Согласно результатам международного опроса, проведенного IDC в 2012 г., среди своих наиважнейших задач ИТ-руководители выдвигают на первое место консолидацию серверов и их виртуализацию.
Результаты исследований этой же аналитической компании, завершенные в IV квартале 2012 г., показывают, что в России виртуализацией охвачено более 25% серверов. Это несколько больше, чем в США, и немногим меньше, чем в Германии и Великобритании.
Начав с серверов и убедившись на практике в эффективности применения виртуализации в ИТ-инфраструктуре, заказчики стали распространять эту технологию на рабочие места, сетевой компонент ИТ-инфраструктуры и системы хранения данных (СХД).
Однако наряду с явными выгодами виртуализация привнесла новые, связанные с обеспечением информационной безопасности (ИБ), проблемы, специфичные для применения данной технологии в ИТ-среде. Эти проблемы можно разделить на две части: технологическую и организационную.
В нашем обзоре мы рассмотрим основные технологические особенности организации защиты составляющих ИТ-инфраструктуры — серверов, рабочих местах, корпоративной сети и систем хранения данных, которые связаны с виртуализацией этой инфраструктуры. Мы постараемся дать оценку состояния рынка средств защиты виртуализированных ИТ-ресурсов и опыта их применения, а также охарактеризуем действующую в нашей стране нормативно-правовую базу, относящуюся к аспектам регулирования использования виртуализации с позиций ИБ.
Уровень проникновения и перспективы виртуализации ИТ в России
Если объединить результаты исследований IDC с данными “Лаборатории Касперского”, то можно сделать вывод, что не позднее чем через год серверную виртуализацию будут использовать более половины российских предприятий и организаций разных масштабов. При этом, как утверждает Михаил Чернышев, технический консультант компании McAfee в России и СНГ, прогресс очевиден не только в традиционно благополучных для распространения современных технологий регионах вроде Москвы или Санкт-Петербурга — он наблюдает это практически повсюду, где в стране есть предприятия среднего и крупного масштаба (именно выйдя на такой уровень, компании, как правило, и начинают задумываться об экономии ИТ-ресурсов и повышении надежности).
Согласно наблюдениям Константина Воронкова, руководителя группы развития систем управления, продуктов для мобильных платформ и виртуальных сред “Лаборатории Касперского”, большая часть серверных приложений, которые компании используют сегодня в виртуальных средах (ВС), являются критически важными для бизнеса (это базы данных, электронная почта, системы ERP, CRM и т. п.), что резко отличается от ситуации, которая наблюдалась несколькими годами ранее, когда виртуализация только начинала обретать популярность и предприятия переносили в виртуальную среду свои наименее критичные приложения. Массовая виртуализация критически важных бизнес-приложений свидетельствует, как полагает г-н Воронков, о доверии заказчиков к этой технологии, а также о достижении определенного уровня зрелости самой технологии.
Виртуализация инфраструктуры рабочих станций (VDI), согласно данным “Лаборатории Касперского”, пока не получила в нашей стране широкого распространения. Эксперты “Лаборатории” объясняют это тем, что VDI обычно используется в тех компаниях, чьи сотрудники выполняют типовые, строго регламентированные задачи (как, например, сотрудники call-центров, операционисты в банках, служащие многих государственных организаций).
Следует отметить, что потребность в таких рабочих местах испытывают далеко не все заказчики. Тем не менее по мере того, как технологии виртуализации рабочих станций совершенствуются, российские компании (в первую очередь крупные) всё чаще проводят пилотные внедрения VDI. В целом нынешнее положение виртуализации рабочих мест специалисты “Лаборатория Касперского” в нашей стране рассматривают как стартовое и предполагают активный рост количества внедрений решений виртуализации рабочих станций в близкой перспективе.
Основываясь на своем опыте проектной деятельности и обследования объектов ИТ и ИБ, Сергей Панин, инженер по системам информационной безопасности компании LETA, оценивает проникновение платформ виртуальных сред в России в сегментах среднего и крупного частного бизнеса примерно в 85%. Он также отмечет, что понимание преимуществ использования виртуализации есть и у российских государственных организаций. Так, проведенный им анализ сайта государственных закупок показывает большой рост количества заказов как на проектирование и внедрение виртуальных сред, так и на поставку неисключительных прав использования лицензионных виртуальных сред. При этом, как он отмечает, если не в первом же заказе, то в последующих заказчики поднимают вопрос о защите закупаемых решений.
Проникновение виртуализации в корпоративную ИТ-среду в целом в нашей стране Дмитрий Когай, менеджер по продукту компании “Аванпост”, оценивает в 10—15% и полагает, что по этому показателю Россия существенно проигрывает экономически развитым странам. Вместе с тем темпы, которыми растет это ИТ-направление, превышают, по его мнению, таковые по ИТ-отрасли в целом. Ссылаясь на данные аналитиков из IDC, он прогнозирует, что в течение пяти ближайших лет Россия может выйти на 70% виртуализации всей ИТ-инфраструктуры.
Алексей Сабанов, заместитель генерального директора компании “Аладдин Р.Д.”, полагает, что виртуализация, несмотря на громкую рекламу, на практике пока еще используется слабо; в настоящее время идет тестирование технологии, устраняются нестыковки средств виртуализации разных производителей, в виртуальную среду переведено не более 8% бизнес-процессов, причем в основном в частные, полностью подконтрольные владельцам этих бизнес-процессов, виртуальные среды.
Солидарен с Алексеем Сабановым в оценке уровня проникновения средств виртуализации ИТ-ресурсов в России Вячеслав Медведев, старший аналитик отдела развития компании “Доктор Веб”. По его мнению, этот показатель остается все еще достаточно низким. Г-н Медведев отмечает, что существует большое количество предложений по переводу всей или части ИТ-инфраструктуры в облачные структуры — частные, глобальные, гибридные. Но этих предложений, считает он, явно недостаточно для покрытия всей территории нашей страны. Но самое главное заключается в том, что потенциальные клиенты облачных ИТ-сервисов опасаются трудностей, появляющихся при переводе ИТ в облака, и прежде всего их пугает отсутствие финансовой ответственности поставщиков облачных услуг в случае возникновения различного рода ИБ-проблем, включая прерывание доступа к ИТ-сервисам и т. п. В дополнение к этому они предполагают рост затрат на безопасность, который обычно связывают с появлением новых рисков, присущих виртуализации и облачным технологиям.
К факторам, сдерживающим распространение виртуализации, Николай Романов, технический консультант компании Trend Micro в России и странах СНГ, помимо финансового аспекта относит необходимость существенного расширения систем хранения данных под виртуализацию и тщательную оценку возможных сценариев использования. Он обращает внимание на то, что до сих пор не все приложения и системы (например, графические системы, а также СХД сами по себе) могут быть перенесены в виртуальную среду. Что касается виртуализации корпоративных сетей, то это направление он оценивает как находящееся в начальной стадии.
Особенности обеспечения ИБ виртуализированных ИТ-сред
Опросы показывают, что более половины ИТ-специалистов все еще оценивают ИБ-риски для виртуализированных ИТ-ресурсов как более низкие, чем для физических. Тем, кто так считает, Алексей Воронцов, технический специалист по ПО безопасности корпорации IBM, напоминает, что только в идеале виртуализация позволяет строить потенциально более защищенные (по сравнению с невиртуализированными) ИТ-системы за счет грамотного применения изоляции сервисов в отдельных виртуальных машинах и возможностей фильтрации, предоставляемых виртуализированной сетевой инфраструктурой. В реальности же ситуация выглядит иначе. Виртуализированная ИТ-среда подвержена тем же угрозам, что и физическая. Кроме того, ей присущи и специфические, связанные с технологическими особенностями, уязвимости. Так, простота развертывания виртуальных машин (ВМ) приводит к тому, что обновления антивирусов и патчи на программное обеспечение не устанавливаются, а традиционные средства обнаружения сетевых атак и сетевые экраны не видят трафик внутри виртуальной сети.
Константин Воронков, в свою очередь, напоминает, что любая атака на физическую инфраструктуру может быть в итоге нацелена на виртуальные машины, и для ее проведения злоумышленникам проще использовать обычные уязвимости ИТ-инфраструктуры, нежели вести дорогостоящие разработки специализированных средств, ориентированных именно на виртуальные среды.
Как утверждает Дмитрий Когай, в виртуализированной среде периметр защиты должен создаваться вокруг каждой отдельной ВМ и независимо от ее перемещения следовать за нею.
Иван Бойцов, аналитик компании “Код Безопасности”, предлагает разделять ИБ-угрозы, свойственные для виртуализированной ИТ-среды на несколько групп. К первой группе он относит угрозы аппаратному обеспечению, на котором развертываются компоненты ВС. Это угрозы, знакомые большинству ИБ-специалистов: физические повреждения или несанкционированные изменения аппаратного обеспечения, его кража или уничтожение, нарушения в сетевой инфраструктуре, стихийные бедствия и аварии и т. д. Компоненты виртуальной инфраструктуры должны поддерживать кластеризацию, шифрование данных и другие стандартные способы защиты от подобных угроз.
Другую группу, по мнению г-на Бойцова, составляют угрозы гипервизору. Это их новый вид, включающий угрозы, связанные с особенностями эксплуатации ВС: ошибки в настройках гипервизора, виртуальных машин и других компонентов ВС, уязвимости в программных кодах гипервизора, подмена его компонентов, атаки типа “отказ в обслуживании”, несанкционированный доступ к файлам образов ВМ. Эти угрозы он рекомендует закрывать программным обеспечением гипервизора и дополнительными средствами защиты ВС.
В отдельную группу г-н Бойцов выделяет угрозы системе управления виртуализированной ИТ-средой: несанкционированный доступ к системе управления, отсутствие разделения доступа между администраторами ВС или неправильная настройка такого разделения. Против них он рекомендует использовать усиленные механизмы аутентификации и разграничения доступа.
Еще одну группу, как считает г-н Бойцов, образуют угрозы виртуальным машинам. Они похожи на угрозы физическим серверам и рабочим станциям, к которым добавляются угрозы, связанные с виртуализацией аппаратного обеспечения в виртуальных машинах, в том числе и системы BIOS. В числе таких угроз — несанкционированная загрузка, остановка и выключение виртуальных машин, загрузка ВМ со стороннего носителя, изменение и подмена файлов образов ВМ, несанкционированное изменение конфигурации виртуальных машин. Для эффективной борьбы с угрозами такого рода он рекомендует механизмы контроля целостности и доверенной загрузки виртуальных машин.
Наконец, для сети передачи данных и систем хранения данных г-н Бойцов видит угрозы, типичные для аппаратной части, и угрозы, направленные на получение несанкционированного доступа к управлению этими компонентами.
Николай Романов обращает внимание на то, что в каждом из сегментов виртуальной среды есть свои болевые точки и что ранжировать риски, связанные с информационной безопасностью, имеет смысл по типу эксплуатации виртуализированных систем. С учетом специфики серверных платформ он прежде всего выделяет те, на которых базируются публичные сервисы (в первую очередь веб-серверы). Наряду с основными механизмами периметровой защиты на сетевом уровне (системами предотвращения вторжений, средствами защиты от DoS атак) такие системы должны иметь аналогичные средства, работающие непосредственно в той среде, где они работают. Подобная методика позволяет закрыть тот спектр угроз, против которых типовые средства могут быть малоэффективны (контроль внутри гипервизора как на файловом, так и на сетевом уровне).
Отмечая, что переход к ВС породил ряд специфических ИБ-проблем, которые не связаны с типом сервисов, г-н Романов указывает на то, что безопасность в классическом понимании (блокирование уязвимостей без установки патчей средствами систем предотвращения вторжений, защита от вирусов, сбор данных о несанкционированных изменениях и др.) была расширена на уровне защиты от несанкционированного доступа в границах эксплуатации виртуализированных систем, обеспечивающем как возможности мандатного разграничения доступа к ВС, так контроль целостности самого гипервизора.
На примере антивируса Константин Воронков поясняет возможные издержки применения традиционных средств защиты в ВС. Он утверждает, что традиционное антивирусное решение может защитить и виртуализированную ИТ-среду, однако при этом оно потребует установки антивирусных агентов, что означает развертывание антивирусного ядра и сигнатурных баз на каждой виртуальной машине. Это вызовет необходимость избыточного использования ресурсов памяти, дискового пространства и процессора хост-сервера, что практически сведет на нет одно из основных преимуществ виртуализации — эффективное использование вычислительных ресурсов.
Созданные специально для защиты ВС виртуальные устройства (Virtual Appliance) безопасности обеспечивают безагентную антивирусную защиту сразу нескольких виртуальных машин. В этом случае антивирус работает на уровне гипервизора. Перенос антивирусной защиты на специально выделенное устройство существенно снижает расходование системных ресурсов, повышает производительность аппаратного обеспечения и увеличивает плотность ВМ на хост-сервере.
Вместе с тем, как отмечает Константин Воронков, применение специализированных средств защиты ВС нередко приводит к появлению дополнительных консолей управления, что увеличивает нагрузку на администраторов и расходы.
По мнению Ивана Бойцова, большинство архитектурных и технологических сложностей в реализации защиты виртуализированных ИТ-сред уже преодолены, а те, что остались, связаны с закрытостью средств виртуализации, отсутствием необходимых для ИБ-вендоров инструментов API и SDK и другими проблемами, касающимися проприетарности платформ виртуализации.
Алексей Воронцов указывает не только на нехватку таких инструментов, как интерфейсы прикладного программирования (API) и пакеты программ для разработки приложений (SDK), но и на необходимость единого стандарта доступа для средств защиты к ВС. Он обращает внимание на то, что у каждого поставщика гипервизоров свои подходы к формированию ВС и ИБ-вендорам приходится ориентироваться на конкретные архитектуры.
Наиболее уязвимые компоненты ВС
Несмотря на отсутствие информации о реальных ИБ-инцидентах, связанных с нарушением защищенности гипервизора, наши эксперты рекомендуют при решении вопросов обеспечения информационной безопасности уделять первоочередное внимание именно ему, поскольку компрометация гипервизора легко может привести к компрометации всех обслуживаемых им виртуальных машин.
Хотя разработчики гипервизоров и заявляют о высокой степенибезопасности своих продуктов, говорить об их полной защищенности не стоит, тем более что на международных ИБ-конференциях хакеры уже демонстрировали возможности их взлома.
Дмитрий Когай указывает на необходимость контроля сетевого трафика между виртуальными машинами, расположенными на одном физическом сервере, поскольку обычно считается, что трафик между такими ВМ не покидает пределы сервера и поэтому якобы является заведомо защищенным от взлома снаружи. Однако если злоумышленнику удается захватить контроль хотя бы за одной из виртуальных машин, то возникает возможность компрометации и остальных ВМ этого сервера с последующей эскалацией атаки на соседние серверы, особенно если не забывать о том, что традиционные системы сетевой фильтрации и предотвращения вторжений работают до границы платформы виртуализации и не могут отслеживать вредоносную активность внутри этих границ.
Первоочередное внимание, по мнению Сергея Панина, пользователи ВС должны уделять правильному конфигурированию ИТ- и ИБ-ресурсов в ВС и мониторингу действий привилегированных пользователей, что напрямую связано с установкой корпоративных приоритетов закрываемых уязвимостей.
С позиции приоритетов угроз он также предлагает подходить и к защите компонентов платформы виртуализации. Так, если высоким в компании считается приоритет внедрения вредоносного кода, то в связи с отсутствием реальных случаев появления такого кода на уровне “гипервизор — средство управления” наиболее уязвимым компонентом ВС, по его мнению, следует считать виртуальную машину, и первоочередное внимание нужно обращать на безопасность взаимодействия ВМ между собой и с компонентами внешней среды.
Николай Романов напоминает, что каждый компонент виртуализированной ИТ-среды имеет свои ИБ-проблемы и требует своих подходов к их решению. Так, перемещаемые в рамках ЦОДа (или между ЦОДами) виртуальные машины могут оказаться брешью в защите, если из доверенной среды они перемещаются в недоверенную (или из защищенной в незащищенную).
Алексей Сабанов полагает, что самым уязвимым компонентом ВС являются системы хранения данных. За ними по степени важности рисков следуют системы управления ВС, из которых объектом атак могут оказаться прежде всего системы управления доступом к ИТ-ресурсам.
По мнению Вячеслава Медведева, не стоит выделять как наиболее уязвимый какой-либо отдельный компонент виртуализированной ИТ-среды — безопасными должны быть они все, причем в соответствии с динамично изменяющимся ландшафтом угроз. Ведь хакеры, как говорит г-н Медведев, ищут и находят уязвимости там, где вчера их вроде бы и не было.
Готовность российского ИБ-рынка к обеспечению безопасности ВС
В оценках готовности участников российского рынка ИБ к обеспечению безопасности виртуализированных ИТ-сред у наших экспертов есть как совпадения во мнениях, так и заметные расхождения. Кто-то из них акцентирует внимание на таких аспектах, которые не попали в поле аналитического рассмотрения коллег.
Вендоры. Согласно наблюдениям Алексея Воронцова, ряд ведущих ИБ-вендоров мира уже предлагают специализированные средства защиты ВС, прежде всего функционирующие через уровень гипервизора, с использованием таких технологий доступа к гипервизору, как VMSafe. Появляются актуальные средства контроля сетевого трафика между виртуальными машинами, в том числе средства обнаружения атак, использующие поведенческий анализ.
Современные специализированные ИБ-решения, по мнению Константина Воронкова, в состоянии обеспечить надежную защиту (что важно — без потерь преимуществ, получаемых за счет виртуализации) и возможность централизованно управлять защитой всей корпоративной ИТ-инфраструктуры, включая как виртуализированные компоненты ИТ, так и невиртуализированные. Конечно, внедрение специализированных решений по сравнению с внедрением традиционных стоит дороже, однако, как считает г-н Воронков, преимущества их неоспоримы и в итоге они более выгодны.
Сегодняшний рынок информационной безопасности, отмечает Сергей Панин, насыщен большим количеством конкурирующих как узконаправленных, так и комплексных решений, обеспечивающих защиту виртуализированных сред и от внешних, и от внутренних угроз. Наряду со специализированными средствами для защиты ВС заказчики используют и классические: защиту от несанкционированного доступа, средства доверенной загрузки, инструменты контроля целостности, распределенные межсетевые экраны и т. д.
Елизавета Спасенных, менеджер по развитию бизнеса компании “Информзащита”, считает, что обеспечение защиты виртуализированной ИТ-среды все еще является задачей достаточно новой, требующей более основательной проработки деталей и учета особенностей реализуемых в ВС сервисов, спектр которых непрерывно расширяется, а вместе с ним расширяется и спектр возможных ИБ-рисков. Поиск и разработка дополнительных решений по обеспечению безопасного использования ВС остается актуальным процессом для ИБ-вендоров, в котором они, по ее мнению, достаточно результативно и оперативно участвуют.
Высоко оценивая возможности доступных на рынке средств защиты ВС для нейтрализации большинства ИБ-угроз, Иван Бойцов указывает на узкий круг поддерживаемых ими средств виртуализации. По его мнению, в полной мере поддерживаются (в том числе и сертифицированными средствами) только несколько наиболее распространенных на рынке продуктов.
В России, считает Николай Романов, заказчики пока еще не задаются всерьез вопросами, связанными со сменой провайдеров облачных сервисов (например, вопросами надлежащего уничтожения данных на площадке прежнего провайдера), или выполнением требований регуляторов при обработке персональных данных в ЦОДе провайдера, предоставляющего сервисы PaaS. Он обращает внимание на то, что по мере активизации перехода от обычных виртуализированных систем к облачным готовность провайдеров ИТ-сервисов к ответу на эти вопросы должна возрастать.
Что бы ни заявляли разработчики, ИБ-индустрия, как считает Алексей Сабанов, имея в виду прежде всего использование ВС в облачной архитектуре, пока не готова реализовать комплексный и взвешенный подход к обеспечению информационной безопасности в плохо еще изведанном виртуальном пространстве. Он, например, не видит адекватных методик оценки рисков и управления системой ИБ в публичных облаках и полагает, что в ближайшее время они не появятся; по его мнению, можно ожидать в скором времени только пилотные методики, но не индустриальные, стандартизованные методы.
Пользователи. Средств обеспечения безопасности ВС, как утверждает Михаил Чернышев, на рынке представлено много: от антивирусов до инструментов глубокого анализа трафика внутри виртуальной инфраструктуры. При их выборе и применении он рекомендует заказчикам руководствоваться принципом разумной достаточности. К примеру, если защита сети выстроена качественно и корпоративные ИБ-средства “знают”, что такое сигнатуры атак на гипервизор, то совершенно не обязательно бросаться на усиление безопасности сети — лучше обратить внимание на оптимизацию работы гостевых операционных систем, тем самым сосредоточившись на решении задачи защиты конечных точек.
По мнению Вячеслава Медведева на российском ИБ-рынке сегодня есть не только все необходимые ИБ-продукты, но даже и методики, достаточные для обеспечения безопасности виртуализированных ИТ-сред. Дело, считает он, за заказчиками, которые, по его оценкам, пока не осознают уровня угроз, что, собственно, и затрудняют защиту таких сред.
Основным фактором, затрудняющим защиту виртуализированных ИТ-сред, г-н Чернышев называет простоту (в силу специфики средств виртуализации) проведения любого рода тестов в ВС. В итоге, говорит он, клиент оказывается в очень сложной ситуации, когда все протестированные решения его в общем-то устраивают, а окончательный выбор ему сделать непросто, поскольку формализовать свои требования в такой ситуации ему крайне тяжело.
К основной сложности обеспечения ИБ виртуализированной ИТ-среды Константин Воронков относит новизну технологии виртуализации. Корпоративные ИБ-службы, как он полагает, все еще плохо с нею знакомы, у них нет готовых для этой технологии ИБ-политик и правил обеспечения безопасной работы с нею. Традиционные ИБ-средства для технологии виртуализации подходят не всегда, а специализированные, как правило, поставляются по отдельности и являются сложно интегрируемыми с общей системой корпоративной ИБ. ИТ-специалисты только осваивают работу с этими новыми инструментами.
Константин Воронков отмечает, что в компаниях, особенно крупных, нередко возникает напряжение в отношениях между ИТ-департаментом и ИБ-службой, связанное с разделением ответственности за правильную настройку ИБ-решений, за их мониторинг и т. п. В случае с виртуализацией подобные функции (приводящие к конфликтам между ИТ- и ИБ-службами) оказываются еще более консолидированными, поскольку зачастую настройки самой ВС и решений для обеспечения ее защиты неотделимыми друг от друга. Г-н Воронков полагает, что ИТ- и ИБ-подразделения обязаны искать общий язык, вырабатывать общие политики для того, чтобы грамотно и качественно защищать ВС.
Регулирование. По мнению Сергея Панина, из-за отсутствия регулятивных требований к защите виртуализированных ИТ-сред тормозится распространение виртуализации, и рынок ждет от регуляторов регламентирующих документов с описанием самих ВС и методик защиты хранимых в них данных. Он отмечает, что у ФСТЭК, одного из ведущих российских регуляторов в области ИБ, есть понимание того, что в отношении ВС следует вводить специальные критерии и признаки защищенности. Еще в 2012 г. из представителей экспертного сообщества была создана инициативная группа по разработке проекта стандарта безопасности ВС. Однако о результатах ее работы г-ну Панину пока ничего неизвестно.
Он напоминает, что для использования ВС в госструктурах необходимо, чтобы средства виртуализации были сертифицированы в соответствии с требованиями ФСТЭК и ФСБ. Однако поставщики средств виртуализации, как он считает, не могут позволить себе сертифицировать каждую новую версию своих продуктов (которые появляются довольно быстро на динамично развивающемся рынке виртуализации), что существенно сужает возможности построения защищенной ВС, удовлетворяющей требованиям, обязательным для госучреждений. Госструктурам, по мнению г-на Панина, сегодня гораздо проще (с позиции выполнения требований регуляторов) организовать обработку данных (особенно содержащих государственную тайну) без виртуализации.
Елизавета Спасенных отмечает, что ввиду недостаточности нормативной базы, регулирующей защиту виртуализированных ИТ-сред, и отсутствия рекомендаций по выбору и использованию мер и средств защиты ВС заказчикам приходится руководствоваться только здравой логикой и надеяться на то, что ряд сложностей будет снят оперативными действиями регуляторов, направленными на совершенствование нормативной базы.
В то же время, как отмечает Иван Бойцов, первые шаги регуляторами по актуализации российской нормативной базы в сторону защиты виртуализированных ИТ-сред уже сделаны. В частности, проекты приказов ФСТЭК по защите конфиденциальной информации в органах государственной власти и защите ИСПДн, которые находятся на регистрации в Минюсте, содержат ряд базовых требований по защите виртуализированных ИТ-ресурсов.
Несмотря на это, у регуляторов, считает г-н Бойцов, впереди еще много работы. По его наблюдениям, защита ВС никак не учитывается в требованиях к защите автоматизированных систем, в том числе обрабатывающих данные, представляющие собой государственную тайну, отсутствуют четкие требования к средствам защиты ВС (например, в формате профилей защиты, как это сделано для антивирусов и средств обнаружения вторжений).
Алексей Воронцов полагает, что большая часть представителей наших регуляторов всё еще мыслит с позиций физической инфраструктуры, и задачи вроде таких, как поставить сертифицированный во ФСТЭК межсетевой экран в виртуальную сеть или электронный замок на виртуальную машину, остаются вне нормативной базы. Вендоры, отмечает г-н Воронцов, пытаются восполнить нехватку сертифицированных средств защиты виртуализированных ИТ-сред, сертифицируя в качестве средств защиты свои продукты, предназначенные для обеспечения виртуализации ИТ-ресурсов. Однако, по его словам, это мало что дает помимо наклеенного на продукт знака соответствия нормативным требованиям.
По мнению Николая Романова, направление виртуализации в нашей стране развивается достаточно свободно, и регуляторы не препятствуют этому, а контролю с их стороны подвергаются либо сами средства защиты ВС, либо типы сервисов, построенные на базе этой технологии.
Алексей Сабанов полагает, что было бы неразумно требовать от наших регуляторов того, чего в мире (пока) не может никто. Российская регулятивная база, по его наблюдениям, всегда немного (а иногда сильно) запаздывает по отношению к регулятивным нормам развитых капиталистических стран. Но ведь на данный момент, говорит он, и там стандартов нет — есть только рекомендации, через некоторое время появятся требования по обеспечению ИБ виртуализированных сред, а потом и стандарты.
Тренды
Что касается подходов к обеспечению безопасности виртуализированных ИТ-ресурсов, то Вячеслав Медведев настоятельно рекомендует не забывать о пройденных технологических рубеах и накопленном эксплуатационном опыте. Он обращает внимание на то, что облачные ИТ-архитектуры и виртуализация ИТ-ресурсов являются частными случаями давно известных специалистам вычислительных систем с удаленным доступом, и напоминает, что первые компьютеры работали именно так: был сервер и к нему подключались рабочие места. Сегодня спираль развития совершает свой очередной виток.
Рассуждая о перспективах развития системы обеспечения безопасности ВС, Алексей Воронцов фактически оправдывает тех ИТ-специалистов, которые считают виртуализированные ИТ-ресурсы более безопасными, нежели невиртуализированные. Согласно его наблюдениям, пользователи и разработчики всё чаще рассматривают виртуализацию не только как способ экономии ИТ-ресурсов, но и как способ обеспечения информационной безопасности. Функционирование приложений и сервисов в изолированной ВС как возможность изоляции их друг от друга и от системных сервисов является, по его убеждению, плодотворным подходом к защите от атак, основанных на уязвимостях прикладного программного обеспечения. Он рассматривает его как одно из направлений развития виртуализации.
Константин Воронков отмечает, что поставщики средств виртуализации сами постоянно реализуют в своих продуктах новые, более эффективные способы защиты ВС (что является общим трендом в ИТ: ИТ-вендоры стремятся встраивать безопасность в жизненный цикл своих продуктов, начиная с этапа их разработки).
Перспективным г-ну Воронкову представляется развитие технологии Security as a Service. Она дает возможность реализовать, например, защиту по требованию виртуальных машин в ЦОДах силами провайдера ИБ-сервисов. Являясь результатом консолидации ИТ-ресурсов и постепенной передачи функций обеспечения информационной безопасности поставщикам услуг хостинга виртуальной инфраструктуры, SaaS особенно актуальна для малых и средних компаний, которые не имеют возможность создания собственных центров обработки данных и найма квалифицированных ИТ- и ИБ-специалистов.
Согласно наблюдениям Сергея Панина, индустрия ИТ и ИБ движется к консолидации управления их ресурсами. Одним из проявлений этого тренда является стремление ИБ-вендоров унифицировать свои решения в области защиты виртуализированных ИТ-сред. Г-н Панин предполагает, что на рынке появятся многофункциональные решения (например, объединяющие межсетевой экран, систему обнаружения и предотвращения вторжений, антивирусный шлюз, антиспам-функционал, средства веб-фильтрации, инструменты управления уязвимостями, средства контроля функционирования приложений и защиты баз данных), режим использования которых будет зависеть от затребованной заказчиком лицензии. Производители средств защиты ВС будут расширять линейки своих продуктов, добавляя к уже имеющимся новые компоненты по принципу “All-in-box”. При этом специализированные средства (скажем, средства резервного копирования, аутентификации и т. д.) также будут востребованы как нишевые. У ИБ-вендоров появится стимул интегрировать свои продукты с популярными облачными сервисами.
По оценкам Дмитрия Когая, изменения, связанные с эксплуатацией виртуализированных ИТ-сред, которые отразятся на обеспечении ее ИБ, проявятся уже в ближайшие два-три года, что, полагает он, будет продиктовано изменениями в условях функционирования отечественных бизнес-структур — изменениями не только технологическими, но и ментальными. До экономического кризиса вместе с ростом цен на нефть многие российские компании развивались стремительными темпами, выстраивали свои ИТ-инфраструктуры с заделом на будущее, и к настоящему времени в стране насчитывается немало таких ИТ-инфраструктур. У их владельцев (которые, согласно наблюдениям г-на Когая, в массе своей еще не вернулись на докризисный уровень) нет нужды в новых ИТ-решениях — те, которыми они располагают, вполне способны будут справляться со своими функциями еще два-три года.
Дмитрий Когай полагает, что к тому времени, когда российские компании восстановят после экономического кризиса свои бизнес-показатели, морально и физически устареют их ИТ-инфраструктуры, и бизнесу потребуется их обновление. И вот тогда отсутствие таких средств, какими они располагали в “тучные” докризисные времена, сделает, согласно его прогнозам, аутсорсинговую схему потребления ИТ-ресурсов, реализуемую посредством облачных архитектур, насущной потребностью российского бизнеса.
У российских компаний, предполагает г-н Когай, должно поменяться отношение к “зеленым” технологиям, в первую очередь к энергосберегающим, интерес к которым в нашей стране сегодня практически отсутствует в силу того, что расходы на электроэнергию не столь высоки, как в других странах. Однако уже в будущем году тарифы на электричество в России, вероятно, сравняются с тарифами США, а еще через год-два будут на уровне западноевропейских. Это означает, что в какой-то момент более “зеленые” предприятия станут опережать своих конкурентов в плане рентабельности. Г-н Когай рекомендует готовиться уже сегодня к внедрению “зеленых” технологий, с тем чтобы завтра с их помощью оптимизировать расходы, в том числе на электроэнергию.
Он обращает внимание ИТ- и ИБ-вендоров, интеграторов и регуляторов на то, что к тому времени, когда предприятия восстановятся после кризиса, большая часть технических вопросов, связанных с использованием ИТ, должна быть уже отработана, включая и те из них, которые относятся к обеспечению (на востребованном пользователями уровне) информационной безопасности в виртуальных и облачных средах.
