Wirtualnie czy w skrzynce
-
- 20.11.2013
Skrzynka obsłuży ruch z maszyn wirtualnych
Radykalną poprawę elastyczności rozwiązań bezpieczeństwa przynosi tagowanie ruchu przez wirtualny przełącznik obecny w oprogramowaniu wirtualizującym. Ruch z wybranej maszyny wirtualnej zostaje wtedy oznaczony etykietą odpowiedniej podsieci wirtualnej (VLAN), a następnie jest skierowany zgodnie z tą etykietą przez inteligentny przełącznik sieciowy do interfejsu urządzeń bezpieczeństwa, które dokonują analizy i ewentualnego filtrowania.
Ponieważ nowoczesne urządzenia IPS obsługują tagowanie ruchu VLAN, można przesyłać jednym interfejsem ruch z różnych maszyn, a wysoko wydajny IPS będzie ten ruch niezależnie analizować. Metoda jest znacznie tańsza od zakupu kilku urządzeń IPS i przypisaniu na stałe interfejsu fizycznego oraz stałych połączeń między serwerami a urządzeniami IPS. Wirtualizację sond lub całych urządzeń obsługują wszystkie urządzenia IPS klasy korporacyjnej i operatorskiej.
Ochrona antywirusowa klastra wirtualizacyjnego
Dzisiejsze oprogramowanie pracuje przeważnie w środowisku wirtualizowanym, a zatem oprogramowanie antywirusowe musi uwzględniać charakterystykę pracy takiego środowiska. Oznacza to konieczność uwzględnienia położenia poszczególnych maszyn wirtualnych na fizycznych serwerach, ograniczenie liczby jednocześnie skanowanych maszyn, a także zmniejszenie narzutu związanego z pracą oprogramowania antywirusowego.
Milowym krokiem okazała się technologia skanowania maszyny wirtualnej bez konieczności instalacji agenta antywirusowego wewnątrz chronionego systemu. Antywirus zbudowany przy wykorzystaniu interfejsu API umożliwia skanowanie hostowanego systemu operacyjnego bez konieczności instalacji agenta, dzięki czemu radykalnie zmniejsza się narzut związany z wielokrotnym wykonywaniem tego samego kodu na fizycznym serwerze. Technologia nie ma odpowiednika w klasycznym modelu, gdy system operacyjny instalowany jest bezpośrednio na sprzęcie.
Dział IT często jest zmuszony do eksploatacji aplikacji lub systemów, o których wiadomo, że zawierają niezałatane podatności. Niekiedy tych systemów nie można zaktualizować, a podatności nie da się załatać ani ominąć. W sektorze finansowym zazwyczaj wykorzystuje się starsze aplikacje, tworzone jeszcze na platformach takich jak Windows NT 4.0 czy Windows 2000.
Aplikacje te nie są zgodne z nowymi systemami serwerowymi Microsoftu, ale nadal świetnie spełniają swoje zadania i migracja do nowego oprogramowania może być nieopłacalna. W takich przypadkach nieocenioną pomoc oferuje oprogramowanie, które realizuje wirtualne łatanie podatności.
Zadaniem wirtualnego łatania jest zablokowanie ataku, by nie dotarł do podatnego systemu. Metoda ta dobrze działa w przypadku aplikacji webowych, jak również systemów operacyjnych, potrafi zablokować ataki takie jak SQL Injection, a także przepełnienie bufora i inne, obecne w samych systemach operacyjnych. Zazwyczaj w ten sposób chroni się aplikacje starsze, zaraz po ich migracji do wirtualizowanego środowiska, którym najczęściej jest oprogramowanie VMware. Technologię w tym zakresie ma m.in. innymi oprogramowanie firmy Trend Micro.
Przy łataniu podatności narzędzia ochronne dla systemów operacyjnych korzystają z interfejsu programistycznego API oferowanego przez hypervisor i na podstawie informacji o ruchu i podatnościach chronionego systemu podejmuje akcje związane z blokowaniem ewentualnych ataków. Metoda jest na tyle sprawna, że umożliwia dalszą eksploatację systemów, które nie uzyskują już poprawek bezpieczeństwa, a takimi systemami są np. Windows NT 4.0 oraz Windows 2000.
W sektorze finansowym oraz publicznym nadal spotyka się aplikacje, które działają na tych przestarzałych systemach. Podstawowym argumentem do dalszej eksploatacji jest ochrona inwestycji oraz rachunek kosztów związanych z migracją do nowych aplikacji.
W przypadku aplikacji webowych wirtualne łatanie można przeprowadzić na urządzeniu pośredniczącym, takim jak zapora aplikacyjna (WAF) lub IPS, a na samym serwerze za pomocą wtyczki, takiej jak ModSecurity.
Kiedy warto rozważyć wirtualne łatanie
Najważniejszym scenariuszem wdrożenia wirtualnego łatania jest eksploatacja oprogramowania, w którym nie można niezwłocznie poprawić błędów w kodzie źródłowym. Dotyczy to nie tylko aplikacji, ale także systemów operacyjnych. Rozwiązanie to ma jeszcze dodatkowe zalety:
- Jest skalowalne – implementacja w jednym miejscu jest prostsza od wprowadzania poprawek na wiele hostów.
- Redukuje ryzyko przełamania bezpieczeństwa do czasu, aż dostawca aplikacji dostarczy odpowiednią poprawkę, która następnie i tak musi być przetestowana i wdrożona.
- Ryzyko konfliktów programowych (np. związanych z wersjami bibliotek) jest niższe niż w tradycyjnym modelu.
- W ten sposób można ochronić systemy krytyczne, których się nie wyłącza.
- Umożliwia utrzymanie zaplanowanych cykli wprowadzania poprawek i zmniejsza nakłady na wprowadzanie krytycznych poprawek bezpieczeństwa poza cyklem.
