В рубрику "Защита информации и каналов связи" | К списку рубрик | К списку авторов | К списку публикаций
Виртуализация – это общее название, которое может трактоваться в зависимости от области применения. Сегодня специалисты выделяют следующие типы:
При таком многообразии типов виртуализации возникает закономерный вопрос: с чего начать процесс построения системы защиты виртуальной инфраструктуры? Можно выделить два распространенных варианта. Первый – самостоятельно набивать шишки и методом проб и ошибок прийти к защищенной от широкого спектра атак инфраструктуре. Второй – воспользоваться уже готовыми руководствами. Данные инструкции, зачастую насчитывающие по несколько сотен страниц детальных конфигураций, подробно описывают настройки того или иного продукта или решения, как самостоятельного, так и в комбинации с другими системами.
Не менее интересны вендор-независимые руководства*, относящиеся к более высокоуровневым рекомендациям, нюансы реализации которых могут быть найдены в руководствах выбранных производителей.
Отдельно хочется отметить и российский опыт выпуска руководящих и методических документов в этой области. Совсем недавно были выпущены рекомендации Банка России: "Обеспечение информационной безопасности при использовании технологий виртуализации" (РС БР ИББС-2.8-2015). Другой регулятор в области защиты информации – ФСТЭК России, которая в рамках своих приказов по защите государственных и муниципальных информационных систем, информационных систем персональных данных и АСУ ТП соответственно (17, 21 и 31-й приказы) утвердила десять требований по защите виртуальных инфраструктур. Наконец, на финальной стадии находится процесс принятия национального стандарта "Защита информации при использовании технологий виртуализации. Основные положения".
Задумавшись о безопасности виртуальных инфраструктур, начинать надо с моделирования угроз или анализа рисков, с которыми может столкнуться та или иная технология виртуализации. Очевидно, что для разных типов виртуализации список угроз будет разным, а их применимость в той или иной реальной ситуации также будет отличаться. В проекте ГОСТа по защите виртуализации перечислено 18 высокоуровневых угроз для большинства технологий виртуализации. Однако есть и ряд общих для всех характеристик.
*Среди вендор-независимых руководств я бы выделил:
Во-первых, виртуализация серверов, приложений или рабочих мест позволяет приложениям перемещаться между серверами, удаленными ЦОДами и даже облачными средами. Такая мобильность увеличивает сложность того уровня сети, который отвечает за безопасность. Обычно он работает с неподвижными ресурсами и их адресами, а также статичными сетями при реализации политик безопасности. Гибкость перемещения политик безопасности в соответствии с изменением виртуальных рабочих нагрузок является сложной задачей, требующей особого внимания.
В результате виртуализации серверов возникают новые точки атаки, в частности на уровне виртуализации, включая гипервизор, среду виртуальных машин и программные коммутаторы, заменяющие физические уровня контроля доступа в сети. Появление этих дополнительных слоев увеличило число уязвимых мест современного ЦОДа или облачной среды. Действительно, по своей сути уровень виртуализации хуже защищен по сравнению с физическими устройствами из-за отсутствия физического разделения и особенностей, связанных с большим числом пользователей.
В физических локальных сетях для разделения групп пользователей и ресурсов в основном используются виртуальные сети (VLAN, PVLAN и т.п.). Такое решение непригодно для виртуальных ЦОДов, поскольку, как правило, виртуализируемые приложения или ОС не могут перемещаться между виртуальными сетями. В результате исчезает основное преимущество виртуализации – возможность использования любого доступного ресурса в центре. Поэтому возникает необходимость в новых средствах разделения сетей и обеспечения безопасности (например, специальные метки безопасности Security Group Tag, технология TrustSec и т.п.).
В информационных технологиях принято строгое распределение ответственности между администраторами серверов, сетей и службой безопасности. Виртуализация серверов усложнила такое разделение труда, поскольку те, кто работает с серверами, как правило, взяли на себя вопросы обслуживания сетей и обеспечения безопасности уровня виртуализации, закрепленного за серверами и средой виртуальных машин. Поэтому необходимо использовать средства, позволяющие использовать функции групп безопасности и единообразные политики безопасности на уровне виртуализации.
Единственное, что стоит выделить особо, – это защита сетевой виртуализированной инфраструктуры. Этот вопрос актуален для виртуализации рабочих мест, приложений и серверов. Обычно на нее мало обращают внимание, так как она выходит за рамки настроек безопасности гипервизора и систем управления виртуальными инфраструктурами, описанными в руководствах Citrix, VMware, Microsoft. В такой ситуации, казалось бы, никакой специфики нет – тот же IP-трафик циркулирует между не физическими, а виртуальными машинами. А раз трафик тот же и виртуальные машины имеют собственные IP-адреса, то прописать соответствующие правила на межсетевых экранах или на сетевом оборудовании не представляет большого труда. Это действительно было бы так, если бы не одно "но". Трафик между виртуальными машинами может вовсе не покидать физического сервера (при условии, что все виртуальные машины сосредоточены на нем). Как тогда сделать сетевой трафик видимым для традиционных средств сетевой безопасности? А как быть с виртуальными машинами, меняющими свое местоположение и, как следствие, адрес? А с виртуальными приложениями, сетевого адреса не имеющего вовсе?
Но особых проблем нет и в этом случае. При определенных условиях нам ничто не мешает "заворачивать" весь трафик между виртуальными машинами или рабочими местами на обычный коммутатор, к которому подключены средства защиты. Это, правда, усложняет дизайн сети ЦОДа, но защищенность в этом случае не страдает, и не потребуется дополнительных капитальных затрат. Если же проблемы финансов не стоит или сетевое оборудование не позволяет эффективно разбирать трафик разных виртуальных машин и приложений, то возможно применение специализированных средств защиты, разработанных именно для виртуализированных сред. Такую продукцию сегодня предлагают многие компании, работающие как в сегменте виртуализации, так и в сегменте сетевой безопасности.
Возможен и третий вариант – применение виртуализированного сетевого оборудования (коммутаторы, маршрутизаторы, межсетевые экраны, системы предотвращения вторжений), которое стало предлагаться некоторыми производителями. Оно не только вобрало в себя лучшее из традиционной сетевой инфраструктуры, но и транслировало это на область виртуализации. Такой подход позволяет ИТ-службам быстро и почти без переобучения внедрять новые решения в виртуализированный ЦОД, построенный по принципам и на оборудовании, схожим с традиционными ЛВС.
Опубликовано: Журнал "Information Security/ Информационная безопасность" #3, 2015