© 2010 IBM Corporation Комплексное обеспечение безопасности в виртуальной среде Олег Летаев, специалист по решениям IBM Security Solutions

© 2010 IBM Corporation IBM Security Solutions 2 План Виртуализация новые технические риски Виртуализация новые организационные риски Защита виртуальной инфраструктуры IBM Security Virtual Server Protection

© 2010 IBM Corporation IBM Security Solutions 3 Архитектура виртуализации До виртуализации После виртуализации VMM или Гипервизор Операционная система Аппаратная платформа Операционная система Приложения

© 2010 IBM Corporation IBM Security Solutions 4 Больше компонент = больше рисков Изменение квот ресурсов Единая точка отказа Традиционные угрозы Появление чужих ВМ Динамическое перемещение Кража ВМ Руткиты в hardware Виртуальные NICs & виртуальное hardware – цели Компрометация уровня управления Хранение ВМ и данных управления Требуются новые навыки Новые угрозы виртуальных сред ОС и приложения можно атаковать, как и раньше

© 2010 IBM Corporation IBM Security Solutions 5 Операционные системы и приложения Традиционные угрозы сохраняются ̶ Вредоносное ПО: вирусы, черви, трояны, руткиты ̶ DoS и DDoS-атаки ̶ Переполнения буфера, инъекции SQL, XSS ̶ Утечки конфиденциальных данных Отказо- и катастрофоустойчивость, которую обеспечивает виртуализация, не повышает врожденную сопротивляемость ОС и приложений к атакам VMM or Hypervisor Hardware Virtual Machine OS App Mgmt

© 2010 IBM Corporation IBM Security Solutions 6 Виртуальные машины Установка патчей Возможность останавливать/восстанавливать ВМ мешает установке патчей Неконтролируемое появление ВМ Нелегко отслеживать, появление неуправляемых ВМ, чужих ВМ Динамическое перемещение (Live Migration, VMotion) А если ВМ перемещается на менее защищенный физический центр, сеть, ЦОД? VMM or Hypervisor Hardware Virtual Machine OS App Mgmt

© 2010 IBM Corporation IBM Security Solutions 7 Атака на Live Migration: Xensploit 7 VMM ВМ A ВМ B Hardware VMM ВМ C Guest B Hardware Найти код sshd. Изменить код аутентификации. Разрешить себе доступ! SSH LOGIN ДОСТУПЕН! Атака «человек посредине» может использоваться для захвата управления ВМ. По умолчанию, трафик live migration пересылается по сети в открытом виде. ВМ B

© 2010 IBM Corporation IBM Security Solutions 8 VMM или гипервизор Новые уязвимости – новые вектора атак Единая точка отказа Неавторизованное изменение квот ресурсов Анализ трафика между ВМ - «мертвая зона» VMM or Hypervisor Hardware Virtual Machine OS App Mgmt

© 2010 IBM Corporation IBM Security Solutions 9 Конвергенция сервера и сети

© 2010 IBM Corporation IBM Security Solutions 10 Виртуализированная аппаратная часть Встроенная поддержка виртуализации (Intel-VT, AMD-V) Стелс-технологии – руткиты в виртуализированном hardware Низкоуровневый код – сложнее обнаружить Blue Pill – руткит, вредоносный гипервизор для AMD-V Vitriol – то же для Intel-VT VMM or Hypervisor Hardware Virtual Machine OS App Mgmt

© 2010 IBM Corporation IBM Security Solutions 11 План Виртуализация новые технические риски Виртуализация новые организационные риски Защита виртуальной инфраструктуры IBM Security Virtual Server Protection

© 2010 IBM Corporation IBM Security Solutions 12 Кто владелец? Сетевой администратор? Администратор сервера? Какого? Администратор СУБД? Владелец/администратор приложения?

© 2010 IBM Corporation IBM Security Solutions 13 Кто владелец? Захват земли Горячая картошка Это он виноват!

© 2010 IBM Corporation IBM Security Solutions 14 Операционные трудности Live Migration – необходимо отслеживать местонахождение ВМ Управление патчами/конфигурацией Pause/Offline/Suspend/Activate влияют на: Сканирование уязвимостей Установку патчей Управление образами ВМ Защищенное хранение Управление версиями

© 2010 IBM Corporation IBM Security Solutions 15 Определите политики и регламенты Пока это все не вышло из-под контроля: Роли и зоны ответственности администраторов Политику выделения ресурсов Управление образами ВМ Требования безопасности

© 2010 IBM Corporation IBM Security Solutions 16 План Виртуализация новые технические риски Виртуализация новые организационные риски Защита виртуальной инфраструктуры IBM Security Virtual Server Protection

© 2010 IBM Corporation IBM Security Solutions 17 Агент безопасности в каждой ВМ Дополнительные уровни защиты Сегментирование сети на VLANы Виртуальные устройства защиты Потенциальные сложности и ограничения: В новые ВМ надо ставить агента Гетерогенная среда – разные агенты Избыток безопасности = затраты ресурсов Кошмар управления Доверие VMM Защита виртуализации традиционными средствами Mgmt. VM Mgmt. VM App OS Guest VM Guest VM Guest VM Guest VM Physical Resources MEMORY: ~128M CPU: 5-25% Physical Resources MEMORY: ~128M CPU: 5-25% Physical Resources MEMORY: ~128M CPU: 5-25% Stand-alone Security Appliance Stand-alone Security Appliance Нужно интегрировать безопасность прямо в виртуальную инфраструктуру! CPU Memory VMM or Hypervisor 17 Physical Resources MEMORY: ~512M CPU: 25-30% Hardware

© 2010 IBM Corporation IBM Security Solutions 18 IBM Security Virtual Server Protection Межсетевой экран Интеграция с VMsafe Обнаружение руткитов Обнаружение и предотвращение вторжений Анализ трафика между ВМ Управление разрастанием ВМ Принудительные политики использования сети Автоматическая защита для VMotion Автоматическое обнаружение новых ВМ Аудит виртуальной инфраструктуры (Доступ привилегированных пользователей) Защита виртуальных сегментов сети Virtual Network Access Control Централизованное управление Защита Web-приложений Виртуальный патч Предоставляет всеобъемлющую, интегрированную защиту виртуальной инфраструктуры в одном продукте

© 2010 IBM Corporation IBM Security Solutions 19 IBM Security VSP интегрированные преимущества Прозрачность – Без реконфигурации виртуальной сети – Без изменений гостевых ОС Консолидация безопасности – Одна Security Virtual Machine (SVM) на физический сервер – Отношение защита:ВМ 1:много Автоматизация – Обнаружение новых ВМ – Применение к ним политик безопасности Эффективность – Исключение повторяющихся задач – Распределение нагрузки на уровне сети Защита любой гостевой ОС

© 2010 IBM Corporation IBM Security Solutions 20 IBM Security VSP интегрированные преимущества Динамическая безопасность где бы ни находилась ВМ Протоколо-независимый анализ и защита, основанная на уязвимостях Виртуальный Патч защита независимо от стратегии установки патчей на ВМ Контроль доступа к виртуальной сети, ограничение доступа до применения политик безопасности Аудит привилегированного доступа к виртуальной инфраструктуре Защита ядра гостевых ОС, обнаружение руткитов IBM представил первую коммерческую реализацию обнаружения/предотвращения руткитов, работающую вне среды защищаемых виртуальных машин... -Нил Макдональд, Gartner

© 2010 IBM Corporation IBM Security Solutions 21 Спасибо! Для дополнительной информации: ibm.com/security или: