Olen ollut yllä kysymykseen tarpeeksi monta kertaa, että olen tuntenut sen arvoinen blogi. Kun muutama vuosi sitten vastaus voi olla "epävarmemmaksi", tänään vastaus on "sekä". Tiedän, kuulostaa Chris ovat varauksellisia, mutta tämä vastaus todella tarkimmin kuvaa nykytilaa tekniikkaa.
Virtualisointi muuttaa kaiken
Olen kuullut muutamia ihmisiä huomio, että virtualisointi on aikeissa vaikuttaa alan samalla tavalla kuin Internet teki 90-luvulla. Ollakseni rehellinen, minusta on hyödyllistä, että lausunnossa. Kun 90-luvun alussa useimmat ihmiset juoksivat IPX, AppleTalk, NetBUI ja lukuisia muita pöytäkirjoja suljetuissa verkoissa. Loppuun mennessä 90-useimmat ihmiset juoksivat IP yksinomaan yhteyden koko maailmalle. Näin sen teimme liiketoimintaa sekä tapaamme soveltaa turvallisuutta, täysin muuttunut, että 10 vuotta. Sekä verkonhallinta ja turvallisuus taitoja, jotka kärjessä vuonna 1990 olivat kaikki vaan hyödyttömiä vuoteen 1999 mennessä.
Virtualisointi alkaa kiihtyy olla sama vaikutus teollisuudelle. Virtualisointi käyttöönotto vaatii täydellistä uudelleenarviointia, kuinka soveltaa turvallisuutta. Back in 1990-luvulla, adminit jotka yksinkertaisesti kytketty Internetiin, piittaamatta siitä, miten se vaikuttaisi verkostoa paloi iso aikaa. Olemme jonossa nähdä samanlaisia tuloksia kuin ihmiset hyväksymään virtualisointi.
Mikä tekee Virtualisointi vähemmän turvallinen
Akilleen kantapää virtualisointi on ohjelmiston itse. Toivomme voimme luottaa ohjelmisto pitää asiakkaiden järjestelmiin päässä toisistaan, samoin kuin isäntä ja / tai hypervisor. Kaksi suurta ongelmaa tämän odotuksen:
- Ohjelmisto ei ole bugi ilmainen
- Ohjelmistot voivat olla väärin
Muutama vuosi sitten Core Tutkimus osoitti, he voisivat päästä pois vieras ja saa täyden määräysvallan kone-käyttöjärjestelmä . Kun hypervisor on tarkoitus rajoittaa, että vastuiden tyypin, olemme varmasti nähneet tapauksia, joissa jopa hypervisor on ohitettu . Olemme myös nähneet tapauksia oli ohjelmistoarkkitehtuuri tulee hyödyntää vain ajettavat virtuaalikoneille . Nämä linkit esittävät pieni poikkileikkaus, annettu virtualisoinnin ongelmia,, jotka on löydetty yli viime muutaman vuoden aikana. Google voi antaa sinulle enemmän täydellinen lista, jos olet kiinnostunut.
Joten varovainen turvallisuus ammatillinen tulee olemaan varovaisia sokeasti luottaa ohjelmisto on turvallinen. Ongelma on myyjät eivät aina tätä samaa lähestymistapaa. Ota VMware niiden ESX (pian ESXi) tuote esimerkkinä. Monet meistä olivat ällikällä lyötyjä, kun VMware edustaja ilmoitti CanSecWest että oli teoriassa mahdotonta hyökätä ESX hypervisor . Kun me vain olettaa, että jotakin on särkymätön, joku luovempia aikoo keksiä keino lyödä läpi .
Yksi suurimmista huolenaiheista on ESX / ESXi että VMware on suunnitellut sen olevan modulaarinen (via VMSafe ). Hyvänä puolena tämä tarkoittaa, että ulkopuoliset toimittajat voivat luoda tuotteita, parantaa hypervisor toimivuutta ja turvallisuutta. Haittapuolena tämä lisää merkittävästi mahdollisuuksia huono koodi on otettu käyttöön, joka voi vaarantaa tietoturvan.
Olemme nähneet hyvä esimerkki tästä aiemmin. Marcus Ranum luotu Gauntlet palomuuri, joka tuolloin oli yksi kaikkein turvallisin ja potku butt turvalaitteiden käytettävissä. Kun kolmen kirjaimen virastot halusi paras turvallisuus, he kääntyivät Gauntlet. Marcus myi Gauntlet ja Network Associates (josta myöhemmin tuli McAfee), joka heti alkoi lisätä ominaisuuksia. Se ei ollut kauan ennen kuin tasainen jono haavoittuvuuksista oltiin löydetty, jokainen otettu käyttöön näitä uusia "ominaisuuksia". Sieltä tuote menetti turvallisuus uskottavuus ja liukui pois tutkan.
Nyt on varmasti mahdollista lisätä ominaisuuksia ja pitää asiat turvallinen. FreeBSD ihmiset ovat erinomainen esimerkki siitä, miten tämä tehdään oikein. Turvallisuuden varmistamiseksi ne pitää hyvin tiukka auditointiprosessi . Onko se täydellinen? Ehdottomasti ei, mutta niiden auditointiprosessi on asettanut riman turvallisille Ohjelmistojen. On onnea VMware tekee samanlaisia, mutta en ole kuullut mitään buzz tästä on kyse.
Getting Your Head Straight
OK, joten emme voi sokeasti luottaa virtualisointi-ohjelmisto pitää hyökkääjät loitolla. Voimme kuitenkin vielä toteutettava varotoimenpiteitä voidaan minimoida vaikutuksia, jos pahin ei tapahdu. Yksi suurimmista vaiheita voit tehdä, on tarkkaan harkittava, mitkä palvelimet saavat isännöi, ja mitä muita asiakkaiden järjestelmät saavat ajaa samaan laatikkoon. Suojausvyöhykkeeseen konsepti käyttämä verkko arkkitehtien yhtä soveltaa tässä tapauksessa.
Suojausvyöhykkeeseen on yksinkertaisesti kokoelma järjestelmiä, jotka jakavat saman suhteellisen riskitason. Esimerkiksi Web-ja SMTP-palvelimet ovat yleensä kaikki sijaitsevat DMZ, koska he kaikki jakavat samat riskit suoran hyökkäyksen. Sen sisäosa verkon työasemat sijoitetaan yleensä eri suojausvyöhykkeellä kuin palvelimet. Tämä johtuu palvelimet juurikaan ole pääsyä Internetiin, kun työpöydät ovat yleensä saa kommunikoida suoraan. Tämä asettaa työasemat suurempi riski hyökkäyksen kuin palvelimiin.
Voimme soveltaa tätä samaa logiikkaa kun ne panevat täytäntöön virtualisointiin. DMZ-palvelin ja sisäinen palvelin pitäisi olla vieraita sama kone (sekä suorittimen ja levyn array). Tämä voisi mahdollistaa hyökkääjän luoda vaihtoehtoista reittiä meidän verkkoon. Sen sijaan, läpi minkä tahansa palomuurin, NIDS, nippien yms. laitteet on otettu käyttöön on johto, hyökkääjä voi päästä sisäiset resurssit kautta virtualisointiohjelmistoa. Onko se helppo hyökkäys? Ei siitä, mitä olemme toistaiseksi nähneet. Toiminnallinen urotyö on löydetty kuitenkin, joten miksi ottaa turhia riskejä, jos emme tarvitse.
Muuten, nämä samat suojausvyöhykkeeseen sääntöjä olisi sovellettava oman virtuaalisen verkon vaihteen. Esimerkiksi se on huono idea käyttää samaa fyysistä kytkin VLAN DMZ ja sisäisen verkon. Olen nähnyt pari asiakkaat saavat poikki niin.
Mikä tekee Virtualisointi turvallisempi
Onneksi suojauksen näkökulmasta, virtualisointi ei ole lainkaan huono uutinen. Itse asiassa on olemassa joitakin hyvin viileä turvallisuuskäytäntöjä voit soveltaa virtuaalikoneille että et yksinkertaisesti voi tehdä ilman sitä. Tämä oli yksi syistä, aloimme käyttää virtualisointi sisällä Honeynet jo vuonna 2000.
Yksi suurimmista turvallisuuskysymyksistä me kohtaamme tänään ytimen tasolla rootkit . Mikä tekee tästä kannasta haittaohjelmien niin salakavalasti se käytännössä muuttuu käyttöjärjestelmä tulee haittaohjelmia. Tämä tekee havaitsemisen erittäin vaikeaksi, koska kaikki turvatarkastukset on läpäistävä ytimen. Jos varsinainen ydin on vaarassa, emme voi luottaa ytimen tarkka ilmoitus suojaustietoja. Me loppuun asti ottaa sammutuksen järjestelmään, asentaa asema on tunnetusti puhdas käyttöjärjestelmä, ja suorittaa myös rikostutkintaa tarkastuksia sieltä. Oh kurssin ongelmana kanssa, tämä prosessi on, että se ei mittakaavassa hyvin. Jos meillä on kymmeniä tai satoja palvelimia, ei yksinkertaisesti ole tarpeeksi aikaa päivä tarkastaa ne kaikki oikein.
Kuten aiemmin mainittiin, VMware sallii nyt kolmansien osapuolien pääsy hypervisor API kautta VMSafe. Tämä mahdollistaa pääsyn etuoikeutettu tilatietoa, kuten muistin ja verkkoliikenteen, kunkin vieras käyttöjärjestelmät. Kytkemällä tulee hypervisor, joitakin erittäin hienoja suojaustoimintoja tullut mahdolliseksi.
Esimerkiksi sanotaan virtuaalikoneessa hyökkää ytimen tasolla rootkit. By analysoimalla guest muistia, rootkit voi voida havaita alkaen ulkopuolelta of virtuaalisen käyttöjärjestelmän-järjestelmän. Kun suoritetaan tarkastus kautta hypervisor, on paljon pienempi mahdollisuus, että rootkit voi varkain toiminnastaan ja jäädä havaitsematta. Kuten aiemmin mainittiin, ei ole olemassa verrattavissa mahdollisuutta mm muiden kuin-virtualisoidun järjestelmän.
API pistoke luo myös uusia mahdollisuuksia käsitellä salattua liikennettä. Kun päittäin salausta käytetään (kuten VPN), verkkotoimialojen tarkastukset sovellustasolla helposti ohitetaan. Ainoa todellinen vaihtoehto oli käyttää agentti ohjelmisto päätepiste, joten turvallisuus voitaisiin aloittaa ennen kuin salauksen purkaminen. Tietenkin ongelma on, että jos aine on hyökätty, kaikki vedot ovat pois päältä. Jälleen kytkemällä tulee hypervisor olemme paremmassa asemassa turvallisemmin valvoa näitä tietoja.
Olemme juuri aloittamassa nähdä uusia tuotteita, jotka hyödyntävät VMSafe API pistoke . Koska kaikki tuotteet ovat suhteellisen uusia, ei ole vielä päästy, miten tehokkaita ne voivat olla. Tuotteet ajaa gambit korvaamasta isäntä palomuuri ja IDS suojaus täyteen käytäntöjen noudattamista. On mielenkiintoista nähdä, miten tämä tuote markkinarako ravistaa pois ensi vuoden aikana.
Yhteenveto
Eli kuten mainitsin alussa tätä viestiä, virtualisointi on kyky tehdä ympäristölle joko enemmän tai vähemmän turvallinen, riippuen siitä, miten käyttää sitä. Jos vain aletaan näyttää kaiken yksi laatikko, olet todennäköisesti menossa poikki. Jos laajentaa parhaita käytäntöjä, joita on kehitetty vuosien varrella virtualisoinnin maailmaan sekä hyödyntää joitakin uusia turvatekijöitä, jotka julkaistaan, voit itse luoda parempi yleinen turvallisuus ryhtiä.
