Как защитить виртуальную инфраструктуру по требованиям ФСТЭК

Иван Бойцов
Менеджер по продукту, ООО “Код Безопасности"

Системы виртуализации и сертификация

В статье приводятся рекомендации по выполнению мер по защите. Приведенная информация актуальна для систем виртуализации, сейчас являющихся лидерами рынка, – VMware vSphere v.5.5 и Microsoft Hyper-V 2012 с управлением через Microsoft System Center Virtual Machine Manager 2012.

По требованиям ФСТЭК все средства защиты и встроенные механизмы защиты должны пройти процедуру оценки соответствия в форме обязательной сертификации. Указанные выше версии систем виртуализации еще не сертифицированы по требованиям ФСТЭК. И даже независимо от того, сертифицирована система или нет, встроенные в нее механизмы защиты не могут обеспечить полную реализацию мер по защите. На помощь приходят наложенные средства защиты для виртуализации.

Идентификация и аутентификация (ЗСВ.1)

Первая мера защиты – идентификация и аутентификация субъектов и объектов доступа в виртуальной инфраструктуре. Под субъектами в первую очередь понимаются администраторы управления средствами виртуализации, под объектами – разные компоненты инфраструктуры. Данная мера обязательна к применению на всех классах ГИС и ИСПДн и де-факто являлась обязательной во всех системах виртуализации. Однако, как уже отмечено выше, заявлять о реализации меры встроенными механизмами несертифицированной платформы виртуализации нельзя. Поэтому функции идентификации и аутентификации должно дублировать наложенное средство защиты, которое реализует собственные механизмы авторизации администраторов и компонентов ВИ. Наложенные средства защиты могут предоставлять дополнительные сервисы, например авторизацию с помощью аппаратного идентификатора или усиленное ролевое разделение доступом.

Управление доступом (ЗСВ.2)

Вторая мера защиты регулирует управление доступом субъектов к объектам в виртуальной инфраструктуре, в том числе внутри виртуальных машин. Данную меру в ограниченном объеме реализует наложенное средство защиты – оно выполняет управление доступом администраторов к управлению виртуализацией. Недостающий функционал, разграничение доступа внутри виртуальных машин выполняются классическими средствами защиты информации от несанкционированного доступа. Данные средства устанавливаются и работают на виртуальных машинах точно так же, как на обычных физических. Реализовывать вторую меру защиты, так же как и первую, придется во всех ГИС и ИСПДн.

Регистрация событий ИБ (ЗСВ.3)

Третья мера – это регистрация событий безопасности в виртуальной инфраструктуре. Данная мера по умолчанию реализуется любым средством защиты. Журналирование действий субъектов и запись всех событий безопасности – это обязательная часть работы любого средства защиты. Специализированные решения для защиты виртуализации не исключение и выполняют полную регистрацию событий. Важным свойством является удобство просмотра журналов и возможность построения отчетов по событиям, но к этим критериям требования практически не предъявляются, поэтому, выбирая средство защиты, на этот аспект следует обратить внимание. Третья мера не обязательна к применению в ГИС самого низкого, четвертого класса и ИСПДн с четвертым уровнем защищенности персональных данных.

Управление потоками информации между компонентами ВИ (ЗСВ.4)

Четвертая мера защиты – управление потоками информации между компонентами виртуальной инфраструктуры, а также по ее периметру. Реализовать данную меру в полном объеме можно только наложенными средствами защиты, которые обладают возможностью установки на компоненты виртуальной инфраструктуры своих агентов защиты, выполняющих контроль потоков информации. Защиту периметра следует строить путем установки средства защиты виртуализации на границе внешней сети, в которой находятся субъекты доступа, и внутренней сети администрирования, в которую входят компоненты инфраструктуры. Сложность выполнения данной меры компенсируется необязательностью ее применения для всех ИСПДн и для ГИС до третьего класса включительно.

Доверенная загрузка (ЗСВ.5)

Пятая мера предусматривает обеспечение доверенной загрузки серверов виртуализации, виртуальных машин и серверов управления виртуализацией. Данная мера логически делится на две – с одной стороны, это доверенная загрузка физических серверов (гиперви-зора, системы управления виртуализацией и т.д.), с другой – доверенная загрузка виртуальных машин. Первое выполняется с помощью классических аппаратных средств доверенной загрузки, второе – только с помощью наложенного средства защиты виртуализации. Однако стоит отметить, что данная мера не является обязательной к реализации во всех ГИС и ИСПДн, поэтому от использования средств доверенной загрузки можно отказаться.

Управление перемещением ВМ и обрабатываемых на них данных (ЗСВ.6)

Управление перемещением виртуальных машин и обрабатываемых на них данных контролируется в шестой мере защиты. Контроль чаще всего осуществляется с помощью перехвата команд администраторов и применения к ним правил разграничения доступа. Данную возможность предоставляет наложенное средство защиты виртуализации. Применение меры необходимо в ГИС первого и второго класса, а также в ИСПДн с первым и вторым уровнями защищенности персональных данных.

Контроль целостности (ЗСВ.7)

Седьмая мера требует осуществлять контроль целостности виртуальной инфраструктуры и ее конфигураций и делать это нужно в ГИС первого и второго класса и ИСПДн с первым и вторым уровнями защищенности. Наложенные средства защиты должны обеспечивать проверку неизменности исполняемых файлов гипервизора, средства управления виртуализацией и других компонентов, а также контролировать возможные несанкционированные изменения в файлах конфигураций виртуализации и виртуальных машин.

Резервное копирование данных (ЗСВ.8)

В восьмой мере защиты предполагается осуществлять резервное копирование данных, резервирование технических средств, ПО виртуальной инфраструктуры, а также каналов связи внутри виртуальной инфраструктуры. Данная мера применяется в ГИС первого и второго класса и ИСПДн с уровнем защищенности выше второго включительно. Резервное копирование данных может осуществляться с помощью классических средств создания резервных копий, которые устанавливаются на виртуальных машинах или непосредственно работают с системами хранения данных, или с помощью специализированных средств резервного копирования для виртуализированных инфраструктур. Резервирование технических средств закладывается при проектировании всей системы и включает в себя выделение основного и резервного аппаратного обеспечения, дисковых массивов и каналов связи. Резервирование ПО подразумевает комплекс организационных мер, обеспечивающих быстрое восстановление программного окружения в случае неполадок.

Антивирусная защита (ЗСВ.9)

Реализация и управление антивирусной защитой в виртуальной инфраструктуре предусмотрено девятой мерой. Данное требование применяется для ГИС, начиная с третьего класса включительно, и ИСПДн, начиная с третьего уровня защищенности включительно. Как и в случае с резервным копированием, реализуется с помощью классических антивирусных средств или с помощью специализированных антивирусов, интегрирующихся со средствами управления виртуальной инфраструктурой.

Сегментирование виртуальной инфраструктуры (ЗСВ.10)

Последняя, десятая мера – разбиение виртуальной инфраструктуры на сегменты. Применяется в ГИС первого и второго классов и в ИСПДн, начиная с третьего уровня защищенности включительно. Реализуется с помощью применения средства защиты виртуализации совместно со средством межсетевого экранирования (виртуальным, физическим или распределенным). Как и в случае с управлением доступа, средство защиты виртуализации обеспечивает сегментирование на уровне компонентов виртуальной инфраструктуры и администраторов, средство межсетевого экранирования – логическое или физическое разделение на группы виртуальных машин и хранилищ информации.

Выбор средств защиты

Выше были приведены все требования, касающиеся защиты виртуализации, и для упрощения понимания в качестве итогов предлагаю ознакомиться со сводной таблицей, в которой меры защиты распределены по классам и указан набор средств защиты, минимально необходимый для выполнения требований (см. табл.).

Заключение

Работа регуляторов, направленная на разработку требований по защите информации в виртуальных инфраструктурах, продолжается. В настоящий момент ведется работа над государственными стандартами по защите виртуализации и облачных технологий, разрабатываются документы с требованиями к средствам защиты виртуализации и облачных технологий. Приказы № 17 и 21 – это только начало длинного пути.

Стоит отметить, что текущие требования по защите описывают нейтрализацию действительно актуальных угроз и выполнение указанных выше мер позволит существенно снизить риск нарушения конфиденциальности, целостности и доступности информации в виртуальной инфраструктуре. Конечно, слепо полагаться на выполнение только требуемых мер не стоит. Для любой системы необходимо построение модели угроз, просчет рисков информационной безопасности и построение полноценной системы защиты, удовлетворяющей не только требованиям регуляторов, но и обеспечивающей требуемый уровень безопасности.