Autorem odborného článku k hlavnímu tématu je Tomáš Přibil, externí redaktor.

Ve virtualizovaném prostředí je bezpečnost tak stejná – a tak odlišná. Jejím základem je schopnost prosazovat bezpečnostní politiky, které jsou již v organizaci zavedené, také ve virtuálním prostředí.

Spravovat a ovládat

Zní to poměrně jednoduše, ale realita je trochu jiná. Virtualizované prostředí má svá specifika: v zásadě jde o rozsáhlé provozní výhody, ale tyto právě z bezpečnostního hlediska představují zásadní komplikace.

Pokud ale v prosazování bezpečnostní politiky ve virtualizovaném prostředí neuspějeme, vznikají závažné bezpečnostní mezery. A to by nám v konečném důsledku mohlo nepříjemně vymstít.

Především je nezbytné ve virtuálním prostředí nezbytné implementovat nástroje pro monitoring a konfiguraci. Pokud je nemáte (podmínkou je přitom schopnost operovat právě ve virtuálním prostředí), nepřecházejte na virtualizaci. Toto není rada paranoidního bezpečnostního specialisty, toto vám dnes řekne každý, kdo kolem virtualizace a jejích bezpečnostních otázek jen trochu prošel. Bez schopnosti spravovat a ovládat virtuální prostředí se jen dostanete do potíží – i kdyby neměly charakter cílených útoků, ale byly ryze provozního rázu.

Je pravdou, že třeba „vyčištění“ od viru je ve virtuálním světě jednodušší. Stačí prostě vypnout a zapnout virtuální stroj (máte-li jistotu, že image je čistý). Mnohem větší problém ale představuje nalezení odpovědi na otázku: Jak zjistit, že k útoku došlo? Bez monitorovacích nástrojů jen těžko.

Krok za krokem

Máme-li být konkrétní, zaměřte se postupně na pět následujících oblastí. První krok by se dal nazvat opevněním platformy. Jde o to správně nakonfigurovat virtualizační platformu. A to jak hypervizor, tak administrativní úroveň. Stejně tak je zapotřebí věnovat pozornost bezpečnému nastavení systému: např. eliminaci nežádoucích komponent nebo pravidelnému záplatování. Nesmíme zkrátka zapomínat, že virtualizace přináší nové výzvy v oblasti řízení reálného i virtualizovaného prostředí.

Aby se virtualizované prostředí nestalo naší noční můrou, je zapotřebí rozšířit dnešní systém řízení změn a konfigurací i do virtualizovaného prostředí: často s pomocí nových nástrojů. Speciální pozornost je přitom třeba věnovat změnám, které vyplývají z rychlého rozvoje virtualizace, její mobility a skutečnost, že off-line systémy přecházejí do on-line prostředí. A také skutečnosti, aby řízení aktualizací pokrývalo i virtualizační software.

Špatné nastavení virtuálních serverů a síťových práv může ve virtuálním prostředí způsobit nemalé komplikace: správci by si toho měli být vědomi a mít odpovídající znalosti. Pečlivé oddělení služeb a řízení práv je nesmírně důležitým úkolem pro snížení rizik plynoucích z neoprávněného přístupu.

Nasaďte virtuální přepínače a virtuální firewally do jednotlivých segmentů virtuální sítě. Ujistěte se, že stroje pracující s chráněnými daty jsou izolované a nasaďte virtuální systémy IDS/IPS. Je zapotřebí prostředí vhodně rozdělit na samostatné segmenty, a ty následně řešit samostatně. Zkrátka: věnujte odpovídající pozornost síťové bezpečnosti.

A nakonec: vyhodnocujte logy. I v reálném světě se nebezpečně často setkáváme s tím, že se pouze loguje – ale už se tyto výstupy nezpracovávají nebo nekorelují. Ve virtualizovaném prostředí jsou logy a jejich vyhodnocování ještě důležitější otázkou. Umožňují nám totiž
získat jasný obrázek o zranitelnostech a rizicích, kterým jsme vystaveni. Automatické nástroje a vyhodnocovací systémy jsou přitom k dispozici, nejde tedy o nemožný úkol.

Několik typických chyb

Na závěr bychom chtěli upozornit na několik otázek, na které se v případě zajišťování bezpečnosti virtualizace často zapomíná. Jak ale praxe ukazuje, není to šťastné řešení.

Na prvním místě je nezahrnutí bezpečnosti do TCO (Total Cost Ownership). Virtualizace je vnímána jako technologie šetřící finanční prostředky, a tak často (záměrně i neúmyslně) bývají prvotní odhady nákladů podhodnocené. A právě na bezpečnosti se často šetří. S tím, že jde o nezbytnost, na kterou se zdroje beztak najdou později. Jenomže to přináší několik problémů. Třeba s pokřivenými finančními výkazy a následnou sníženou důvěryhodností celého ICT. Nebo s tím, že později implementovaná bezpečnost už nebývá nedílnou součástí řešení, ale jakousi nadstavbou.

Ostatně, toto je další častá chyba. A to nepracovat s bezpečností už od počátku. Peníze sice uvolněné jsou, ale bezpečnost přece počká, až to bude hotové. Bezpečnost pak stojí jaksi mimo jádro systému, se kterým není úzce provázaná. Nehledě na to, že se při provozu dříve či později objeví skutečnosti, které povedou k implementaci dalších bezpečnostních prvků. Tak proč bezpečnost oslabovat už od počátku?

Nepodceňujte aktualizace a záplaty, a to včetně hypervizoru. Sice jde o těžce napadnutelné rozhraní, ale nemožné to není. Na to navazuje rada: chraňte si hypervizor jako oko v hlavě, protože kdo ho ovládá, ovládá vše.

Stejně tak věnujte pozornost ochraně jednotlivých image – před externími či interními útočníky. Dnes je možné na jeden USB flash disk, paměťovou kartu či třeba iPod vtěsnat několik image. A stejně tak je rychlý a jednoduchý jejich přenos po internetu. A má-li útočník image k dispozici, může si je znovu a znovu přetáčet od začátku: dokud neprolomí ochranu.