Práticas Essenciais de Segurança para Fog Computing

Por vários anos, a Cisco tem defendido Fog Computing como pedra angular de arquiteturas IoT escaláveis, confiáveis e custo-efetivas. Ao integrar Cisco IOx em soluções industriais de IoT, dados gerados por dispositivos conectados podem ser filtrados, analisados e agidos diretamente em roteadores e switches de edge. Este processamento local introduz novos desafios de segurança que devem ser abordados em todo o ecossistema Fog, desde dispositivos IIoT individuais até os milhares de nós Fog que podem ser implantados em um ambiente de produção.

Segurança em Fog Computing não é uma única feature ou protocolo — é uma arquitetura em camadas que requer fundações sólidas, muito como construir uma casa resistente. Combinando melhores práticas para serviços de rede Cisco IOS com segurança Cisco IOx através de cada fase de um rollout Fog (veja Figura 1), organizações podem estabelecer uma postura de segurança resiliente.

Abaixo estão quatro pilares de segurança que ajudam gerentes de TI e operações a salvaguardar integridade de dados em um ambiente Fog.

Pilares de Segurança Cisco IOx

Controle de acesso

Implantar e gerenciar aplicações em Fog requer autenticação baseada em função que separa gestão de rede de gestão de aplicação.

• Gerentes de aplicação autenticam através do Fog Director ou IOx Local Manager (ex: instalação, upgrade, start/stop, validação e monitoramento de aplicação). Servidores Radius corporativos impõem restrições de login para bloquear acesso não autorizado.
• Gerentes de rede IOS privilegiados realizam provisionamento de dispositivo, configuração de interface e troubleshooting baseados em sua função, não em credenciais de login ou localização física.

Integridade

Além do hardening de hardware e software discutido em [hardening], Fog computing exige salvaguardas adicionais para proteger a plataforma IOx:

• Imagens de Guest-OS assinadas digitalmente, seguras pelo Módulo de Âncora de Confiança (TAM) nos chipsets Cisco ACT2, verificam integridade do OS.
• Isolamento de aplicação — seja como containers Docker, PaaS, containers Linux ou máquinas virtuais (módulo CGR 1000 Compute apenas) — protege recursos de interferência.
• Pacotes de aplicação assinados usam chave privada RSA Trust Anchor (PEM) e certificado cliente x509 (PEM) para confirmar identidade da fonte. Todas as ferramentas IOx (IOxclient, IOx Local Manager, Fog Director) impõem instalação de apps assinados para prevenir código malicioso.
• APIs OAuth fornecem acesso delegado, autenticando usuários sem expor credenciais a aplicações.
• PAM permite que desenvolvedores integrem múltiplos esquemas de autenticação de baixo nível via API de alto nível.

Confidencialidade e privacidade de dados

Nós Fog frequentemente armazenam dados localmente em flash embarcado ou SSDs mSATA (ex: IR829M). Lançamentos recentes do IOx introduzem Serviços de Armazenamento Seguro (SSS) que armazenam certificados, chaves e dados de usuário com segurança. Aplicações acessam SSS via APIs REST, permitindo criptografia em nível de aplicação. Mecanismos de segurança Linux como Cgroups, SMACK, SELinux e Namespaces fornecem camadas adicionais de proteção.

Comandos de controle (start/stop, install/uninstall) também devem permanecer confidenciais. SSL/TLS protege tráfego entre dispositivos Fog e serviços de gestão, incluindo transferências de arquivo. Configurações complementares Cisco IOS — VPNs IPsec, VRFs, VLANs — isolam ainda mais tráfego de dados.

Detecção e mitigação de ameaças

Análise de tráfego distribuída é um recurso central do Fog computing. Parceiros como [Sentryo] aproveitam espelhamento de porta em séries IE 4000 ou exportação de tráfego IP em séries IR800 para entregar agentes de analytics que monitoram fluxos de tráfego em dispositivos IOx.

Gerentes de operações precisam detectar comportamento anômalo de aplicação e capturar métricas para análise e planejamento de capacidade. Ferramentas/APIs IOx Local Manager e Fog Director perfis consumo de recursos de aplicação, enquanto DNA-C, IoT FND e Kinetic GMM automatizam provisionamento e imposição de políticas através de milhares de dispositivos IOx.

Compartilhe seus desafios de segurança conosco — visite o Cisco Live Orlando World of Solutions e IOx Devnet Zone de 10 a 14 de junho de 2018 para discutir como proteger sua implantação Fog.