Безопасность и виртуализация

По мере движения мира виртуализации вперед организации все чаще сталкиваются с необходимостью и преимуществами ее использования: такие факторы, как объединение серверов, высокие счета за оплату электроэнергии, более быстрое оборудование, простота использования и быстрые технологии создания виртуальных систем делают область виртуальных компьютеров все более привлекательной.

В некоторых организациях виртуализация уже стала большой частью инфраструктуры. Снова технология опередила лучшие методы безопасности. Это не должно стать негативным фактором, поскольку многие организации торопятся с процессом виртуализации.

Виртуальные среды становятся все более популярными в качестве решений восстановления после форс-мажорных обстоятельств и непрерывности рабочего процесса, особенно в финансовой индустрии. Это важно, поскольку некоторые из таких решений используются в полуживых средах, а процессы обновления и защиты безопасности вообще не принимаются во внимание, о них просто забывают.

Давайте рассмотрим некоторые проблематичные моменты при работе с виртуальными средами

• Если хост скомпрометирован, можно нарушить работу клиентских серверов, расположенных на машине первичного хоста.
• Если виртуальная сеть скомпрометирована, то клиент тоже скомпрометирован.
• Клиентские ресурсы и ресурсы хоста должны быть защищены, поскольку они могут использоваться обоими компонентами. Потенциально это может привести к тому, что файлы будут копироваться в эту область и переполнят диск.
• Если машина хоста имеет проблемы, то все виртуальные машины перестают работать.
• Виртуальные машины часто воспринимаются, как второсортные машины, в то время как, на самом деле, они имеют одинаковые параметры и работают так же, как и физические машины. В последующие несколько лет практически не будет существовать различий между виртуальными и физическими машинами.
• Такое отношение является результатом методики, о которой, кажется, забывают, когда речь заходит о сфере виртуализации. Эта методика снижает потенциальную область атак и должна использоваться как в физических, так и виртуальных средах.

Что можно сделать, чтобы лучше защитить вашу виртуальную серверную среду

• Обновлять вашу ОС и приложения; это необходимо делать на всех виртуальных машинах и на хосте. Приложения на хосте должны быть в минимально возможном количестве, устанавливайте только то, что вам действительно необходимо.
• Ограждайте каждую виртуальную машину друг от друга с помощью брандмауэров, это в свою очередь изолирует машины друг от друга и позволит только разрешенным протоколам взаимодействовать.
• Изолируйте каждую виртуальную машину друг от друга и от хоста: процесс изоляции необходимо осуществлять на всех возможных уровнях.
• Установите и обновляйте антивирусные программы на всех виртуальных машинах и на хосте, виртуальные машины могут быть заражены вирусами и червями так же, как и физические машины.
• Используйте IPSEC или надежное шифрование между виртуальными машинами и хостом: трафик между виртуальными машинами и машиной хоста может быть скомпрометирован. Производители стараются свести такой риск к минимуму, но на момент написания данной статьи это все еще остается реальной угрозой. Лучшая методика использования все еще указывает на необходимость шифрования обмена данных между машинами.
• Не выходите в Интернет с компьютера хоста, заражение, вызванное шпионским или вредоносным ПО, по-прежнему представляет определенную опасность. Помните о том, что машины хоста управляют виртуальными машинами, и проблемы, возникающие на виртуальной машине хостов, могут привести к серьезному снижению производительности или вообще отказу служб.
• Защитите администратора и администраторские учетные записи на компьютере хоста: доступ к таким учетным записям неавторизированными пользователями может привести к значительным недостаткам в безопасности. Исследования показали, что администраторская (корневая) учетная запись на машинах хоста значительно менее защищенная по сравнению с учетными записями и паролями виртуальных машин или машин физической сети. Помните о том, что ваша безопасность настолько сильна, насколько сильно ее самое слабое место.
• Укрепляйте ОС хоста и отключайте ненужные службы. Использование ОС по минимуму обеспечит минимальную потенциальную возможность для атак.
• Отключайте неиспользуемые виртуальные машины, если вам не нужно, чтобы они работали.
• Включайте виртуальные машины в политику безопасности организации, в конце концов это тоже машины, пусть и виртуальные.
• Защитите компьютер хоста, чтобы быть уверенными в том, что когда виртуальные машины работают в автономном режиме, незаконное вмешательство в их файлы неавторизированными пользователями невозможно.
• Отдавайте предпочтение решениям, которые изолируют процессы, например, решение Hyper Visor, эти системы сильнее изолируют и надежнее защищают среду.
• Обязательно обновляйте драйверы хоста: это обеспечит работу ваших физических устройств на оптимальной скорости, самые свежие выпуски ПО обеспечат устранение недостатков более ранних версий драйверов, и снижение потенциальной возможности их незаконного использования и отказа служб.
• Отключите технологию портов физических устройств на каждой виртуальной машине, если эта технология не используется; такие технологии, как USB должны быть отключены на всех виртуальных машинах, если среда виртуальных машин не использует данную технологию.
• Постоянно просматривайте журналы регистрации событий и журналы безопасности на машинах хостов и виртуальных машинах. Мониторинг часто игнорируется в виртуальных средах, причина этого, вероятно, связана с мониторингом на основе хоста, который предлагает ПО виртуализации. Эти журналы должны храниться в вашем хранилище логов для более надежной защиты и в целях их просмотра в будущем.
• С учетом все большего предпочтения хранилищ с флеш-памятью такого ПО, как hyper visor, магнитные носители не только устаревают, но и являются средствами, способствующими нарушениям безопасности, которые предотвращаются технологией флеш-памяти.
• Ограничивайте и снижайте количество совместно используемых ресурсов оборудования. Утечка данных и остаток являются несколькими из проблем, которые могут возникнуть, однако DoS могут возникать, когда ресурсы совместно используются и блокируются альтернативной виртуальной машиной. Изначально виртуальные машины совместно используют CPU, RAM, жесткий диск и другие ресурсы. Управляйте этими ресурсами сдержанным образом и используйте лучшие методики безопасности для обеспечения работоспособности служб.
• По возможности делайте так, чтобы карты интерфейса сети были выделены для каждой виртуальной машины. Опять же это снизит потенциальный риск возникновения проблем совместного использования ресурсов и обеспечит определенную изоляцию входящего и исходящего трафика виртуальных машин.
• Вкладывайте средства в покупку оборудования, которое лучшего всего подходит для работы с виртуальными машинами, то есть с поддержкой таких возможностей. Оборудование, которое создано без поддержки виртуальных машин, не использует техническое применение мер безопасности, которые разделяют ресурсы, а это в свою очередь может вызвать проблемы безопасности.
• Программы разбивки создают границы дисков, которые можно использовать для разделения и защиты каждой виртуальной машины, на выделенных для них разделах. Если виртуальная машина выходит за рамки выделенного для нее раздела, то ограниченный размер раздела остановит ее воздействие на другие виртуальные машины.
• Убедитесь в том, что виртуальные машины не могут подключаться друг к другу, если в этом нет необходимости. Изоляция сети очень важна, как уже отмечалось. Для взаимного обмена данными между виртуальными машинами в сети используйте раздельные сетевые карты с разным списком сетевых адресов, это более безопасно, чем передавать трафик виртуальных машин через «открытую» сеть.
• Контроль сетевого доступа (Network Access Control – NAC) должен использоваться на хосте виртуальных машин. Это особенно применимо в случаях виртуальных серверов на базе запросов (appliance based VM servers), если эту функцию можно активировать, то правильно используемый NAC способен на многое.
• Строже управляйте удаленным доступом к виртуальным машинам и, особенно, к машине хоста, это позволит снизить потенциальную опасность.
• Помните, что машина хоста представляет собой единую точку сбоя, такие технологии как репликация и непрерывность позволят снизить этот риск.
• Избегайте совместного использования IP адресов, опять же это типично для совместного использования ресурсов и может послужить причиной возникновения проблем и уязвимости.

Кажется, виртуализация становится не такой уж простой, как мы ранее думали, поскольку она требует все больше технологий безопасности и защиты физических сред; к тому же технология имеет свои специфические проблемы, которые нужно решать.

Заключение

Технология единых виртуальных машин быстро приближается к завершению своего существования, поскольку появляется все больше расширенных технологий, таких как hyper Visor. Эти технологии более совершенны с точки зрения безопасности и производительности, поэтому их применение и популярность вполне закономерны. Безопасность виртуальных машин – это вложение, которое нужно делать. Если ваша организация считает, что цена слишком высока, может ей лучше использовать физические машины, но не стоит забывать о том, что и их необходимо защищать.

Источник www.windowsecurity.com

• Wds служба развертывания
• K exchange servers как удалить
• Nat Windows 2003
• Ограничение времени выполнения хранимой процедуры oracle
• Уникальные шрифты