Dlaczego bezpieczeństwo wirtualizacji jest istotne dla biznesu?

Głównym założeniem wirtualizacji jest oszczędność kosztów poprzez zwiększenie wydajności. Jedną z najważniejszych korzyści jest umożliwienie firmom zmaksymalizowania wartości posiadanych urządzeń oraz uniknięcia zakupu i utrzymywania nowego sprzętu IT.

Oto przykład: w tradycyjnych środowiskach fizycznych serwery mogą zwykle działać ze średnią wydajnością na poziomie 20% w ciągu dnia. Tradycyjny serwer pocztowy może osiągnąć 80% swojej wydajności wcześnie rano, gdy duża liczba pracowników pobiera jednocześnie ogromne ilości wiadomości e-mail, jednak poziom jego aktywności w ciągu dnia jest znacznie niższy, a w nocy spada jeszcze bardziej. Z kolei większość zadań dla serwera kopii zapasowych zwykle jest zaplanowana na noc.

W wirtualnym środowisku serwerowym dział IT może stworzyć dwie maszyny wirtualne na jednym serwerze fizycznym, konsolidując zadania przetwarzania poczty i tworzenia kopii zapasowej danych na jednej współdzielonej maszynie. To oznacza, że zamiast dwóch można zakupić i utrzymywać tylko jeden serwer.

Jest to podstawowy przykład wirtualizacji serwerów, jednak firma może odtworzyć wiele elementów infrastruktury IT w obrębie środowiska wirtualnego, w tym aplikacje, pamięć, całe sieci itd. Wirtualizacja umożliwia nie tylko tego rodzaju konsolidację zasobów, ale również zapewnia kilka innych korzyści w zakresie zarządzania i wydajności. Oprócz wydajnego wykorzystywania zasobów wirtualizacja oferuje firmom następujące korzyści:

  1. Obniżenie kosztów: wirtualizacja pozwala zmniejszyć łączne koszty sprzętu i zajmowaną przez niego powierzchnię, a także obniżyć wymogi dotyczące zużycia mocy i zarządzania.
  2. Elastyczność: wirtualizacja zwiększa wydajność infrastruktury IT, dostarczając wymaganą moc obliczeniową, dzięki czemu firma jest bardziej elastyczna i konkurencyjna.
  3. Stabilność: całkowite odseparowanie maszyny wirtualnej od sprzętu oznacza krótszy czas przestoju w razie problemów oraz większą dostępność systemu, co z kolei zapewnia większą produktywność.
  4. Scentralizowane zarządzanie: systemy wirtualne mogą zostać stworzone od razu w razie potrzeby oraz są centralnie zarządzane i konfigurowane, co ostatecznie zmniejsza koszty administracyjne i nakłady związane z pomocą techniczną.

Bezpieczeństwo środowisk wirtualnych

Wirtualizacja stanowi symulację fizycznego środowiska sprzętowego, dzięki czemu oprogramowanie, w tym szkodliwe, może zachowywać się tak, jak zachowywałoby się standardowo. Aby osiągnąć swoje cele przestępcze, twórcy szkodliwego oprogramowania wezmą na celownik wszelkie słabe punkty w sieci biznesowej. Dlatego maszyny wirtualne są w równym stopniu podatne na ataki większości rodzajów szkodliwego oprogramowania, łącznie ze szkodliwymi załącznikami do poczty e-mail, atakami drive-by-download, trojanami, robakami sieciowymi, a nawet ukierunkowanymi atakami phishingowymi (tzw. spear-phishing).

Niezabezpieczone środowisko wirtualne może otworzyć drzwi do pozostałej części sieci. Na przykład: jeżeli atakujący złamie zabezpieczenia jednej maszyny wirtualnej i znajdzie sposób na przeskoczenie do hipernadzorcy, uzyska dostęp do każdej maszyny wirtualnej na danym serwerze. Oprócz wirtualnych desktopów agresor mógłby potencjalnie uzyskać dostęp do dowolnej wirtualnej kopii zapasowej lub pamięci, co dałoby mu wgląd we wszystkie dane atakowanej organizacji.

Panuje powszechny mit, że maszyny wirtualne są z zasady bezpieczniejsze niż maszyny fizyczne. Fakt - maszyny wirtualne są mniej podatne na zagrożenia takie jak spyware i ransomware, jednak systemy te wciąż mogą zostać zainfekowane innymi rodzajami szkodliwego oprogramowania. W końcu maszyny wirtualne to bramy do serwerów, a cyberprzestępcy są zainteresowani uzyskaniem dostępu do przechowywanych na nich danych.

W sierpniu 2012 r. branża bezpieczeństwa zidentyfikowała szkodliwe oprogramowanie o nazwie Crisis/Morcut – jednego z pierwszych szkodników posiadających wbudowane funkcje przeznaczone dla maszyn wirtualnych. Program ten potrafił rozprzestrzeniać się w sieciach wirtualnych w celu kradzieży informacji finansowych. Stał się dowodem na to, że twórcy szkodliwego oprogramowania są w stanie napisać kod, przy użyciu którego zostaną zaatakowane zarówno sieci fizyczne, jak i wirtualne.

Niektóre szkodliwe programy atakujące maszyny wirtualne mogą w rzeczywistości pokonać jedną z zalet wirtualizacji pod względem bezpieczeństwa, która opiera się na koncepcji „nietrwałej maszyny wirtualnej”. Jak sugeruje nazwa, jest to maszyna wirtualna, która zostaje utworzona, gdy zajdzie taka konieczność, a następnie jest kasowana po kilku godzinach lub dniach, gdy nie jest już potrzebna (dobrym przykładem niestałych maszyn wirtualnych są wirtualne desktopy). Wcześniej taka kasacja unicestwiała wszelkie oprogramowanie, które znalazło się na danej maszynie wirtualnej. Jednak zaczęło pojawiać się szkodliwe oprogramowanie, które potrafi przetrwać usuwanie poszczególnych maszyn wirtualnych poprzez rozprzestrzenianie się w sieci wirtualnej, dzięki czemu może powrócić po utworzeniu nowych maszyn.

Oprócz zabezpieczenia samych maszyn wirtualnych niezbędna jest również ochrona ruchu sieciowego, który przepływa pomiędzy maszyną wirtualną a hipernadzorcą. Warto podkreślić, że jedna maszyna wirtualna może podsłuchiwać ruch płynący do innej maszyny wirtualnej, co stanowi zagrożenie dla prywatności i bezpieczeństwa.

Paradoksalnie, łatwość tworzenia maszyn wirtualnych sprawia, że niektóre firmy mogą zostać dotknięte problemem „rozrostu”, co oznacza więcej pracy dla działu IT w zakresie zarządzania. Maszynę wirtualną można szybko stworzyć, ale równie szybko można o niej zapomnieć (w niektórych przypadkach użytkownicy mogą tworzyć maszyny wirtualne bez wiedzy działu IT), co prowadzi do istnienia w sieci systemu, który nie jest zarządzany ani zabezpieczony, a przez to stanowi łatwiejszy cel dla atakujących.

Większe bezpieczeństwo i więcej problemów dotyczących zarządzania

Oprogramowanie do ochrony punktów końcowych wykorzystywane do zabezpieczania komputerów i serwerów fizycznych to tzw. rozwiązanie oparte na agencie. W środowisku niezwirtualizowanym pełny agent oprogramowania bezpieczeństwa oraz bazy antywirusowe są instalowane na każdej maszynie (serwerze lub stacji roboczej). Ogólnie, wykorzystywanie produktów opartych na agencie w zwirtualizowanym środowisku nie jest bardzo efektywne. Każda maszyna wirtualna wymaga zainstalowania pełnego agenta oraz pełnej bazy sygnatur antywirusowych. Dlatego, jeżeli firma posiada 100 maszyn wirtualnych działających na jednym serwerze, będzie on musiał obsłużyć 100 instancji agenta bezpieczeństwa oraz 100 instancji bazy sygnatur antywirusowych. Oprócz niepotrzebnego duplikowania oprogramowania bezpieczeństwa i baz danych ochrona oparta na agencie może również spowodować zjawiska, które jeszcze bardziej zmniejszą wydajność lub doprowadzą do powstania potencjalnych luk w bezpieczeństwie.

Konfiguracje ochrony opartej na agencie powodują następujące problemy w środowisku wirtualnym:

  1. Duplikacja: Każda maszyna wirtualna będzie posiadała identyczny zestaw komponentów bezpieczeństwa, w tym niezależny silnik antywirusowy i bazy sygnatur, z czego wszystko będzie wymagało osobnej aktualizacji. W wyniku wysokiego poziomu duplikacji znaczna część cennych zasobów – moc obliczeniowa, pamięć RAM oraz przestrzeń dyskowa – jest zużywana niepotrzebnie.
  2. Luki instant-on: Maszyna wirtualna, taka jak wirtualny desktop, pozostanie uśpiona do czasu, gdy zajdzie potrzeba wykorzystania jej. Niestety nie można uaktualnić komponentów bezpieczeństwa czy baz danych na nieaktywnej maszynie wirtualnej. A zatem natychmiast po uruchomieniu i przed ukończeniem aktualizacji bezpieczeństwa maszyna wirtualna jest podatna na ataki. Wyobraźmy sobie, że pracownik biura wylogowuje się ze swojej wirtualnej stacji roboczej o godz. 17:00, a następnego dnia loguje się ponownie o godzinie 8:00. Przez te 15 godzin jego maszyna wirtualna była całkowicie nieaktywna – co oznacza, że bazy antywirusowe oraz aplikacja bezpieczeństwa nie otrzymały żadnych aktualizacji. Są to tzw. luki „instant-on”, które mogą stanowić poważne ryzyko dla bezpieczeństwa produktów opartych na agencie.
  3. Burze aktualizacji: W sytuacji opisanej powyżej wirtualny desktop pracownika musi o godz. 8:00 każdego dnia otrzymać z serwera aktualizacje powstałe w ciągu 15 godzin. Jest jednak wysoce prawdopodobne, że reszta pracowników w firmie również włączy swoje maszyny wirtualne w mniej więcej tym samym czasie. W przypadku struktury bezpieczeństwa opartej na agencie – w której serwer zawiera antywirusowe bazy danych i dostarcza je agentowi bezpieczeństwa na każdej maszynie wirtualnej – jednoczesne aktualizacje antywirusowych baz danych każdej maszyny mogą mieć znaczny wpływ na wydajność innych aplikacji.
  4. Burze skanowania: Na każdym serwerze zainstalowanych jest wiele instancji agenta bezpieczeństwa. Jeżeli kilka – a w skrajnym przypadku wszystkie – maszyn wirtualnych uruchomi jednocześnie rutynowe zadanie skanowania, będzie to miało negatywny wpływ na wydajność pozostałych uruchomionych aplikacji. W przypadku epidemii szkodliwego oprogramowania przymusowe skanowanie antywirusowe może oznaczać, że działanie kluczowych aplikacji zostanie niemalże zatrzymane. Takich burz skanowania oraz aktualizacji można uniknąć, jeżeli firma wybierze rozwiązanie bezpieczeństwa, które zostało zoptymalizowane dla środowisk wirtualnych.
  5. Problemy z wydajnością podczas incydentów IT: Administratorzy często tworzą polityki na wypadek, gdyby do sieci przedostało się szkodliwe oprogramowanie. W przypadku wykrycia takiego incydentu poziom ochrony jest automatycznie zwiększany. Zwykle oznacza to, że procesy skanowania przebiegają jednocześnie na wszystkich maszynach wirtualnych, a analiza heurystyczna jest ustawiona na maksymalny poziom szczegółowości. Naturalnie prowadzi to zużywania dużej ilości zasobów serwera przez każdą maszynę wirtualną – w tym pamięci oraz mocy procesora – i może mieć poważny wpływ na wydajność. Taka polityka, chociaż znajduje uzasadnienie w przypadku węzłów fizycznych, może łatwo doprowadzić do poważnego spowolnienia lub całkowitego zatrzymania pracy środowiska wirtualnego.

Istnieją różne sposoby zadbania o kwestie bezpieczeństwa wirtualizacji – rozwiązanie oparte na agencie (opisane wyżej), bez agenta oraz oparte na lekkim agencie.

Rozwiązanie bez agenta: Produkty bezpieczeństwa oparte na agencie wymagają, aby pełny agent bezpieczeństwa – i jego baza danych – został skopiowany na każdej maszynie wirtualnej na każdym serwerze. Jednak w przypadku bezagentowych aplikacji bezpieczeństwa wystarczy jedna kopia antywirusowej bazy danych na jednej maszynie wirtualnej oddelegowanej do celów bezpieczeństwa, aby wszystkie działające na danym hoście maszyny były chronione. W porównaniu z tradycyjną ochroną opartą na agencie rozwiązania bezagentowe nakładają znacznie mniejsze wymagania na zasoby procesora, pamięci i przestrzeni dyskowej. Co więcej, gdy istnieje tylko jedna maszyna wirtualna przeznaczona do celów bezpieczeństwa, zostają wyeliminowane burze skanowania mogące prowadzić do zagnieżdżenia się szkodliwego oprogramowania oraz burze aktualizacji baz danych i aplikacji bezpieczeństwa. Ponadto nie występuje problem luk typu instant-on.

Należy podkreślić, że ochrona bez agenta jest możliwa jedynie przy użyciu technologii vShield firmy VMware, dlatego taki mechanizm bezpieczeństwa nie stanowi opcji dla wirtualnych środowisk Citrix czy Microsoft.

Trzeba jednak pamiętać, że ochrona bez agenta również posiada ograniczenia. Możliwości vShield pozwalają jedynie na dostęp do chronionych maszyn wirtualnych na poziomie systemu plików. To oznacza, że nie można zaimplementować innych technologii ochrony punktów końcowych, takich jak kontrola aplikacji z dynamiczną białą listą, której celem jest zapewnienie dodatkowych warstw bezpieczeństwa.

Rozwiązanie z lekkim agentem: Stanowi kompromis pomiędzy rozwiązaniem bezagentowym a opartym na agencie; wykorzystuje wydzielone urządzenie wirtualne na poziomie hipernadzorcy w celu przechowywania baz danych i przeprowadzania skanowania plików (podobnie jak w przypadku konfiguracji bez agenta). Również w przypadku tej konfiguracji na każdej maszynie wirtualnej zostaje zainstalowany niewielki agent programowy, który jest tak skonfigurowany, aby był lekki i zużywał o wiele mniej mocy obliczeniowej niż tradycyjne rozwiązanie antywirusowe. W ten sposób „ciężka” praca może zostać wykonana z dala od maszyn wirtualnych, ale wciąż istnieje bezpośrednie połączenie pozwalające wykonać zaawansowane zadania ochrony na każdej maszynie.

Chociaż na każdej maszynie wirtualnej znajduje się lekki agent, nie występują burze aktualizacji – ponieważ istnieje tylko jedna kopia bazy bezpieczeństwa. Burze skanowania także zostają wyeliminowane.

Rozwiązania oparte na lekkim agencie mogą oferować technologie ochrony i zarządzania, które nie są dostępne w produktach bezagentowych, w tym:

  • możliwość skanowania pamięci i wykrycia w niej szkodliwego oprogramowania,
  • narzędzia kontroli, które mogą być szczególnie przydatne w środowiskach wirtualnych stacji roboczych,
  • bezpieczeństwo sieciowe oparte na hoście – w tym zapora sieciowa i system zapobiegania włamaniom (HIPS).

Przykładem takiego rozwiązania jest Kaspersky Security for Virtualization | Light Agent, który zapewnia:

  • zaawansowaną ochronę przed szkodliwym oprogramowaniem,
  • zaawansowaną ochronę na poziomie sieci – przy użyciu systemu HIPS, zapory sieciowej i technologii Kaspersky Lab do blokowania ataków sieciowych,
  • kontrolę aplikacji – możliwość definiowania listy aplikacji, które mogą być uruchamiane w sieci firmowej,
  • kontrolę urządzeń – w celu zarządzania, w jaki sposób urządzenia przenośne mogą uzyskiwać dostęp do systemów,
  • kontrolę sieci – w celu zarządzania zasadami uzyskiwania dostępu do internetu i blokowania określonych rodzajów stron internetowych,
  • automatyczne zapobieganie exploitom – w celu zapewnienia ochrony przed szkodliwym oprogramowaniem wykorzystującym luki w systemie operacyjnym i aplikacjach (łącznie z nieznanymi podatnościami),
  • dane dotyczące zagrożeń dostarczane w czasie rzeczywistym w oparciu o chmurę Kaspersky Security Network.

Rozwiązanie Kaspersky Security for Virtualization jest wyposażone w Kaspersky Security Center – łatwą w użyciu konsolę administracyjną, która pozwala konfigurować i kontrolować szeroki wachlarz technologii zarządzania systemami i ochronę za pośrednictwem jednej platformy. Kaspersky Security Center pozwala firmom kontrolować zarówno ochronę opartą na lekkim agencie, jak i bez agenta z poziomu jednej konsoli zarządzania.

Autor:

Piotr Kupczyk

Dyrektor biura komunikacji z mediami

Kaspersky Lab Polska

Źródło: Kaspersky Lab