Защита виртуальных инфраструктур

Виртуализация – это общее название, которое может трактоваться в зависимости от области применения. Сегодня специалисты выделяют следующие типы:

• виртуализация серверов, под которой понимают либо размещение нескольких логических (виртуальных) серверов в рамках одного физического (например, VMware ESX Server или KVM), либо объединение нескольких физических серверов в один логический для решения определенной задачи (например, в виде кластера);
• виртуализация рабочих станций (VDI), являющаяся развитием идеи терминального подключения и заключающаяся в возможности предоставить пользователю свой собственный "рабочий стол", но работающий на удаленном сервере и не использующий ресурсы компьютера пользователя (например, Citrix XenDesktop);
• виртуализация приложений позволяет разворачивать приложения "по требованию", изолировав их от других приложений (например, Citrix XenApp или VMware ThinApp);
• виртуализация сети позволяет построить несколько изолированных друг от друга сетей – как в рамках одного предприятия (технология VLAN), так и в рамках оператора связи (технология MPLS);
• виртуализация аппаратного обеспечения, позволяющая эмулировать оборудование;
• виртуализация безопасности, которая может трактоваться и как средства защиты, специально созданные для поддержки виртуализированных сред (например, Cisco ASAv или решения Virtuata), и как виртуальные средства защиты в рамках одного устройства защиты, каждое из которых действует независимо от других и в соответствии со своей политикой (например, виртуальные МСЭ или виртуальные сенсоры системы обнаружения вторжений). Также интересным примером виртуализированной системы защиты являются средства класса Honeypot, которые эмулируют на одном компьютере целые подсети, привлекающие злоумышленников и заставляющие последних тратить ресурсы на взлом несуществующих узлов.

Защита виртуальных инфраструктур: с чего начинать?

При таком многообразии типов виртуализации возникает закономерный вопрос: с чего начать процесс построения системы защиты виртуальной инфраструктуры? Можно выделить два распространенных варианта. Первый – самостоятельно набивать шишки и методом проб и ошибок прийти к защищенной от широкого спектра атак инфраструктуре. Второй – воспользоваться уже готовыми руководствами. Данные инструкции, зачастую насчитывающие по несколько сотен страниц детальных конфигураций, подробно описывают настройки того или иного продукта или решения, как самостоятельного, так и в комбинации с другими системами.

Не менее интересны вендор-независимые руководства*, относящиеся к более высокоуровневым рекомендациям, нюансы реализации которых могут быть найдены в руководствах выбранных производителей.

Отдельно хочется отметить и российский опыт выпуска руководящих и методических документов в этой области. Совсем недавно были выпущены рекомендации Банка России: "Обеспечение информационной безопасности при использовании технологий виртуализации" (РС БР ИББС-2.8-2015). Другой регулятор в области защиты информации – ФСТЭК России, которая в рамках своих приказов по защите государственных и муниципальных информационных систем, информационных систем персональных данных и АСУ ТП соответственно (17, 21 и 31-й приказы) утвердила десять требований по защите виртуальных инфраструктур. Наконец, на финальной стадии находится процесс принятия национального стандарта "Защита информации при использовании технологий виртуализации. Основные положения".

Обзор системы защиты виртуальных инфраструктур

Задумавшись о безопасности виртуальных инфраструктур, начинать надо с моделирования угроз или анализа рисков, с которыми может столкнуться та или иная технология виртуализации. Очевидно, что для разных типов виртуализации список угроз будет разным, а их применимость в той или иной реальной ситуации также будет отличаться. В проекте ГОСТа по защите виртуализации перечислено 18 высокоуровневых угроз для большинства технологий виртуализации. Однако есть и ряд общих для всех характеристик.

Во-первых, виртуализация серверов, приложений или рабочих мест позволяет приложениям перемещаться между серверами, удаленными ЦОДами и даже облачными средами. Такая мобильность увеличивает сложность того уровня сети, который отвечает за безопасность. Обычно он работает с неподвижными ресурсами и их адресами, а также статичными сетями при реализации политик безопасности. Гибкость перемещения политик безопасности в соответствии с изменением виртуальных рабочих нагрузок является сложной задачей, требующей особого внимания.

В результате виртуализации серверов возникают новые точки атаки, в частности на уровне виртуализации, включая гипервизор, среду виртуальных машин и программные коммутаторы, заменяющие физические уровня контроля доступа в сети. Появление этих дополнительных слоев увеличило число уязвимых мест современного ЦОДа или облачной среды. Действительно, по своей сути уровень виртуализации хуже защищен по сравнению с физическими устройствами из-за отсутствия физического разделения и особенностей, связанных с большим числом пользователей.

В физических локальных сетях для разделения групп пользователей и ресурсов в основном используются виртуальные сети (VLAN, PVLAN и т.п.). Такое решение непригодно для виртуальных ЦОДов, поскольку, как правило, виртуализируемые приложения или ОС не могут перемещаться между виртуальными сетями. В результате исчезает основное преимущество виртуализации – возможность использования любого доступного ресурса в центре. Поэтому возникает необходимость в новых средствах разделения сетей и обеспечения безопасности (например, специальные метки безопасности Security Group Tag, технология TrustSec и т.п.).

В информационных технологиях принято строгое распределение ответственности между администраторами серверов, сетей и службой безопасности. Виртуализация серверов усложнила такое разделение труда, поскольку те, кто работает с серверами, как правило, взяли на себя вопросы обслуживания сетей и обеспечения безопасности уровня виртуализации, закрепленного за серверами и средой виртуальных машин. Поэтому необходимо использовать средства, позволяющие использовать функции групп безопасности и единообразные политики безопасности на уровне виртуализации.

Защита сетевой инфраструктуры технологий виртуализации

Единственное, что стоит выделить особо, – это защита сетевой виртуализированной инфраструктуры. Этот вопрос актуален для виртуализации рабочих мест, приложений и серверов. Обычно на нее мало обращают внимание, так как она выходит за рамки настроек безопасности гипервизора и систем управления виртуальными инфраструктурами, описанными в руководствах Citrix, VMware, Microsoft. В такой ситуации, казалось бы, никакой специфики нет – тот же IP-трафик циркулирует между не физическими, а виртуальными машинами. А раз трафик тот же и виртуальные машины имеют собственные IP-адреса, то прописать соответствующие правила на межсетевых экранах или на сетевом оборудовании не представляет большого труда. Это действительно было бы так, если бы не одно "но". Трафик между виртуальными машинами может вовсе не покидать физического сервера (при условии, что все виртуальные машины сосредоточены на нем). Как тогда сделать сетевой трафик видимым для традиционных средств сетевой безопасности? А как быть с виртуальными машинами, меняющими свое местоположение и, как следствие, адрес? А с виртуальными приложениями, сетевого адреса не имеющего вовсе?

Но особых проблем нет и в этом случае. При определенных условиях нам ничто не мешает "заворачивать" весь трафик между виртуальными машинами или рабочими местами на обычный коммутатор, к которому подключены средства защиты. Это, правда, усложняет дизайн сети ЦОДа, но защищенность в этом случае не страдает, и не потребуется дополнительных капитальных затрат. Если же проблемы финансов не стоит или сетевое оборудование не позволяет эффективно разбирать трафик разных виртуальных машин и приложений, то возможно применение специализированных средств защиты, разработанных именно для виртуализированных сред. Такую продукцию сегодня предлагают многие компании, работающие как в сегменте виртуализации, так и в сегменте сетевой безопасности.

Возможен и третий вариант – применение виртуализированного сетевого оборудования (коммутаторы, маршрутизаторы, межсетевые экраны, системы предотвращения вторжений), которое стало предлагаться некоторыми производителями. Оно не только вобрало в себя лучшее из традиционной сетевой инфраструктуры, но и транслировало это на область виртуализации. Такой подход позволяет ИТ-службам быстро и почти без переобучения внедрять новые решения в виртуализированный ЦОД, построенный по принципам и на оборудовании, схожим с традиционными ЛВС.