur verarbeitung von benutzeranforderungen
Buchanan et al. Azure Arc-Enabled Kubernetes: Getting Started
Bakshi et al. Cloud Reference Frameworks
DE112022001944T5 (de) Verteilte dekomposition von string-automatisierter schlussfolgerung unter verwendung von prädikaten
Sadtler et al. IBM Workload Deployer: Pattern-based Application and Middleware Deployments in a Private Cloud

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R016 Response to examination communication
R016 Response to examination communication
R018 Grant decision by examination section/examining division
R084 Declaration of willingness to licence
R020 Patent grant now final