ИБ как слабое звено виртуализации

Вячеслав Петрухин
направления инфраструктурных ИБ-решений
компании "Инфосистемы Джет"

Тенденция переноса информационных систем в виртуальные среды все больше набирает обороты и в России. Причины этого заключаются в значительной экономии и удобстве управления инфраструктурой – тех преимуществах, которые предоставляет виртуализация. Учитывая производительность современного оборудования, которое все реже может быть существенно загружено только одним приложением, в ближайшем будущем мы, вероятно, увидим экспоненциальный рост проектов по виртуализации. Аналитики Gartner прогнозируют увеличение виртуализированных приложений в Enterprise-среде до 50% к 2012 г. При этом 60% виртуальных серверов будут менее защищены, чем физические, которым они пришли на смену. Однако уже к 2013 г. число уязвимых виртуальных приложений должно снизиться до 30%. Данные прогнозы опираются на статистику западных компаний, в России к таким цифрам мы придем только через несколько лет, но проблема слабой защищенности платформ виртуализации актуальна уже сейчас.

Причины слабой защищенности виртуальных сред

При создании нового виртуального сервера и его подключении к сети организации у администратора нет необходимости в поиске места под оборудование, в обеспечении дополнительного питания, в его резервировании и коммутации с сетевым оборудованием.

Благодаря простоте, с которой может быть развернута виртуальная машина, отношение к этой операции тоже становится менее серьезным. При этом создание виртуальных машин – задача администраторов платформы виртуализации, которые могут не быть специалистами по информационной безопасности. Зачастую создаются виртуальные машины из устаревших шаблонов или даже с помощью установки операционной  системы "с нуля", не только без каких-либо средств защиты, но даже без актуальных обновлений. Такие машины могут быть заражены зловредным ПО и в будущем стать плацдармом для атак на другие серверы или гипервизор. Современные средства защиты позволяют использовать профили виртуальных машин и политики безопасности, позволяющие автоматизировать управление защитой виртуальных серверов. Специализированные средства не допускают возникновения ситуаций, подобных описанной выше, и одновременно снижают нагрузку на администраторов платформы виртуализации.

Сама по себе виртуализация в своей основе не является опасной, но недостаточная осведомленность о технических особенностях виртуальных сред и проблемы в использовании существующих специальных средств защиты делают виртуальные системы "слабым звеном" по сравнению с традиционными физическими. Последние, как правило, хорошо защищены различными программными и аппаратными средствами, обеспечивающими фильтрацию трафика, антивирусную защиту, обнаружение и предотвращение вторжений, контроль целостности, управление доступом и т.д.

Основные особенности, делающие виртуальные среды более сложным объектом защиты:

• невозможность использования традиционных средств защиты (сетевые средства слепы к трафику между виртуальными машинами, а, например, процедура антивирусного сканирования, будучи одновременно запущенной на десятке виртуальных машин, приведет к серьезному падению производительности);
• необходимость в особенно тщательной защите гипервизора, поскольку компрометация платформы виртуализации на этом уровне приведет к компрометации всех виртуальных машин;
• недостаточность встроенных средств платформ виртуализации для эффективного управления виртуальными машинами с учетом требований безопасности. Так, например, при использовании функций миграции виртуальная машина с включенным DHCP-сервером может быть запущена в продуктивном сегменте сети организации и нарушить его работу. Или в одном сегменте могут оказаться ресурсы, предназначенные для внешних и внутренних пользователей.

Но, пожалуй, основная причина слабой защищенности виртуальных машин, которая во многом объясняет и приведенные выше особенности, заключается в том, что проекты по созданию виртуальных сред в настоящее время рассматриваются исключительно как инфраструктурные. К ним крайне редко подключают подразделения информационной   безопасности, и в результате требования по защите информации к ним практически не предъявляются.

Рекомендации по обеспечению безопасности

Организации с развитой IT-инфраструктурой, которые не стремятся к оптимизации расходов и потому не задумываются о преимуществах виртуальных сред, – действительно редкое явление. По этой причине большинство крупных компаний на данный момент можно разделить на две группы: те, кто уже использует какую-то платформу виртуализации, и те, кто всерьез задумывается или даже планирует запустить проект по ее внедрению  в  обозримом  будущем.

Для обеспечения конфиденциальности, целостности и доступности своей информации компаниям, уже использующим платформы виртуализации, необходимо непредвзято оценить защиту своих виртуальных ресурсов и, если она окажется недостаточной, предпринять шаги по ее повышению. К таким шагам могут относиться как организационные меры, призванные разделить полномочия и усилить контроль за использованием виртуальных машин, так и внедрение специальных средств защиты, разработанных с учетом специфики виртуальной среды. Компании, которые только планируют запуск проекта по виртуализации, могут вовсе избежать или значительно снизить количество рисков, если привлекут подразделения информационной безопасности уже на стадии подготовки к проекту и разработки его архитектуры.

Комментарий эксперта

Мария Сидорова

заместитель руководителя направления "Защита виртуальных инфраструктур" компании "Код Безопасности"

При внедрении технологий виртуализации стоит выделить два ключевых вопроса в контексте информационной безопасности. Первый вопрос – это обеспечение безопасности конфиденциальной информации с учетом угроз, специфичных для среды виртуализации; второй, не менее существенный вопрос связан с выполнением требований регуляторов в части защиты информации. В результате возникает непростая дилемма – как обеспечить безопасность конфиденциальной информации и соблюсти требования законодательства, но при этом не свести на нет все преимущества от использования технологий виртуализации. В этой связи необходимо применять специализированные средства защиты информации с функциями контролирования выполнения политик информационной безопасности для защиты от утечек через специфические каналы среды виртуализации. К сожалению, на российском рынке лишь немногие компании могут предложить сертифицированные средства защиты информации, способные выполнять подобные функции.