Главные ошибки в области виртуальной безопасности

Все больше предприятий развертывают у себя виртуализированную инфраструктуру, некоторые строят частные и гибридные облака. Какие наиболее грубые ошибки при этом совершаются, к каким последствиям они могут привести и как их избежать?

Самая большая ошибка заключается в том, что о безопасности очень часто просто забывают — вспоминают, когда уже все выстроено и кто-то из специалистов ИБ вдруг начинает указывать на недостатки, считает Евгений Дружинин, ведущий эксперт по информационной безопасности компании «Крок».

Как следствие, ИБ-специалисты не вовлекаются в проект по виртуализации или миграции в облако уже в самом его начале, отмечает Юрий Сергеев, руководитель группы проектирования центра информационной безопасности компании «Инфосистемы Джет». Последствия в этом случае зависят от масштабов созданной инфраструктуры и используемых в ней технологий.

Еще одна грубая, по мнению Дружинина, ошибка связана с тем, что к вопросам информационной безопасности относятся формально: «Некоторые системы устанавливаются ради того, чтобы соответствовать нормативным требованиям, но о том, как это будет работать и что конкретно защищать, часто не думают».

«Основная ошибка — это неспособность обеспечить оптимальный уровень безопасности, — указывает Павел Эйгес, региональный директор Intel Security в России и СНГ. — То, что внешний или внутренний оператор облачного сервиса работает в соответствии со стандартами и имеет сертификаты такого соответствия, зачастую лишь позволяет ему поддерживать минимально необходимый уровень защиты. Однако многие считают, что такого уровня им вполне хватит, — в этом и есть их основная ошибка, ведь угрозы совершенствуются каждый день и стандарты регуляторов просто не могут поспевать за ними».

Частые ошибки

Впрочем, те, кто заботятся об информационной безопасности своих виртуализованных и облачных сред, делают и немало других грубых ошибок. В частности, отмечает Алексей Грачев, руководитель направления консалтинга компании ЕМС в России и СНГ, как правило, не приводят к успеху попытки самостоятельно создать надежную и защищенную платформу из подручных средств, к тому же это влечет за собой значительные риски. Еще одна группа серьезных рисков, обусловленных человеческим фактором, связана с тем, что администратор виртуальной инфраструктуры получает очень широкие полномочия. Известны случаи, когда месть уволенного администратора приводила к краху платформы и потере данных.

«По нашим наблюдениям, многие проблемы являлись следствием неоправданной экономии на элементах ИТ-инфраструктуры или операционных расходах, включая привлечение компетентных специалистов, их мотивацию и зарплату, — добавляет Грачев. — Экономить можно, только очень хорошо ориентируясь в предмете, понимая возможные последствия и ответственно принимая риски».

Сергеев также отмечает ситуации, когда при достаточной плотности размещения виртуальных машин не используются функции безопасности, предоставляемые платформой виртуализации, которая обычно позволяет применять механизмы защиты оптимальным способом на уровне гипервизора. Еще одна ошибка в том, что под защитой частного облака в некоторых случаях специалисты подразумевают лишь защиту слоя виртуализации, при этом совсем не рассматриваются вопросы безопасности уровней оркестрации, портала доступа конечных пользователей услуги и администраторов.

Алексей Сабанов, заместитель генерального директора компании «Аладдин Р.Д.», выделяет еще несколько часто встречающихся серьезных ошибок. Так, известные и хорошо исследованные уязвимости позволяют злоумышленникам проникнуть к информационным ресурсам посредством удаленного доступа по паролям. Исправить ситуацию можно, обеспечив переход на доменную структуру и управление доступом (в том числе удаленным) только с применением цифровых сертификатов доступа. Другая ошибка — размещение баз данных (в том числе персональных данных) на виртуальных серверах в незащищенном виде. Уменьшить на порядок возникающие в этом случае риски можно путем шифрования критически важных колонок баз данных и предоставления доступа к этим данным только по сертификатам с управлением криптоключами внутри защищенного периметра. Наконец, нередки проблемы совместимости используемых средств защиты с системным и прикладным программным обеспечением.

По наблюдениям Сабанова, если в организации налажен процесс управления рисками, то ошибки выявляются на ранних стадиях и фатальных последствий удается избежать: «Проблема в том, что для некоторых процессов менеджмент рисков пока не развит. Например, мало кто умеет оценивать риски идентификации и аутентификации».

Итак, виртуальную и облачную инфраструктуру можно сделать гораздо более безопасными, если практически одновременно с началом проектирования этой инфраструктуры начать управление рисками, которые появятся. В противном случае ее безопасность получится неорганичной и ненадежной — рассчитывать на эффективную защиту данных и приложений в виртуальной среде будет сложно.

Внедряя компенсационные меры по противодействию рискам ИБ, необходимо учитывать результаты оценки рисков ИБ для компании. Если такая оценка не проводилась, то разумно сначала сосредоточиться на наименее трудоемких мерах. Используя профессиональный подход к внедрению компенсационных мер, можно достичь более высокого уровня конфиденциальности, целостности и доступности информационных систем, чем применяя классический подход при использовании раздельных аппаратных сред.