Функционирование информационных систем в виртуализованных и облачных средах подобно жизни Нео — героя легендарного фильма братьев Вачовски — до того дня, как он узнал о «матрице»: все его восприятие окружающей действительности было ограничено тем, что позволяла ему видеть и ощущать вездесущая ИТ-среда, изолировавшая его от всего остального мира. Она обеспечивала безопасность Нео ровно до того момента, пока в его жизнь не вмешались внешние силы, враждебно настроенные в отношении «матрицы» и убедившие его восстать против иллюзорной реальности. Аналогичным образом виртуализованные и облачные среды должны обеспечить безопасность информационных систем, которые в них размещены.
По мнению Константина Коротнева, CISO компании «Эльдорадо», основными угрозами при использовании облачных и виртуализованных сред являются действия внешних злоумышленников, а также действия персонала, обслуживающего эти среды. «Расположение облачных сервисов вне контролируемой зоны делает периметр безопасности размытым. Многие функции его защиты передаются в ведение облачных провайдеров, поэтому необходима более жесткая формализация внешнего взаимодействия информационных систем и требований к архитектуре приложений», — считает Коротнев. Тем, кто решился воспользоваться облачными услугами, он рекомендует сместить фокус в области ИБ с внедрения организационных и технических мер защиты информации к формированию требований и более тщательной проработке SLA в части ИБ и обеспечения непрерывности ИТ-сервисов.
Олег Шабуров, руководитель группы ИБ российского представительства Symantec, оценивая новые угрозы виртуальных и облачных сред по сравнению с традиционными, отмечает появление спектра угроз, связанных с платформами, на которых строятся эти среды, с обслуживающим их персоналом и с процессами по их ИТ-поддержке.
«Угрозы в виртуализованных и облачных средах, так же как и методы защиты от этих угроз, определяются принципами работы таких сред, а также особенностями их инфраструктуры», — уверен Станислав Шевченко, технический директор компании SafenSoft. Особенно трудно обеспечить безопасность при использовании внешних облаков, поскольку здесь вступает в действие огромное множество новых факторов. «При всех своих плюсах использование облаков — это огромная черная дыра с точки зрения безопасности, поэтому критически важно убедиться в безопасности архитектуры сервиса, каналов передачи данных, в защите обработки данных от несанкционированных
действий. Следует предусмотреть многоуровневые защитные протоколы — сложные алгоритмы верификации, криптографические средства внутри облака, дополнительные аппаратные меры безопасности, защиту от инсайдерских действий со стороны сотрудников провайдера», — добавляет Шевченко.
Юрий Сергеев, системный архитектор центра информационной безопасности компании «Инфосистемы Джет», особо отмечает важность разделения полномочий и обеспечения подотчетности действий пользователей виртуальной и облачной среды. По его мнению, виртуальные и облачные среды ощутимо отстают от традиционных в уровне ИБ. «Кроме того, безусловно, существует угроза, связанная с недостаточностью обеспечения изоляции путем разграничения доступа к аппаратным ресурсам между несколькими окружениями пользователей (в частном случае — между виртуальными машинами), — считает Сергеев. — Многие также воспринимают как существенный риск при использовании облаков необходимость отчуждения и передачи информации в неконтролируемую внешнюю инфраструктуру».
Специфические угрозы, возникающие при развертывании виртуализованных сред, связаны с появлением гипервизора и средств управления. Соответственно, атака злоумышленников может быть направлена непосредственно на эти два компонента, предупреждает Александр Сухарев, менеджер по продукту компании «Код безопасности»:
«В случае компрометации гипервизора будут скомпрометированы все виртуальные машины в его рамках, а если скомпрометирована система управления, то будут скомпрометированы и все виртуальные машины в рамках инфраструктуры. Возможность балансировки нагрузки, миграция виртуальных машин и их хранилищ также становятся источниками угроз типа «человек посередине»».
Принципы защиты в «матрице»
Дмитрий Аксенов, руководитель группы защиты информации департамента по управлению рисками компании «Новый Импульс — 50», работающей на рынке ретейла под брендом «Утконос», рекомендует в качестве главного принципа ИБ в виртуализованных и облачных средах взять известную триаду: доступность, целостность, конфиденциальность. «Уровень безопасности, необходимый для реализации этих принципов, в каждой компании будет выбран свой, исходя из сочетания ее целей бизнеса и безопасности, а также из ее реальных потребностей», — добавляет Аксенов. В плане доступности системы и сети должны обеспечивать достаточный уровень предсказуемости в сочетании с приемлемым уровнем производительности и уметь восстанавливаться после сбоев быстро и безопасно. В плане целостности нужно гарантировать точность и надежность информации и предоставляющих ее информационных систем, предотвращая возможность несанкционированных изменений.
В плане конфиденциальности необходимо обеспечить требуемый уровень секретности в каждой точке хранения и обработки данных, предотвращая их несанкционированное раскрытие.
Самое главное при внедрении виртуализации и облаков — это привлекать на такие проекты специалистов службы ИБ, уверен Сухарев. Это позволит уже на ранней стадии обеспечить высокий уровень безопасности среды. Руководствоваться при этом следует ключевыми требованиями вендоров и регуляторов по ИБ, такими как VMware Security Hardening Guide, PCI DSS, ФЗ-152 и т. д.
«Во-первых, начните с процессов: регулируйте, кто и что может делать, — рекомендует Шабуров. — Все нехарактерные действия должны проверяться. Следует проводить двойной контроль особо критичных действий, таких как остановка и удаление виртуальных машин. Во-вторых, осуществляйте текущий мониторинг активностей в виртуальных средах. В-третьих, контролируйте защищенность гипервизоров и систем облачного провайдера. Нужно ясно понимать, что происходит с информацией: где она хранится, как используется и куда передается».
«Нужно иметь здоровый уровень паранойи — помнить, что информация в облаке уже не ваша. Первое: озаботьтесь дополнительной защитой документов, особенно конфиденциальных. Помните — много защиты не бывает. И второе: внимательно подходите к выбору ПО для работы и обеспечения безопасности в виртуализованных средах, — советует Шевченко. — Программные продукты должны поддерживать режимы работы в виртуальных средах без ограничения функционала». Шевченко не рекомендует использовать внутри виртуальных машин традиционные антивирусы, также и по причине их ресурсоемкости. Лучше использовать те средства защиты, которые не требовательны к ресурсам и производительно работают и в обычных, и в виртуализованных средах.
«Многие ИТ-службы уже давно работают по сервисному принципу. Но защита информации в компаниях до сих пор реализуется преимущественно не как услуга, а как вспомогательный элемент. В этом плане ИБ организационно значительно отстает от ИТ, — отмечает Сергеев. — Сократить этот разрыв можно в виртуальных и облачных средах, предоставляющих возможности для совмещения соответствующих технических и организационных мер при реализации ИБ как услуги. Это позволит интегрировать ИБ в бизнес в качестве полноправного участника, повышающего его эффективность, каким во многих крупных компаниях уже стала ИТ-служба».
Эффективная виртуализованная защита
Облачные технологии несут огромное количество рисков, но при корректном применении преимущества доминируют над рисками, уверен Коротнев. В частности, динамическая сущность виртуализованных и облачных сред существенно затрудняет использование средств безопасности, обеспечивающих именно защиту периметра, вместе с тем она дает возможность более широко и эффективно использовать именно облачные сервисы ИБ.
По мнению Шевченко, чтобы система ИБ виртуализованных или облачных сред была эффективной, ее архитектура должна быть адаптирована специально для работы в них. В целом, считает он, компаниям следует концентрироваться на защите серверов — своих или облачных, поскольку конечные точки корпоративной сети защищены априори ввиду самого наличия удаленных сервисов.
Как рассказывает Коротнев, в «Эльдорадо» построение системы ИБ в части облаков и виртуализации началось с формирования требований ИБ на этапе создания архитектуры будущей системы, организации процессов ИБ у провайдера услуг в соответствии с принятой в компании политикой ИБ и рекомендациями стандарта ISO 27001 (поскольку функционирующая в компании система управления ИБ сертифицирована на соответствие этому стандарту). Особое внимание при этом уделялось разграничению доступа к принадлежащим «Эльдорадо» ИТ-активам и контролю доступа к ним с помощью специализированных средств.
При выстраивании архитектуры ИБ виртуализованных и облачных сред Сергеев рекомендует учитывать возможности атакующих по получению доступа к компонентам, которые отвечают за управляющие воздействия на инфраструктуру: к интерфейсам управления гипервизорами и облаком, а также к системе аутентификации, с которой интегрированы все эти компоненты. Затем, базируясь на сервисном подходе к защите, нужно попытаться найти возможности для оптимизации производительности базовых средств защиты с использованием безагентских или других технологий, позволяющих перенести нагрузку на отдельные специализированные серверы.
«В случае виртуализации стоит особенно тщательно подойти к защите гипервизора, выстраивая ее на всех уровнях: инфраструктура, персонал, процессы, — отмечает Шабуров. — Используя недостатки дополнительного структурного слоя, злоумышленник может почувствовать себя действительно всемогущим».
Впрочем, и динамичность, по словам Шабурова, порой приводит к нежелательным последствиям. Например, забыть о созданной для проведения тестирования виртуальной машине значительно проще, нежели о физическом сервере, поэтому нередки заражения именно забытых виртуальных машин. Злоумышленникам бывает совсем не сложно проникнуть на машины со множеством уязвимостей и затем атаковать более защищенные объекты из доверенной инфраструктуры.
Обеспечить ИБ в виртуализованных и облачных средах непросто, но можно. Главное — позаботиться о ней заранее, а не после того, как виртуализация и облака выстроены. Очень важно, чтобы об этом помнили и руководители служб ИТ, и топ-менеджеры, выделяющие деньги на такого рода проекты.