Wdrażanie rozwiązań wirtualizacyjnych, SOA i sieci mobilnych powoduje, że przedsiębiorstwo staje wobec wielu nowych, nieznanych dotąd problemów związanych z bezpieczeństwem sieci.

Przedsiębiorstwa poszukują sposobów obniżenia kosztów IT, optymalizacji zasobów i polepszenia efektywności. Aby osiągnąć te cele, wykorzystują ostatnio trzy dominujące technologie: wirtualizację, architekturę zorientowaną usługowo SOA (Service-Oriented Architecture) i mobilność. Jeszcze większe nadzieje daje łączenie tych technologii. Wiąże się to jednak z nowymi problemami w zakresie bezpieczeństwa.

Przyjrzyjmy się przykładowo środowisku maszyn wirtualnych. Obejmuje ono menedżera maszyn wirtualnych (lub inaczej hypervisora), który w celu utworzenia tzw. wirtualnego stosu pośredniczy pomiędzy jądrem a goszczonym systemem operacyjnym. W takim stosie wyróżnia się dwa poziomy: hypervisora i goszczonego systemu operacyjnego; mogą się one wzajemnie wywoływać, ale nie mogą być monitorowane przez większość dostępnych obecnie narzędzi.

Dla szefów IT, którzy spotykają się z tymi nowymi technologiami, stwarza to serię problemów z bezpieczeństwem. Najpowszechniejsze z nich to zarządzanie zmianami i kontrola wersji. Dobre praktyki, standardy i narzędzia już się pojawiają, ale w większości są fragmentaryczne, otwarte na interpretacje i niekompletne. Obecnie pełne zarządzanie za pomocą dostępnych technologii jest dość trudne w realizacji.

Bezpieczeństwo poziomu wirtualizacji

Chociaż wirtualizacja serwera zwiększa jego efektywność operacyjną i elastyczność zarządzania, a także zmniejsza koszty posiadania, to jednak może także zwiększać ryzyko powstawania zagrożeń dla bezpieczeństwa.

Według raportu Forrester Research, dwie trzecie organizacji będzie w roku 2009 używać jakiejś formy wirtualizacji. Przedsiębiorstwa wykorzystujące ją mają obecnie średnio 24% serwerów wirtualizowanych, natomiast w 2009 r. udział ten ma wynosić już 45%. Organizacje te świadomie wdrażały te technologie, mimo związanego z nimi ryzyka, jak pokazują badania przeprowadzone przez tygodnik "Network World" pod koniec 2007 r. Spośród 707 respondentów - 64% ankietowanych potwierdziło świadomość zwiększenia ryzyka dla bezpieczeństwa sieci wraz z wprowadzeniem wirtualizacji.

Z kolei według danych Gartnera, w 2009 r. 60% maszyn wirtualnych (VM) będzie mniej bezpiecznych niż ich fizyczne odpowiedniki. Wyzwania w zakresie bezpieczeństwa VM obejmują problemy, takie jak: zależność od adresów IP, rozprzestrzenianie maszyn wirtualnych, brak możliwości monitorowania ruchu wewnątrz hosta oraz "silosowe" - dedykowane oddzielnym aplikacjom - podejście do polityki bezpieczeństwa.

W środowisku zwirtualizowanym adresy IP są często zmieniane w miarę jak maszyny wirtualne są tworzone, usuwane lub przenoszone z jednego fizycznego hosta na inny, co stanowi problem dla tradycyjnych mechanizmów ochronnych.

Rozprzestrzenianie maszyn wirtualnych wynika z łatwości ich tworzenia z wcześniej istniejących obrazów maszyn wirtualnych. Duża liczba tak utworzonych maszyn jest trudna do zarządzania, a często obrazy, na podstawie których są tworzone, mają znane luki bezpieczeństwa. Udany atak na podatną VM może posłużyć jak platforma startowa do zaatakowania innych maszyn.

Aby zmierzyć się z problemami związanymi z zarządzaniem wirtualizacją, Microsoft przejął w styczniu br. firmę Calista Technologies i włącza technologie zintegrowanego zarządzania wirtualizacją Calista do swojego oprogramowania System Center Virtual Machine Manager.

Virtual Machine Manager (VMM) 2008 jest pierwszym narzędziem udostępnionym przez Microsoft (obok środowisk wirtualnych VMware i Xen), umożliwiającym zarządzanie platformą Hyper-V.

VMM ma pomagać w konfigurowaniu i wdrażaniu maszyn wirtualnych. Zapewnia także narzędzia scentralizowanego zarządzania i provisioning. Oprogramowanie należy do pakietu narzędzi zarządzania System Center, w ramach której jest zintegrowane z innymi elementami do zarządzania, takimi jak Configuration Manager i Operations Manager.

Microsoft zapowiedział także udostępnienie niezależnej wersji VMM 2008, która będzie wyłączona z pakietu System Center Server Management Suite Enterprise (SMSE), wprowadzonego pod koniec ubiegłego roku. VMM w wersji 2007 jest dostępny wyłącznie z SMSE, co budziło protesty użytkowników chcących budować VMM, zmuszonych do kupowania całego zestawu System Center.

Novell ZENWorks Orchestrator, do zarządzania cyklem życia maszyny wirtualnej, może powiadamiać, czy maszyna wirtualna wychodząca z trybu zawieszenia (uśpienia) jest aprobowanym urządzeniem wirtualnym. Nie może on jednak monitorować zachowania takiej maszyny wirtualnej pod kątem anormalnych działań i wysyłać odpowiednich alarmów. W celu realizacji tych zadań Novell odsyła do narzędzi zewnętrznych innych dostawców, w tym m.in. do: VirtualShield firmy Blue Lane Technologies i Virtual Security Appliance (VSA) firmy Reflex Security. Monitorują one szkodliwy ruch wprowadzany przez hypervisora oraz pomiędzy maszynami wirtualnymi. VSA jest maszyną wirtualną umiejscowioną w sieci wirtualnej w celu obserwowania anormalnych zachowań maszyn wirtualnych. Obsługuje: VMware ESX, Hyper-V, Citrix XenSource i Virtual Iron (firmy Virtual Iron Software).

Narzędzie zarządzania PowerRecon firmy PlateSpin pozwala na wgląd w to, co zdarzyło się wewnątrz środowiska wirtualnego. Jako element popularnej platformy wdrażania wirtualizacji PlateSpin, komponent ten obsługuje takie funkcje zarządzania, jak przydział zasobów i możliwość zdejmowania obciążeń z maszyn fizycznych.

Monitorowania maszyn-gości nie da się wprowadzić wprost, drogą zamian w systemach bezpieczeństwa hosta i aplikacji zmierzających do obsługi wszystkich wirtualnych elementów. Maszyny--goście stwarzają nowe wyzwania. Gość w wirtualnym świecie funkcjonuje tylko w trybie host, oczekując na komendy swojego hosta, lub w trybie zawieszenia, oczekując na wejście w dowolnym momencie. Kontrola wersji jest tu problemem kluczowym, ponieważ niezbędna jest wiedza: w jakim znajduje się stanie, zanim zostanie ożywiony. Do tego dochodzi problem bezpieczeństwa samego hypervisora: czy ma wszystkie niezbędne łatki i czy jest prawidłowo skonfigurowany? Czy pracuje bezpiecznie w ramach swoich działań i komunikacji?

Kłopot z monitorowaniem ruchu wewnątrz hosta wynika z wprowadzenia do wirtualizacji serwerów koncepcji tzw. miękkich przełączników, pozwalających VM na komunikowanie się w ramach pojedynczego hosta. Do monitorowania i ochrony takiej komunikacji potrzebne są specjalne narzędzia.

"Silosowe" podejście do bezpieczeństwa, dedykowanego poszczególnym aplikacjom, to niestety metoda stosowana przez wielu dostawców środków bezpieczeństwa, którzy rekomendują różnorodne rozwiązania, ze zróżnicowanymi wymaganiami wobec zarządzania. Potrzebne jest nowe podejście - rozwiązania wieloplatformowe, które mogą zabezpieczać zarówno środowiska wirtualne, jak i fizyczne. Konsole zarządzania dla wieloplatformowych narzędzi bezpieczeństwa wirtualnego powinny móc funkcjonować w dowolnym miejscu sieci, zapisując szczegółowe dane do logów systemów operacyjnych, co ułatwia integrację tych narzędzi z istniejącymi mechanizmami zarządzania. Narzędzia wieloplatformowe, eliminując zależności polityki bezpieczeństwa od adresów IP, mogą zapewniać wymuszanie reguł polityki niezależnie od lokalizacji lub platformy. Polityka powinna być wymuszana w różnych sytuacjach: kiedy serwery fizyczne i punkty końcowe są przemieszczane do innych lokalizacji w sieci, maszyny fizyczne są zamieniane na maszyny wirtualne lub maszyny wirtualne migrują z jednego hosta na inny.

Wieloplatformowa ochrona wirtualna umieszcza maszyny fizyczne i VM w logicznych strefach bezpieczeństwa i chroni przed zagrożeniami związanymi z niekontrolowanym rozprzestrzenianiem VM, egzekwując zasadę, że żadna VM nie może komunikować się ze strefami bezpieczeństwa, do których nie należy. Ścisła kontrola dostępu do każdej takiej strefy znacznie zawęża obszar ataku na VM.

Wieloplatformowa ochrona wirtualna eliminuje "zgniłe kompromisy" między korzyściami wirtualizacji a silnym bezpieczeństwem przez wprowadzanie logicznego modelu bezpieczeństwa, obejmującego zarówno fizyczne, jak i wirtualne centra danych, pozostawiając jednocześnie możliwość migracji VM.