Тема месяца
Успевают ли технологии безопасности за виртуализацией?
Сейчас виртуальные сети и операционные системы весьма востребованы в бизнесе. Однако новая технология требует адекватных средств обеспечения безопасности. Необходимо представлять себе возможные уязвимости виртуальных систем, чтобы предотвратить потенциальные угрозы с помощью специального ПО для их защиты и своевременного обслуживания.
В любой компании есть смысл использовать технологии виртуализации по нескольким причинам, самая значимая из которых - снижение расходов на ИТ. В условиях экономического кризиса это становится еще более актуально. Выгоднее бесплатно создать еще одну виртуальную машину для нового приложения на уже имеющемся оборудовании, чем тратить деньги на приобретение нового. Виртуализация изменила многое: центры обработки данных стали более гибкими, появились новые возможности по перераспределению ресурсов, значительно повысилась отдача от ИТ. Однако виртуальные системы по-прежнему уязвимы, и нельзя забывать о необходимости обеспечения их безопасности.
Больше компонентов – больше угроз
В виртуальных операционных системах и работающих в них приложениях остались старые уязвимости (в том числе еще необнаруженные), и к тому же появились новые компоненты, в которых уже найдено заметное количество слабых мест: гипервизор, компоненты, отвечающие за виртуализацию аппаратной платформы, система управления виртуальными машинами. Виртуальные технологии не только не повысили безопасность, но и создали дополнительные источники проблем.
Количество уязвимостей увеличивается
Источник: IBM, 2009
Существуют вредоносные программы, которые позволяют взять полное управление над системой во время ее работы. Как пример можно привести руткиты SubVirt, Vitriol, BluePill. Часть из них использует новейшие технологии аппаратной виртуализации. А поскольку этот вредоносный код работает вне операционной системы, то нет никакой возможности обнаружить его средствами защиты самой ОС.
Реальные угрозы в виртуальной сети
Современные технологии позволяют работать на одном сервере нескольким совершенно различным приложениям, которые взаимодействуют между собой через виртуальные сети, коммутаторы и маршрутизаторы. Но от того, что сеть стала виртуальной, угрозы никуда не исчезли, специалистам по безопасности точно также нужно устанавливать межсетевые экраны, системы предотвращения атак и т.д.
Другой интересный вопрос - это организационное деление сети. Если в физическом сегменте понятно, кто отвечает за базы данных, сетевое оборудование или другие компоненты, то когда все это размещено на одном сервере, необходимо определить, кто следит за всем этим.
Организационное деление сети
Источник: IBM, 2009
Нельзя сказать, что администраторы не следят за безопасностью. На каждый виртуальный сервер ставятся все необходимые средства защиты. Но если допустить, что на одном физическом сервере работает пятьдесят различных виртуальных операционных систем, то чтобы их защитить, потребуется 50 файрволов, 50 антивирусов, 50 хостовых систем защиты от атак. Вряд ли такое расходование ресурсов сервера виртуализации будт экономным. Выгоднее установить межсетевой экран, систему предотвращения атак и другие системы защиты на уровне гипервизора, который бы один защищал все виртуальные операционные системы сразу. И такие разработки уже существуют.
Установка обновлений не всегда возможна
Опытные администраторы не раз сталкивались с ситуацией, когда в корпоративной сети существуют компьютеры, которые включаются очень редко, например, два раза в год. В момент включения они представляют из себя угрозу, поскольку не содержат актуальных обновлений и при подключении к интернету открыты для всевозможных опасностей. Полная аналогия прослеживается и с виртуальными машинами. Приостановка работы серверной операционной системы на неопределенное время приводит к тому, что ее невозможно интегрировать в процесс управления обновлениями, и при включении она уязвима.
Виртуальная машина – набор файлов
Инвентаризация физических машин возможна при помощи специализированных сканеров, но виртуальные машины в незапущенном состоянии - это просто набор файлов, и если сразу же с внедрением виртуализации не начать контролировать, что за приложения и в каком состоянии находятся внутри файлов на сервере виртуализации, то потом запускать все машины и смотреть что же там внутри, порой просто не представляется возможным. Это надо учитывать.
Кроме того, если раньше риск кражи физического сервера считался минимальным, то теперь достаточно переписать нужные файлы на любой носитель.
Политика безопасности не может полагаться на местоположение сервера
Поскольку виртуальная машина может мигрировать из одного ЦОДа в другой, то возникает вопрос, как создавать политику безопасности, если приложение работает то в одном месте, то в другом. Прописанные ранее статические политики безопасности оказываются в такой ситуации непригодными, и администраторам приходится находить новые способы ограничения доступа и фильтрации трафика.
При использовании технологий Live Migration нужно представлять себе, что по пути из одного ЦОДа в другой сетевой трафик может быть под атакой "человек посередине". И если данные передаются в открытом виде, то злоумышленник может сделать с ними все что угодно, обойдя сложные системы защиты и контроля доступа.
Где ждать угрозы?
Технологии виртуализации скоро будут использоваться повсеместно, а история показывает, что как только какая-то технология становится популярной, сразу же начинают активизироваться группы людей, занимающихся поиском в ней уязвимостей. Поэтому в каждой виртуальной сети уже есть точки, которые могут оказаться под угрозой. Например, это приложения, операционные системы, ПО виртуальных машин, структура управления, аппаратное обеспечение для виртуализации, виртуальные сети. Чтобы быть готовыми к новым угрозам, подразделениям ИТ и ИБ стоит посмотреть на продукты, которые уже существуют для защиты этих компонентов.
В любом случае все решения для защиты виртуальных сетей должны использовать те же принципы, что и в реальных сетях: глубокоэшелонированная защита, правильный дизайн сети и ее деление на сегменты, единое управление всей безопасностью, наличие работающих процессов управления информационной безопасностью, четкое распределение ролей и обязанностей.
Иван Бобров: Главное преимущество использования виртуализации – рост динамики бизнеса и сокращение временных затрат
На вопросы CNews ответил руководитель отдела продаж комплексных решений департамента по работе с крупными корпоративными заказчиками Microsoft Россия Иван Бобров.
CNews: Каковы в целом ваши ожидания относительно дальнейшего развития глобального рынка виртуализации и его российского сектора?
Иван Бобров: Спрос на виртуализацию серверов будет расти. Он будет сопровождаться более рациональным подходом заказчиков. Например, в целом ряде случаев нерационально виртуализировать базу данных: технических преимуществ это не имеет, финансовые последствия, скорее, негативные. Но в этом вопросе многое зависит от продавца базы данных. Серьезные поставщики базы данных никогда не скажут, что надо ее виртуализировать - у них есть другие средства для ее успешной работы. Но компании, для которых виртуализация - основной бизнес, иногда это предлагают, провоцируя заказчика на серьезные дополнительные расходы (необходимо купить на каждую виртуальную машину лицензии на базу данных).
