Bedrijven en organisaties besteden hun ICT-diensten steeds vaker uit aan cloud-omgevingen. voornamelijk gedreven door overwegingen zoals kostenefficiëntie, gestroomlijnde processen en beveiliging zijn daarbij leidend. In haar promotieonderzoek aan het Centrum voor Veiligheid en Digitalisering (CVD) behandelt Sousan Tarahomi (EEMCS - DACS groep) fundamentele vragen: "Maakt de cloud ons veiliger, of verandert het alleen het type bedreigingen waaraan we worden blootgesteld?"
Hoewel de motieven voor outsourcing variëren, zoals het vereenvoudigen van processen en het verlagen van kosten, is het verbeteren van beveiliging een van de belangrijkste redenen om naar de cloud te migreren. Tegelijkertijd is er een groeiende trend om ‘cloud-on-cloud’-systemen te bouwen. Hierbij wordt de ene clouddienst (bijvoorbeeld voor het beheren van bedrijfsfinanciën) gebouwd bovenop een andere clouddienst (zoals het aanbieden van een virtuele omgeving).
Dominante spelers
Sousan Tarahomi onderzoekt de diepere samenhang van deze cloud-infrastructuur. Daar heeft ze goede redenen voor: ‘Hoe ingewikkelder en meer samengesteld de stapelingen binnen de cloud-infrastructuur zijn, des te groter is de kans dat je afhankelijk wordt van een van de dominante spelers,’ zegt ze.
Met name op de markt voor infrastructuur-as-a-service (virtuele machines) domineert een klein aantal grote spelers het landschap waaronder Amazon, Cloudflare en Microsoft. Omdat cloudproviders diverse kritische diensten aanbieden, zoals DNS (Domain Name System), kan een aanval op de cloud-infrastructuur andere daarvan afhankelijke diensten in haar val meesleuren. DNS is het telefoonboek van internet: mensen hebben online toegang tot informatie via domeinnamen; DNS vertaalt domeinnamen naar IP-adressen.
Veiligheidsrisico's
‘Onze focus ligt op het identificeren van kwetsbaarheden en geïsoleerde faalpunten op netwerk- en infrastructuurniveau. Die sporen we onder meer op met hulp van een data-gestuurde aanpak,’ zegt Sousan.‘Dit is een compleet nieuwe werkwijze binnen dit onderzoeksterrein. Zo kunnen we tot een beter begrip komen van veiligheidsrisico’s in cloud-omgevingen.’
In de eerste fase van onderzoek gaat Sousan diep in op fundamentele vragen: Hoe wordt de cloud gedefinieerd; hoe kan het worden gekarakteriseerd; en met welke nieuwe onderzoeksmethoden kunnen we het analyseren?’ Door de inzet van Open Intelligence verkreeg Sousan al vlot een dieper inzicht in het marktaandeel en de dominantie van de grote cloud-providers in verschillende diensten zoals DNS, mail en webhosting.
Conferentie
In een eerste publicatie op de NetSoft-conferentie in Madrid, in juni 2023, werden haar onderzoeksvragen en methode van onderzoek goedgekeurd. Een uitgewerkte testmethodiek werd vastgelegd om de cloud-infrastructuur op een nieuwe manier te detecteren en te identificeren, door gebruik te maken van open intelligentie in combinatie met machine learning-tools.
Sousan: ‘Ik wil graag een nieuw licht werpen op hoe mensen denken over cloud-identiteit en beveiligingsvraagstukken. Traditioneel vertrouwen op grote providers is naar mijn mening geen wondermiddel. Integendeel, kleine aanbieders kunnen heel nuttig zijn om bedrijven en organisaties minder kwetsbaar te maken voor bedrijfsbedreigende aanvallen en algehele cyberveiligheid.’
‘Het is nog een lange weg om dit overtuigend te bewijzen,’ geeft ze aan. ‘Mijn persoonlijke motivatie haal ik uit de dynamiek en impact van onderzoek. In dit PhD-project komt dat allemaal mooi samen. Ook in mijn toekomstige carrière hoop ik deze balans opnieuw te vinden. Een baan in het bedrijfsleven is volgens mij pas interessant als het bedrijf of de organisatie openstaat voor de ontwikkeling van nieuwe technologieën en nieuwe onderzoeksmethoden. Werken als academisch onderzoeker kan ook voldoening geven, als impact voor de samenleving een oprechte drijfveer is naast wetenschappelijke publicaties.’
Over het CVD
Het Centrum voor Veiligheid en Digitalisering (CVD) richt zich op belangrijke uitdagingen in digitalisering en beveiliging. Het brengt kennisinstellingen, bedrijven en overheidsorganisaties samen om samen te werken aan onderzoek en onderwijs op het gebied van digitale veiligheid. Het CVD ondersteunt professionele ontwikkeling en onderzoek, waarbij de Universiteit Twente een van de oprichtende partners is.
Dit artikel is geschreven door Egbert van Hattem en gepubliceerd door het CVD.
