Причины недопонимания новых угроз

Под корпоративную ИТ-инфраструктуру, похоже, закладывается мина замедленного действия: специалистов по информационной безопасности по-прежнему крайне редко привлекают к проектам по виртуализации, следовательно, виртуализированные среды остаются слабозащищенными несмотря на то, что решения от ведущих производителей демонстрируют высокий, как они заявляют, уровень защиты, а специалисты вроде бы накопили опыт виртуализации. Как в этих условиях минимизировать риски информационной безопасности? Ответы на этот вопрос постарались найти участники круглого стола «Борьба с уязвимостями виртуализированных сред», организованного редакцией журнала «Директор информационной службы» при поддержке компании «МакАфи Рус».

И аналитики, и заказчики проектов виртуализации сходятся во мнении, что эти проекты позволяют заметно повысить эффективность использования имеющегося ИТ-оборудования и отсрочить приобретение новых дорогостоящих узлов ИТ-инфраструктуры. Плохо то, что, как отмечает Денис Шилкин, заместитель руководителя отдела безопасности ИТ-инфраструктуры международной финансовой компании GTS (Global Technical Solutions — внутреннее подразделение Societe Generale), зачастую специалисты по ИБ приходят на проект в тот момент, когда в целом архитектура уже выстроена: «Нужно понимать, что без изначального учета требований безопасности виртуализация не даст тех преимуществ, на которые рассчитывает бизнес».

Эту точку зрения разделяет Сергей Воронецкий, руководитель отдела информационной безопасности Hosting Community Group: «В порядке вещей, когда стратегические цели формулируют топ-менеджеры. Затем уже на среднем уровне выбирается решение (например, для виртуализации), и вот тогда к делу должны подключаться специалисты по ИБ». Если бизнес изначально не получит правильных цифр, в том числе по затратам на ИБ, то дополнительные издержки на построение системы ИБ, по всей вероятности, станут неприятным сюрпризом.

По наблюдениям Артема Кроликова, начальника отдела ИБ компании «Альфа Страхование», как правило, виртуальная среда поначалу развертывается службами ИТ как тестовая. В этот период служба ИТ начинает накапливать компетенцию по ее использованию, а служба ИБ интереса к ней не проявляет. Спустя некоторое время в виртуальную среду переносятся некритичные ИТ-сервисы, компетенция ИТ-специалистов продолжает расти, интерес службы ИБ к виртуальным средам повышается, но из-за недостатка компетенции она не может четко определить проблемы, риски, продемонстрировать реализацию уязвимостей, предложить эффективные меры. На следующем этапе в виртуальную среду начинают перемещаться основные системы, виртуальная среда к этому моменту имеет высокий уровень развития, да и уровень сложности. Служба ИБ проявляет серьезную озабоченность проблемами безопасности в виртуальной среде, уровень ее компетенции повышается, но он все еще недостаточно высокий. В этот период служба ИБ вынуждена апеллировать к документам общего уровня, таким как различные руководства консультантов и аналитиков, рекомендации вендоров и пр., но продемонстрировать реальную опасность уязвимостей она не может. И вот, наконец, когда в виртуальной среде работают основные системы, ИТ-службы сопротивляются внедрению мер ИБ, так как это повышает вероятность разного рода сбоя в системах, снижает производительность. Поскольку специалисты службы ИБ не могут убедить руководство компании в наличии реальных проблем в виртуальной среде, их мнение рассматривается как несущественное. Чтобы этого избежать, служба ИБ должна быть вовлечена в принятие решений, касающихся минимизации рисков, участвовать в анализе затрат на поддержание ИБ, организацию соответствующих мероприятий и закупку технологий еще на стадии обоснования этих расходов.

«Без изначального учета требований безопасности виртуализация не даст тех преимуществ, на которые рассчитывает бизнес», Денис Шилкин, заместитель руководителя отдела безопасности ИТ-инфраструктуры компании GTS

 

Опасна ли виртуальная безопасность?

Участникам проектов виртуализации уже на стадии проектирования пришлось столкнуться с острыми вопросами, мешавшими движению вперед. В частности, возникало немало споров о том, в чьей зоне ответственности должен находиться гипервизор — его невозможно отнести ни к аппаратной части, ни к уровню прикладного ПО. Если он работает не так, как ожидалось, то с кого за это спрашивать?

Другой острый вопрос — устаревшие политики ИБ. Согласно документации и регламентам, доставшимся в наследство от традиционных сред, серверы, находящиеся в разных зонах информационной бе­зопасности, должны быть физически разделены. «Как только начинают задействовать продвинутые свойства виртуальной архитектуры (например, динамическое распределение, массовые миграции серверов и пр.), возникает вопрос: как организовать такое количество серверов под все зоны безопасности? — отмечает Всеволод Шабад, генеральный директор компании «СетьПроект».

В среде ИТ-специалистов широко распространено заблуждение, что виртуальная среда абсолютно безопасна. По мнению Воронецкого, виртуальная среда в этом плане — палка о двух концах: «С одной стороны, можно элегантно, дешево и быстро решить какую-то бизнес-задачу, а с другой — среда позволяет злонамеренному сотруднику или хакеру достаточно легко осуществлять свои намерения».

Такой же точки зрения придерживается и Михаил Чернышев, инженер по поддержке продаж компании McAfee: «Чтобы произвести с гипервизором какое-то действие (например, установить новый код), требуется согласование с ИТ-службой, а она считает, что виртуализация — это безопасно, тем более что всегда есть возможность откатиться к предыдущей версии, поэтому ИТ-департамент сопротивляется участию специалистов по ИБ в проектах виртуализации, а между тем проблемы и угрозы остаются». В частности, антивирусная защита в виртуальных средах — это, с одной стороны, польза, с другой — зло: определяемое по расписанию одновременное сканирование виртуальных машин может привести к тому, что каким бы мощным ни был гипервизор, он теряет свою производительность, а в иных случаях приводит к отказу в обслуживании. Задача оптимизации антивирусной защиты должна решаться совместно службами ИТ и ИБ.

 

«Именно при решении вопросов в отношении виртуальных сред пересекается множество различных интересов бизнеса, ИТ и ИБ», Сергей Воронецкий, руководитель отдела информационной безопасности Hosting Community Group

 

Помимо технических аспектов проявляются и организационные. Дело в том, что в моделях угроз мало перечислять только технические аспекты и связанные с ними уязвимости. Важен мониторинг событий и их классификация (какие из них желаемые, а какие непредвиденные). Также необходима разработка сценариев развития событий применительно к моделям угроз виртуализированных сред. В частности, если в традиционных архитектурах необходимость в четком документировании бизнес-процессов возникает не всегда, то в виртуальных средах им лучше не пренебрегать.

По мнению Воронецкого, именно при решении вопросов, касающихся виртуальных сред, пересекается множество различных интересов бизнеса, ИТ и ИБ. Разные структурные подразделения мыслят по-разному, оперируя разными понятиями, и, следовательно, цели, которые ставят перед собой их специалисты, часто оказываются совершенно разными. Поскольку в виртуальных средах появляются дополнительные звенья, которых не было в средах традиционных архитектур, возникают и дополнительные уязвимости, а значит, возрастают требования к контролю за действиями как сотрудников, так и внешних нарушителей.

Кроликов уверен, что руководству компаний необходимо отслеживать индикаторы, свидетельствующие о наличии проблем в виртуальной среде: «Это даст мощный импульс к обеспечению безопасности виртуальных сред». Другим положительным фактором может стать переход в службу ИБ ряда системных администраторов ИТ-службы, обладающих компетенцией в области виртуальных сред. В результате после накопления некоторой критической массы компетенция службы ИБ достигнет уровня, достаточного, чтобы убедить руководство в необходимости реализации мер безопасности.