Виртуализация платформ (программная виртуализация)

       Дочерние  разделы не имеют непосредственого доступа к аппаратным ресурсам, но зато получают виртуальное представление  ресурсов, называемое виртуальными устройствами. Любая попытка обращения к  виртуальным устройствам перенаправляется через VMBus к устройствам родительского  раздела, которые и обработают данный запрос. VMBus — это логический канал, осуществляющий взаимодействие между  разделами. Ответ возвращается также  через VMBus. Если устройства родительского  раздела также являются виртуальными устройствами, то запрос будет передаваться дальше пока не достигнет такого родительского раздела, где он получит доступ к физическим устройствам. Родительские разделы запускают провайдер сервиса виртуализации (Virtualization Service Provider или сокр. VSP), который соединяется с VMBus и обрабатывает запросы доступа к устройствам от дочерних разделов. Виртуальные устройства дочернего раздела работают с клиентом сервиса виртуализации (Virtualization Service Client или сокр. VSC), который перенаправляет запрос через VMBus к VSP родительского раздела. Этот процесс прозрачен для гостевой ОС.

       Виртуальные устройства также поддерживают технологию Windows Server Virtualization, называемую прогрессивный  ввод/вывод (англ. Enlightened I/O), для накопителей, сетевых и графических подсистем  в том числе. Enlightened I/O — специализированая  виртуализационая реализация высокоуровневых  протоколов как, например, SCSI, для возможности  работать с VMBus напрямую, что позволяет  параллельно обрабатывать любые  уровни эмуляции устройства. Это делает взаимодействие более эффективным, но взамен требует от гостевой ОС поддержки Enlightened I/O. Только Windows Server 2008, Windows Vista, Red Hat Enterprise Linux и SUSE Linux сейчас обладают поддержкой Enlightened I/O, позволяющей им работать быстрее  в качестве гостевых ОС под Hyper-V по сравнению  с прочими операционными системами, которым требуется более медленная  эмуляция устройств.

       В качестве поддерживаемых процессоров  хостовой ОС применяются:

• Intel x86-64 (обязательно Intel VT-x и VT-d);
• AMD64 (обязательно AMD Pacifica).

       Официально  поддерживаемые гостевые ОС следующие:

• Windows NT, 2000, 2003, 2008, XP, Vista;
• Linux (Red Hat and SUSE)

       Поддерживается  SMP в гостевых ОС.

2. Требования к аппаратному и программному обеспечению

       Для использования гипервизора Hyper-V необходимо:

• x64-совместимый процессор, поддерживающий запуск x64-версии Windows Server 2008 Standard, Windows Server 2008 Enterprise или Windows Server 2008 Datacenter;
• Аппаратная поддержка виртуализации. Эта особенность процессоров, дающая возможность аппаратной виртуализации; касается технологий Intel VT и AMD Virtualization (AMD-V, ранее известная как Pacifica);
• NX-бит-совместимый процессор и активированая аппаратная поддержка Data Execution Prevention (DEP);
• Память объёмом минимум 2 Гб (каждая виртуальная ОС требует собственного объёма памяти, поэтому реально нужно больше);
• Windows 2008 Standard (64-bit) Hyper-V Core требует примерно 3 Гб дискового пространства в установленном виде;
• Windows 2008 Standard (64-bit) Hyper-V с GUI требует примерно 8 Гб дискового пространства в установленном виде;
• Windows 2008 Standard (64-bit) Hyper-V с GUI или в виде Core версии поддерживает до 31 Гб памяти для работы VM, плюс 1 Гб для родительской ОС Hyper-V;
• Windows 2008 Standard (64-bit) Hyper-V с GUI или в виде Core поддерживает до 8 процессоров с 1, 2 или 4 ядрами;
• Windows 2008 Standard (64-bit) Hyper-V с GUI или в виде Core поддерживает до 384 гостевых ОС;
• Windows 2008 Standard (64-bit) Hyper-V с GUI или в виде Core поддерживает 32-битные (x86) и 64-битные (x86_64) гостевые виртуальные машины.

       Отдельный Hyper-V Server не требует установленного Windows Server 2008, а требование к минимуму памяти составляет 1Гб и дискового пространства 2Гб. 

       Другие  известные средства виртуализации, а так же их сравнительные характеристики приведены в приложении 1. 

 

       

6. Защита  информации виртуализированных систем

       Обеспечение информационной безопасности виртуальной ИТ-инфраструктуры предусматривает решение двух задач: обеспечение состояния конфиденциальности, целостности и доступности информации организационными и программно-техническими средствами и обеспечение соответствия требованиям законодательства в отношении защиты конфиденциальной информации и персональных данных. Обработка информации в виртуальной среде имеет свои специфические особенности, отсутствующие в физической среде:

• информация обрабатывается в гостевых машинах, которые находятся под полным контролем гипервизора, способного абсолютно незаметно для традиционных средств защиты информации перехватывать все данные, идущие через устройства;
• администратор виртуальной инфраструктуры, имеющий права доступа к гипервизору, становится очень важным субъектом безопасности информационной системы – фактически он может получить доступ к информационным ресурсам в обход существующей политики информационной безопасности компании;
• средства управления виртуальной инфраструктурой представляют собой самостоятельный объект атаки, проникновение к ним дает возможность нарушителю получить доступ к гипервизорам серверов виртуализации, а затем к конфиденциальным данным, обрабатываемым на гостевых машинах;
• традиционные средства защиты информации, разработанные для защиты физической инфраструктуры, могут не учитывать существование гипервизора, являющегося фактически нарушителем, реализующим атаку «человек в середине», при взаимодействии гостевой машины со всеми устройствами;
• диски гостевых машин обычно размещаются в сетевых хранилищах, которые должны физически защищаться как самостоятельные устройства;
• традиционные межсетевые экраны не контролируют трафик внутри сервера виртуализации, где могут находиться десятки гостевых машин, взаимодействующих между собой по сети, однако этот сетевой трафик не покидает сервера виртуализации и не проходит через физические межсетевые экраны и другое физическое сетевое оборудование;
• каналы передачи служебных данных серверов виртуализации обычно не защищены, хотя по этим каналам среди прочих данных передаются фрагменты оперативной памяти гостевых машин, которые могут содержать конфиденциальные данные.

       В виду этих особенностей виртуализированных систем, существуют угрозы безопасности информации, специфичные для виртуальной инфраструктуры.

       Угрозы  безопасности для виртуальных инфраструктур:

• Угроза компрометации гипервизора, как нового по сравнению с физической средой, элемента управления инфраструктурой:
• атака на гипервизор с виртуальной машины;
• атака на гипервизор из физической сети;
• угроза утечки данных вследствие злонамеренных или нечаянных действий системного администратора, получающего доступ к данным и к инфраструктуре:
• атака на средства администрирования виртуальной инфраструктуры;
• консолидация нескольких серверов на одном аппаратном комплексе, приводит к повышению риска компрометации консолидированного хранилища данных:
• атака на диск виртуальной машины;
• атака на виртуальную машину с другой виртуальной машины;
• атака на сеть репликации виртуальных машин;
• угроза несанкционированного доступа (НСД) администратора виртуальной инфраструктуры к настройкам и правам пользователей на сервере виртуализации;
• невозможность контролировать все события информационной безопасности и расследовать инциденты информационной безопасности в случае их возникновения;
• неконтролируемый рост числа виртуальных машин.

       Так же, в практике защиты виртуальных сред следует учитывать три основных фактора:

• размывание границ нахождения информации;
• доверие к средству защиты;
• комплексность подхода к защите информации во всей информационной системе.

       На  данный момент в сфере защиты виртуализированных систем применяется классический подход к обеспечению безопасности:

• категорирование и упорядочивание ресурсов по степени критичности обрабатываемой информации (сегментирование);
• применение мер защиты как на границах сегментов, так и внутри их;
• защита средств управления, в том числе и инструментами защиты межсерверных коммуникаций.

       В построении комплексной системы  защиты информации, охватывающей виртуальные  среды, очень важную роль играют организационные  решения и контроль изменений  ИТ-инфраструктуры.

       На российском крайне мало сертифицированных решений. Применение данных средств, не обеспечивает полноценную защиту персональных данных и конфиденциальной информации, обрабатываемой в виртуальной среде. Данные средства применимы не во всех виртуальных средах, а только в определенных системными требованиями.

       Защита  виртуализированных систем на данный момент является актуальной проблемой. Исходя из описанных выше угроз следуют обоснованные выводы: во-первых, в виртуальной среде следует применять новые средства защиты, учитывающие аспекты обеспечения информационной безопасности виртуализации, во-вторых, далеко не все аппаратные средства защиты будут работать в виртуальной среде, в-третьих, новые компоненты (гипервизор, средства управления виртуальной инфраструктурой и т.п.) тоже нужно защищать. Причем комплексную и многоуровневую защиту могут обеспечить, только специализированные средства.

 

7. Средство  защиты виртуальной  инфраструктуры vGate R2
1. Назначение

       ПО  vGate R2 – средство защиты информации от несанкционированного доступа и контролирования выполнения ИБ-политик для виртуальной инфраструктуры на базе платформ VMware infrastructure 3 и vSphere 4.

       В состав ПО vGate R2 входят следующие компоненты:

• ПО vGate Server для установки основного и резервного сервера авторизации;
• ПО vGate Client для установки агента аутентификации;
• ПО vGate Personal Firewall для установки компоненты защиты vCenter;
• Утилита Repot для настройки сервера отчётов.

       В процессе установки сервера авторизации  осуществляется:

• установка сервера PostgreSQL;
• первоначальная настройка в процессе установки ПО;
• создание учетной записи АИБ в процессе установки ПО;
• установка консоли управления (следует выполнить, если предполагается, что на сервере авторизации у АИБ будет основное или дополнительное рабочее место);
• установка компонент "Резервирование конфигурации" (следует выполнить, если используется резервный сервер).

       В процессе установки резервного сервера  авторизации осуществляется:

• первоначальная настройка в процессе установки ПО;
• установка консоли управления (при необходимости).

       В процессе установки агента аутентификации осуществляется

• установка агента аутентификации и консоли управления.

       После установки компоненты защиты vCenter запрещются все сетевые соединения, за исключением соединения с сервером авторизации.

       В процессе установки утилиты Repot осуществляется:

• установка компонент Reporting Service СУБД Microsoft SQL 2005 и отчеты для vGate.

 
       

2. Функциональные  возможности

       К основным функциональным возможностям программного продукта vGate R2 относятся:

• усиленная аутентификация администраторов виртуальной инфраструктуры и администраторов информационной безопасности;
• защита средств управления виртуальной инфраструктурой от НСД;
• защита ESX-серверов от НСД;
• мандатное управление доступом;
• контроль целостности конфигурации виртуальных машин и доверенная загрузка;
• контроль доступа администраторов ВИ к данным виртуальных машин;
• регистрация событий, связанных с информационной безопасностью;
• контроль целостности и защита от НСД компонентов СЗИ;
• централизованное управление и мониторинг.

       Усиленная аутентификация администраторов  виртуальной инфраструктуры и администраторов  информационной безопасности 

       В vGate реализована модель разделения прав на управление виртуальной инфраструктурой  и на управление безопасностью. Таким  образом, выделяются две основные роли - администратор виртуальной инфраструктуры (АВИ) и администратор информационной безопасности (АИБ).

       Доступ  на управление виртуальной инфраструктурой  или параметрами безопасности предоставляется  только аутентифицированным пользователям. Процедура аутентификации пользователей и компьютеров (рабочих мест АИБ и АВИ) осуществляется по протоколам типа Man in the Middle.

       Процедура аутентификации АВИ осуществляется с помощью отдельного приложения, которое устанавливается на его  рабочее место (агент аутентификации). До соединения с виртуальной инфраструктурой  АВИ требуется запустить эту  программу и ввести учетные данные.