Журнал о компьютерных сетях и телекоммуникационных технологиях
СЕТИ И СИСТЕМЫ СВЯЗИ on-line
  ПОИСК:
    Домой
 
   
АРХИВ ЖУРНАЛА
   

2008: 1 2 3 4 5 6 7 8 9 10 11 12 13
2007: 1 2 3 4 5 6 7 8 9 10 11 12 13 14
2006: 1 2 3 4 5 6 7 8 9 10 11 12 13 14
2005: 1 2 3 4 5 6 7 8 9 10 11 12 13 14
2004: 1 2 3 4 5 6 7 8 9 10 11 12 13 14
2003: 1 2 3 4 5 6 7 8 9 10 11 12 13 14
2002: 1 2 3 4 5 6 7 8 9 10 11 12 13 14
2001: 1 2 3 4 5 6 7 8 9 10 11 12 13 14
2000: 1 2 3 4 5 6 7 8 9 10 11 12 13 14
1999: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16
1998: 1 2 3 4 5 6 7 8 9 10 11 12
1997: 1 2 3 4 5 6 7 8 9 10 11 12
1996: 1 2 3 4 5 6 7 8 9 10


Rambler's Top100

  

Новые правила безопасности для сред виртуализации

Джо Херник, Арт Уитман

Согласно результатам опроса читателей, недавно проведенного журналом InformationWeek по электронной почте, у 70% респондентов запущен по меньшей мере один виртуальный сервер, но лишь менее 12% из них имеют стратегию безопасности, специально разработанную для их виртуальной среды. Учитывая относительную новизну продуктов виртуализации для платформы x86, ничего шокирующего в этом нет, хотя это и не означает, что такая ситуация допустима. Почти половина респондентов, не имеющих плана мероприятий по обеспечению безопасности виртуальной среды, полагают, что виртуальные машины (ВМ) являются столь же безопасными, как и традиционные серверы, а 18% из них не знают, изменяет ли виртуализация «правила игры» с целью обеспечения безопасности ИТ.

Нет ничего удивительного, что виртуализация становится технологией, которая через относительно короткое время в корне изменит облик центра обработки данных (ЦОД). Поскольку виртуализация — это «революционная» технология, то она, очевидно, диктует предприятиям новые правила защиты своих данных и своей компьютерной инфраструктуры. И хотя мы вовсе не считаем, что виртуализацию следует запретить, пока не будет полностью реализована стратегия безопасности, разумные организации предпримут разработку стратегии безопасности и управления наряду с планированием развертывания виртуализации.

Новые угрозы безопасности могут возникнуть по нескольким направлениям. Наиболее очевидный фактор риска — это увеличенный объем ПО виртуализированных систем. На настольной системе виртуализация часто реализуется в виде «приложения», работающего в качестве процесса под управлением ОС, подобной Windows. Что касается серверов, то предпочтительным методом реализации уровня аппаратной виртуализации между «голым железом» и операционными системами общего назначения является использование гипервизоров.

Довольно часто гипервизоры содержат менее 100 тыс. строк кода и, следовательно, представляют собой относительно скромные мишени для атак. И хотя по сравнению с миллионами строк кода операционной системы общего назначения создание «пуленепробиваемого» гипервизора — задача куда более реалистичная, изъяны все же будут существовать и будут создаваться программные компоненты взлома. Все основные игроки рынка ПО виртуализации согласны, что создание безопасного гипервизора — это проблема номер один. Главный технический директор компании VMware Мендел Розенблум в открытую похвалялся, что в их гипервизоре ESX никаких обусловленных изъянами конструкции «дыр» нет и быть не может (о возможных ошибках практической реализации гипервизора он, конечно же, скромно умолчал). К сожалению, предприятию не остается ничего иного, как работать, полагаясь на заверения производителя. Для обнаружения программ-невидимок типа rootkit и других средств компрометации в традиционных ОС существуют специальные инструментальные средства, однако для обнаружения их в гипервизорах ничего подобного нет.

Безопасность виртуальных сред

С целью обеспечения безопасности виртуальных сред, по всей вероятности, будут использовать два подхода. Первый и весьма вероятный подход заключается в том, что при более широком распространении виртуализации производители оборудования, разрабатывая пользовательские системы с нуля, станут предусматривать в них контролируемые администраторами разделы ВМ и уровни гипервизора, чтобы затруднить доступ злоумышленников к системам.

Более удачный, на наш взгляд, подход состоит в использовании модуля доверенной платформы (Trusted Platform Module — TPM), которым оснащается большинство новых основанных на процессорах x86 систем. Применение модуля TPM обеспечивает проверку аутентичности ПО и упрощает шифрование трафика между ВМ. Способность модуля TPM подписывать ПО с помощью ЭЦП упрощает определение того факта, что образ системы был изменен и, по всей вероятности, скомпрометирован. Поскольку модуль TPM был разработан в качестве защищенного от несанкционированного доступа аппаратного средства шифрования данных и подписания ПО, то он должен существенно упрощать проверку, была ли одна из имеющихся программ скомпрометирована вредоносным ПО или какими-либо иными средствами.

Еще одна реальная угроза может возникнуть в результате взаимодействия большого числа ВМ в рамках одной системы. Вместе с возможностью перемещения работающих ВМ с одной системы на другую, это делает большинство сете-вых средств безопасности гораздо менее эффективными.

Одной из первых областей применения виртуализации для систем x86 стала консолидация серверов. Суть идеи — замена одним мощным сервером с несколькими инсталлированными на нем ВМ десятка относительно старых и сравнительно легко нагруженных выделенных физических серверов — электронной почты, веб-, СУБД- и прочих. При столь большом числе ВМ, работающих на одной системе, интенсивность взаимодействия между ними может оказаться весьма значительной. С целью внутрисерверного взаимодействия ВМ все продукты виртуализации создают виртуальный коммутатор, разделяемый всеми ВМ одного сервера. Наружные инструментальные средства сетевой безопасности, будь то межсетевые экраны (МЭ), системы обнаружения и предотвращения вторжений или системы обнаружения аномального поведения в сети, являются по определению «слепыми» к трафику, никогда не покидающему физический сервер.

Один из подходов к обеспечению безопасности множества работающих на одном сервере ВМ состоит в том, чтобы все они работали под управлением аналогичных операционных систем и чтобы каждая из этих систем была должным образом «залатана». Смысл этого подхода в следующем: если все запущенные на данном сервере ОС одинаково безопасны, то и взаимодействие между ними будет таким же безопасным. На виртуальных серверах должны быть инсталлированы и запущены такие продукты безопасности, как МЭ уровня хо-ста, обеспечивающие им посильный уровень безопасности.

Оптимальным решением является использование инструментальных средств, специально предназначенных для повышения безопасности виртуальных сред. Как подсказывает само название, виртуальное устройство представляет собой ВМ с минимальной по объему и «усиленной» по функциям сетевой безопасности операционной системой, точно сконфигурированной для удовлетворения нужд единственного приложения этого устройства. Основная идея — минимизировать или полностью исключить любые усилия со стороны конечного пользователя по конфигурированию операционной системы и обеспечить быструю и последовательную инсталляцию устройства, не требующую от инсталлирующего высокой квалификации. Виртуальные устройства могут применяться в самых разных приложениях, будь то распределенные вычисления или сервисы.

Виртуальное устройство можно создать для любой среды виртуализации, однако компания VMware по числу таких устройств опередила всех своих соперников, создав рынок на веб-сайте типа «сначала опробуй, а потом покупай» (try-before-you-buy). На этом сайте представлены более 100 виртуальных устройств безопасности. Лишь часть из них можно считать коммерческими продуктами. Остальные же устройства являются внутренними разработками предприятий, либо продуктами с открытым исходным кодом.

На этом сервере есть информация о таких производителях, как компании Astaro, с ее унифицированным устройством управления ИТ-рисками, Blue Lane, с ее виртуальным устройством «латания» программ, Catbird, с ее агентом безопасности, Reflex, с ее устройством предотвращения вторжений. Судя по этой группе продуктов, виртуальные устройства, как во многом и их физические «собратья» для унаследованных ЦОДов, позволяют «заткнуть» многие «дыры» безопасности, создаваемые средой виртуализации.

Инструментальные средства обеспечения безопасности виртуальных сред уже появляются, но было бы ошибочно думать, что для обеспечения безопасной виртуализации достаточно купить лишь набор таких средств. Внимательно проанализируйте угрозы, с которыми, по вашему мнению, вы действительно сталкиваетесь, и существующие инструментальные средства или методы (для которых даже не надо покупать технологии), способные эффективно бороться с ними. Приходится только удивляться, что некоторые производители просто тупо смотрят на всю эту происходящую виртуализацию и говорят: «Ну и как нам продавать средства безопасности всем этим предприятиям со средами виртуализации VMware?». Отчасти лежащее на нас, пользователях технологии виртуализации, бремя может разрешиться только после определения, какие угрозы на самом деле будут реальными для виртуальных сред и последующего выбора соответствующих инструментальных средств.

Виртуализация изменит «лицо» самых разных компьютерных сред, будь то настольные системы или ЦОДы. Обеспечение должной безопасности виртуальных сред требует переоценки подходов к решению проблем борьбы с ИТ-угрозами. Платформенная и сетевая безопасность, которая до сегодняшнего дня находится в центре внимания большинства инициатив в данной области, уступит дорогу вопросам защиты данных и ограничению их использования только теми людьми, которые, согласно политике безопасности, имеют разрешение на доступ к ним. .

  
11 '2008
СОДЕРЖАНИЕ

бизнес

• Уходя уходи и не держи камень за пазухой

• Мини-аудит контакт-центра

защита данных

• Кольчуга на вырост

• Новые правила безопасности для сред виртуализации

информационные системы

• Как добиться повсеместного использования бизнес-аналитики

• Унифицированные коммуникации на базе SOA

• P2P-утечки и корпоративная безопасность

• Управление портфелем проектов

инфраструктура

• ИБП для ЦОДов. Часть 1

• Серверы российского производства

• Коммутирующие инфраструктуры Ethernet: конкурс решений

• Широкополосная мобильная связь: ее настоящее и будущее

сети связи

• Централизованно управляемые абонентские шлюзы доступа

• Подходы к оценке качества управления связью

кабельные системы

• «Умная» инфраструктура повышает безопасность сети

новые продукты

• Монтажные конструктивы от Depo Computers; Многофункциональное устройство NAS


• Калейдоскоп


Реклама:
 Copyright © 1996-2008 ООО "Сети и Системы Связи". вверх