Перейти к содержимому. | Перейти к навигации

Персональные инструменты
Вход Регистрация
Вы здесь: Главная БЛОГИ Александр Астахов Особенности обеспечения безопасности виртуальных сред
Protectiva Compliance Manager
Навигация
 

Особенности обеспечения безопасности виртуальных сред

Автор: Александр Астахов опубликовано: 06-08-2013 последнее изменение: 06-08-2013

Какие специфические угрозы влечет за собой широкое применение технологий виртуализации и накладывает ли это какие-либо дополнительные требования по обеспечению информационной безопасности? Нужны ли для защиты виртуальных инфраструктур дополнительные специализированные продукты?

Виды виртуализации

Отметим, прежде всего, что говорить о технологиях виртуализации как о чем-то новом и привносящем какие-то новые тенденции в ИТ безопасность, довольно нелепо, поскольку виртуализация - один из фундаментальных принципов построения любой компьютерной архитектуры, начиная с самых первых ЭВМ. Супервизоры, виртуальная память, виртуальные устройства, виртуальные драйверы, интерфейсы, машины, среды и т.п. - все это элементы виртуализации, которые существуют уже десятки лет. Любое компьютерное приложение фактически выполняется в той или иной виртуальной среде и очень редко управляет напрямую реальными аппаратными ресурсами.

Еще, помню, лет 20 назад хотелось запускать на Linux машине игрушки и разные развлечения, писанные для Windows, для чего использовались локальные гипервизоры виртуальных машин. Тогда же на одной машине IBM AS/400 могла работать целая сеть виртуальных Windows и Unix машин и т.п. Другими словами, ИТ инфраструктура изначально была виртуальной и все к этому давно привыкли.

В настоящее время практикуется три основных вида виртуализации:

  • Локальные гипервизоры виртуальных машин (VMware Workstation и т.п.), а также средства для виртуализации отдельных приложений (VMware ThinApp, Microsoft App-V, Citrix XenApp).
  • Перенос физических серверов в виртуальные машины одного физического сервера, оснащенного средством виртуализации, при помощи таких продуктов, как: VMware ESX Server + vCenter (vSphere), Microsoft Hyper-V + SCVMM, Citrix XenServer + Essentials.
  • Централизованное хранение рабочих мест в виде виртуальных машин на сервере с последующей доставкой на физические рабочие места или предоставление удаленного доступа через виртуализацию представлений (терминальные сервисы). Для решения этой задачи предназначены такие продукты, как VMware View, Microsoft MED-V, Citrix XenDesktop, Sun VDI.

Такая виртуализация теперь используется повсеместно, однако не будем смешить друг друга и рассказывать сказки о том, что из-за более широкого распространения гипервизоров вдруг неожиданно возникли какие-то новые угрозы безопасности.

Безопасность виртуализации — суть вопроса

Конечно виртуализация, а именно гипервизор — это дополнительный технический уровень, дополнительный корж в пироге, которым является любая компьютерная система, и на который могут быть направлены атаки злоумышленников. Рекомендации по защите гипервизора выглядят самым банальным образом:

  • Отключайте ненужные функции;
  • Своевременно устанавливайте патчи;
  • Осуществляйте администрирование только по защищенным доверенным каналам (отдельная управляющая сеть, шифрование трафика);
  • Мониторинг ИБ;
  • Планирование при развертывании;
  • Настройка параметров безопасности гипервизора в соответствии с рекомендациям и check-листам производителей ПО виртуализации: VMware, Microsoft, Citrix и др.

И это все основные выводы, которые можно сделать из объемной публикации NIST SP 800-125: Guide to Security for Full Virtualization Technologies, посвященной данному вопросу. Как видим из столь авторитетного источника, никаких новых трендов виртуальной безопасности не существует (о чем можно было бы догадаться и не читая данной публикации). Защищать гипервизоры надо точно таким же образом, как любое критичное приложение. И нет ничего нового под солнцем.

Угрозы безопасности виртуальных сред такие же, как и для условно "физических" и сводятся они к следующему перечню:

  • Атака на гипервизор с виртуальной машины или из физической сети
  • Атака на диск виртуальной машины или на средства администрирования виртуальной инфраструктуры
  • Атака на виртуальную машину с другой виртуальной машины или атака на сеть репликации виртуальных машин
Убрать слово "виртуальная" и остаются привычные угрозы для машин и приложений. 
 
Использование традиционных СЗИ в виртуальных средах
 
Что касается СЗИ, то им обычно все равно на какой машине работать, т.к. они не знают разницы между виртуальными и невиртуальными машинами. Конечно, если нарушитель получает доступ к гипервизу (а также ядру ОС, контроллеру домена и т.п.), то безопасность данной среды оказывается полностью скомпроментирована и никакие СЗИ, функционирующие в более высоких слоях пирога, не помогут.
 
Так, из среды гипервизора нарушитель может незаметно для традиционных СЗИ, работающих на виртуальных машинах, копировать и блокировать весь поток данных, идущий на все устройства (HDD, принтер, USB, сеть. дискеты), читать и изменять данные на дисках виртуальных машин, даже когда они выключены, другими словами - делать все, что угодно.
 

Использование специализированных СЗИ в виртуальных средах

В чем смысл использования специализированных СЗИ, предназначенных для виртуальных сред, если традиционные СЗИ для этого также вполне подходят? Смысл этот заключается в следующих простых вещах:

  • Виртуализация предоставляет новые возможности для обеспечения безопасности (создание "песочниц"), т.е. любые СЗИ могут функционировать на отдельных изолированных виртуальных машинах и компрометация ОС не будет представлять для них явной угрозы (вирус, заразивших ОС, не доберется до антивируса). Если СЗИ функционирует на уровне гипервизора, то достигается повышение производительности и уровня защищенности тех слоев пирога, которые находятся выше гипервизора (путем переноса механизмов защиты на уровень гипервизора).
  • Гостевые ОС часто бывают не до конца изолированы друг от друга и от хостовой ОС и могут иметь доступ к файлам, директориям, буферу обмена и другим ресурсам хостовой ОС или других гостевых ОС. Такие взаимодействия можно контролировать только на уровне гипервизора при помощи специализированных средств.
  • В отличие от традиционной ситуации, трафик между виртуальными машинами, находящимися на одном физическом сервере, не пройдет через сетевые устройства обеспечения безопасности. Поэтому межсетевое экранирование и обнаружение вторжений, хоть и не очень актуально для парка виртуальных машин, может быть реализовано либо на хостовом уровне при помощи традиционных средств, либо на уровне гипервизора при помощи специализированных средств, что более эффективно с точки зрения производительности.

Еще одна специфическая не проблема, а задача - управление образами (images) и снимками состояний (snapshots) виртуальных машин. Однако, с точки зрения ИБ, защита образов и снимков, как то шифрование, контроль целостности, предотвращение и выявление НСД – это просто защита еще одного информационного актива.

VMware vShield и другие технологии безопасности для виртуальных сред

Компания VMware, например, создала интерфейс под названием VMware vShield для подключения к виртуальной инфраструктуре СЗИ сторонних производителей, включающий в себя следующие компоненты:

  • VMware vShield App – для защиты приложений
  • VMware vShield Edge – для защиты периметра сети
  • VMware vShield Zones – базовая защита от сетевых угроз
  • VMware vShield Manager – управление системой безопасности
  • VMware vShield Endpoint – перенос средств защиты с клиентских систем на уровень гипервизора

VMware vShield Endpoint позволяет сторонним антивирусным продуктам устанавливаться на хост-сервере в качестве одной из виртуальных систем без необходимости установки антивирусного агента на каждую защищаемую систему. Эта технология используется в частности в Trend Micro Deep Security, BitDefender Security for Virtualized Environments (SVE), Kaspersky Security для виртуальных сред.

Symantec Endpoint Protection 12 не работает на уровне гипервизора и соответственно не позволяет экономить ресурсы, но также предусматривает определенную оптимизацию для работы в виртуальных средах. Так он не сканирует файлы, входящие в состав эталонного образа виртуальной машины.

Продукт компании «Код Безопасности» vGate не несёт в себе антивирусную составляющую, но отслеживает целостность виртуальных машин, запрещать их клонирование, может запрещать создание снимков состояния виртуальных машин, контролирует подключаемые устройства и передаваемую на них информацию, а также ограничивает доступ к консоли виртуальной машины.

Выводы:

  • Виртуализация - это способ функционирования компьютера
  • Для защиты виртуальных машин применимы все традиционные СЗИ и технологии обеспечения ИБ
  • Для повышения производительности и уровня защищенности виртуальных сред дополнительно можно использовать специализированные СЗИ, работающие на уровне гипервизора.

Comments (0)

Как стать участником |  Что может участник  |  Как работать с порталом  |  Реклама |  Авторские права  |  Контакты  |  Конкурсы  |  RSS  |  Форум
©2003 - 2020 GlobalTrust
Рейтинг@Mail.ru Rambler's Top100 Yandex