Безопасность и виртуализация

По мере движения мира виртуализации вперед организации все чаще сталкиваются с необходимостью и преимуществами ее использования: такие факторы, как объединение серверов, высокие счета за оплату электроэнергии, более быстрое оборудование, простота использования и быстрые технологии создания виртуальных систем делают область виртуальных компьютеров все более привлекательной.

В некоторых организациях виртуализация уже стала большой частью инфраструктуры. Снова технология опередила лучшие методы безопасности. Это не должно стать негативным фактором, поскольку многие организации торопятся с процессом виртуализации.

Виртуальные среды становятся все более популярными в качестве решений восстановления после форс-мажорных обстоятельств и непрерывности рабочего процесса, особенно в финансовой индустрии. Это важно, поскольку некоторые из таких решений используются в полуживых средах, а процессы обновления и защиты безопасности вообще не принимаются во внимание, о них просто забывают.

Давайте рассмотрим некоторые проблематичные моменты при работе с виртуальными средами

1. Если хост скомпрометирован, можно нарушить работу клиентских серверов, расположенных на машине первичного хоста.
2. Если виртуальная сеть скомпрометирована, то клиент тоже скомпрометирован.
3. Клиентские ресурсы и ресурсы хоста должны быть защищены, поскольку они могут использоваться обоими компонентами. Потенциально это может привести к тому, что файлы будут копироваться в эту область и переполнят диск.
4. Если машина хоста имеет проблемы, то все виртуальные машины перестают работать.
5. Виртуальные машины часто воспринимаются, как второсортные машины, в то время как, на самом деле, они имеют одинаковые параметры и работают так же, как и физические машины. В последующие несколько лет практически не будет существовать различий между виртуальными и физическими машинами.
6. Такое отношение является результатом методики, о которой, кажется, забывают, когда речь заходит о сфере виртуализации. Эта методика снижает потенциальную область атак и должна использоваться как в физических, так и виртуальных средах.

Что можно сделать, чтобы лучше защитить вашу виртуальную серверную среду

1. Обновлять вашу ОС и приложения; это необходимо делать на всех виртуальных машинах и на хосте. Приложения на хосте должны быть в минимально возможном количестве, устанавливайте только то, что вам действительно необходимо.
2. Ограждайте каждую виртуальную машину друг от друга с помощью брандмауэров, это в свою очередь изолирует машины друг от друга и позволит только разрешенным протоколам взаимодействовать.
3. Изолируйте каждую виртуальную машину друг от друга и от хоста: процесс изоляции необходимо осуществлять на всех возможных уровнях.
4. Установите и обновляйте антивирусные программы на всех виртуальных машинах и на хосте, виртуальные машины могут быть заражены вирусами и червями так же, как и физические машины.
5. Используйте IPSEC или надежное шифрование между виртуальными машинами и хостом: трафик между виртуальными машинами и машиной хоста может быть скомпрометирован. Производители стараются свести такой риск к минимуму, но на момент написания данной статьи это все еще остается реальной угрозой. Лучшая методика использования все еще указывает на необходимость шифрования обмена данных между машинами.
6. Не выходите в Интернет с компьютера хоста, заражение, вызванное шпионским или вредоносным ПО, по-прежнему представляет определенную опасность. Помните о том, что машины хоста управляют виртуальными машинами, и проблемы, возникающие на виртуальной машине хостов, могут привести к серьезному снижению производительности или вообще отказу служб.
7. Защитите администратора и администраторские учетные записи на компьютере хоста: доступ к таким учетным записям неавторизированными пользователями может привести к значительным недостаткам в безопасности. Исследования показали, что администраторская (корневая) учетная запись на машинах хоста значительно менее защищенная по сравнению с учетными записями и паролями виртуальных машин или машин физической сети. Помните о том, что ваша безопасность настолько сильна, насколько сильно ее самое слабое место.
8. Укрепляйте ОС хоста и отключайте ненужные службы. Использование ОС по минимуму обеспечит минимальную потенциальную возможность для атак.
9. Отключайте неиспользуемые виртуальные машины, если вам не нужно, чтобы они работали.
10. Включайте виртуальные машины в политику безопасности организации, в конце концов это тоже машины, пусть и виртуальные.
11. Защитите компьютер хоста, чтобы быть уверенными в том, что когда виртуальные машины работают в автономном режиме, незаконное вмешательство в их файлы неавторизированными пользователями невозможно.
12. Отдавайте предпочтение решениям, которые изолируют процессы, например, решение Hyper Visor, эти системы сильнее изолируют и надежнее защищают среду.
13. Обязательно обновляйте драйверы хоста: это обеспечит работу ваших физических устройств на оптимальной скорости, самые свежие выпуски ПО обеспечат устранение недостатков более ранних версий драйверов, и снижение потенциальной возможности их незаконного использования и отказа служб.
14. Отключите технологию портов физических устройств на каждой виртуальной машине, если эта технология не используется; такие технологии, как USB должны быть отключены на всех виртуальных машинах, если среда виртуальных машин не использует данную технологию.
15. Постоянно просматривайте журналы регистрации событий и журналы безопасности на машинах хостов и виртуальных машинах. Мониторинг часто игнорируется в виртуальных средах, причина этого, вероятно, связана с мониторингом на основе хоста, который предлагает ПО виртуализации. Эти журналы должны храниться в вашем хранилище логов для более надежной защиты и в целях их просмотра в будущем.
16. С учетом все большего предпочтения хранилищ с флеш-памятью такого ПО, как hyper visor, магнитные носители не только устаревают, но и являются средствами, способствующими нарушениям безопасности, которые предотвращаются технологией флеш-памяти.
17. Ограничивайте и снижайте количество совместно используемых ресурсов оборудования. Утечка данных и остаток являются несколькими из проблем, которые могут возникнуть, однако DoS могут возникать, когда ресурсы совместно используются и блокируются альтернативной виртуальной машиной. Изначально виртуальные машины совместно используют CPU, RAM, жесткий диск и другие ресурсы. Управляйте этими ресурсами сдержанным образом и используйте лучшие методики безопасности для обеспечения работоспособности служб.
18. По возможности делайте так, чтобы карты интерфейса сети были выделены для каждой виртуальной машины. Опять же это снизит потенциальный риск возникновения проблем совместного использования ресурсов и обеспечит определенную изоляцию входящего и исходящего трафика виртуальных машин.
19. Вкладывайте средства в покупку оборудования, которое лучшего всего подходит для работы с виртуальными машинами, то есть с поддержкой таких возможностей. Оборудование, которое создано без поддержки виртуальных машин, не использует техническое применение мер безопасности, которые разделяют ресурсы, а это в свою очередь может вызвать проблемы безопасности.
20. Программы разбивки создают границы дисков, которые можно использовать для разделения и защиты каждой виртуальной машины, на выделенных для них разделах. Если виртуальная машина выходит за рамки выделенного для нее раздела, то ограниченный размер раздела остановит ее воздействие на другие виртуальные машины.
21. Убедитесь в том, что виртуальные машины не могут подключаться друг к другу, если в этом нет необходимости. Изоляция сети очень важна, как уже отмечалось. Для взаимного обмена данными между виртуальными машинами в сети используйте раздельные сетевые карты с разным списком сетевых адресов, это более безопасно, чем передавать трафик виртуальных машин через «открытую» сеть.
22. Контроль сетевого доступа (Network Access Control – NAC) должен использоваться на хосте виртуальных машин. Это особенно применимо в случаях виртуальных серверов на базе запросов (appliance based VM servers), если эту функцию можно активировать, то правильно используемый NAC способен на многое.
23. Строже управляйте удаленным доступом к виртуальным машинам и, особенно, к машине хоста, это позволит снизить потенциальную опасность.
24. Помните, что машина хоста представляет собой единую точку сбоя, такие технологии как репликация и непрерывность позволят снизить этот риск.
25. Избегайте совместного использования IP адресов, опять же это типично для совместного использования ресурсов и может послужить причиной возникновения проблем и уязвимости.

Кажется, виртуализация становится не такой уж простой, как мы ранее думали, поскольку она требует все больше технологий безопасности и защиты физических сред; к тому же технология имеет свои специфические проблемы, которые нужно решать.

Заключение

Технология единых виртуальных машин быстро приближается к завершению своего существования, поскольку появляется все больше расширенных технологий, таких как hyper Visor. Эти технологии более совершенны с точки зрения безопасности и производительности, поэтому их применение и популярность вполне закономерны. Безопасность виртуальных машин – это вложение, которое нужно делать. Если ваша организация считает, что цена слишком высока, может ей лучше использовать физические машины, но не стоит забывать о том, что и их необходимо защищать.

Рики Магалхаес (Ricky M. Magalhaes)