Как показывает практика ведения проектов по защите виртуальных сред VMware, у заказчиков уровень защиты серверов виртуальных сред равен уровню защиты серверов, не использующих виртуализацию, или ниже его.

Это либо защита “по-правильному” — разграничение доступа (сеть, права администраторов и пользователей), предотвращение вторжений, четкая картина коммуникаций и контроль изменений, мониторинг событий и реагирование, либо минимальная защита — используется только антивирус на серверах и ничего более.

Первое встречается очень и очень редко, намного чаще встречается второй вариант. Остается разобраться — а стоит ли виртуальные среды защищать так же надежно, как это делается (когда все-таки делается) для сред физических?

Какие проблемы появляются при использовании технологий виртуализации

Снижается прозрачность ИТ-инфраструктуры при использовании средств виртуализации

  • Сетевые коммуникации между виртуальными машинами, находящимися на одном аппаратном сервере, проходят без выхода трафика за его пределы — обмен по сети между машинами идет через виртуальный коммутатор гипервизора.
  • Очень часто в одном аппаратном сервере (блейд-сервере) размещаются виртуальные машины интернет-сегментов и виртуальные машины внутренней сети (например, СУБД, серверы приложений). Разделение коммуникаций между сегментами обычно происходит с использованием встроенных средств гипервизора — виртуальные машины подключаются к разным программным коммутаторам. Фактически — все коммуникации идут в рамках одного аппаратного коммутатора этого сервера.

На моей практике был один случай, когда заказчик неожиданно для себя обнаружил постоянный сетевой трафик между разными серверами, подключенными к разным программным коммутаторам (vSwitches) в одном гипервизоре. По логике построения системы виртуализации этого не должно было быть. Так что при использовании технологий виртуализации никто не застрахован от программных ошибок.

Увеличиваются возможности несанкционированного доступа к конфиденциальной информации

  • При использовании виртуальных машин, чтобы похитить данные, достаточно похитить файлы виртуальной машины. Для этого нужен лишь доступ к средству управления либо к среде виртуализации. И весьма часто у заказчиков ни первое, ни второе адекватно не защищены, вплоть до того, что интерфейсы управления подключены к общей пользовательской сети. Получив такие файлы, их можно скопировать по сети в Интернет, либо на “флешку” и вынести за пределы компании.
  • При реализации технологий отказоустойчивости виртуальных машин по сети передаются сегменты оперативной памяти виртуальных машин. В то же время средства виртуализации не осуществляют шифрование этих данных, а это означает прямую возможность их (данных оперативной памяти) перехвата. Получить доступ к этим данным становится (по опыту) сложнее, обычно сети обмена выводят либо в отдельное сетевое оборудование, либо в отдельную VLAN существующих сетей’
  • При использовании “обычных” аппаратных серверов — их можно защитить межсетевым экраном (и другими средствами защиты). В случае использования виртуализации сделать это становится труднее, как минимум увеличивается сложность серверной и сетевой конструкции. При взломе одного сервера виртуальной машины становится намного проще взламывать другие виртуальные машины на этом же аппаратном сервере. Для защиты от таких взломов есть и межсетевые экраны, и IPS, только их почти никто не использует.

Увеличивается вероятность “ошибки администрирования”

Очень часто на аппаратных серверах размещаются разнородные (по функциональности) виртуальные машины, ввиду этого — повышается сложность серверных подключений и межсетевых взаимодействий (разные коммутаторы, множество подключений). Все это приводит к тому, что действия администрирования могут сделать брешь в защите — например, подключить ненужную сеть к серверу, ошибочно сервер поместить в открытый сегмент сети и так далее.

Как же решать эти проблемы

По опыту реализации проектов защиты виртуальных сред специфика защиты касается только применения самих средств защиты для виртуальных инфраструктур.

  • В остальном применяется классический подход к обеспечению безопасности:
  • категорирование и упорядочивание ресурсов по степени критичности обрабатываемой информации (сегментирование);
  • применение мер защиты как на границах сегментов, так и внутри них;
  • защита инструментов управления средствами безопасности и межсерверных коммуникаций.

По опыту защиты именно виртуальных инфраструктур очень важную роль играют организационные решения и контроль изменений инфраструктуры. Как говорится, обеспечение безопасности — процесс постоянный.

С помощью чего решать проблемы безопасности в виртуальных средах

На настоящий момент на рынке средств защиты, связанных с виртуализацией, такие решения можно условно подразделить на два класса.

Первый — это средства защиты, которые ранее поставлялись только в виде готовых аппаратных решений (appliances), а теперь выпускаются в том числе и в виде виртуального устройства (virtual appliance). Подобные решения никак не привязаны к реализации защиты самой среды виртуализации и направлены в первую очередь на снижение расходов по эксплуатации средств защиты.

Примеры таких решений — SSL VPN, антивирусы, решения по URL-фильтрации, инструменты управления средствами защиты.

Преимущества таких решений — быстрая скорость развертывания и ввода в эксплуатацию, использование существующих аппаратных мощностей заказчика, экономия ресурсов (место в стойках, электропитание, кондиционирование).

Второй класс образуют средства , предназначенные для защиты непосредственно виртуальных машин и контроля коммуникаций в виртуальной среде (на уровне гипервизора) . Это:

  • межсетевые экраны,
  • средства предотвращения вторжений ,
  • антивирусные решения, средства защиты от несанкционированного доступа,
  • средства контроля политик безопасности в виртуальных инфраструктурах.

Основным их преимуществом является специализация на защите виртуальных сред и коммуникаций в них.

Среди производителей средств защиты для виртуальных сред VMware можно отметить следующих игроков: CheckPoint, StoneSoft, “Код Безопасности”, Reflex Systems, Trend Micro.

Автор — начальник отдела системной архитектуры компании “Информзащита”

НА ПРАВАХ РЕКЛАМЫ