Μία από τις σημαντικότερες προκλήσεις κατά την ανάπτυξη και υιοθέτηση virtual υποδομών είναι σαφώς η ασφάλεια των εταιρικών πληροφοριών και εφαρμογών και η βέλτιστη διαχείριση της προσβασιμότητας των εξουσιοδοτημένων χρηστών, προκειμένου να περιοριστούν τα ρίσκα που προκύπτουν.

Οι τρέχουσες απαιτήσεις των Οργανισμών για υπηρεσίες που καλύπτουν τις ζωτικές ανάγκες λειτουργίας τους, τους οδηγεί ουσιαστικά και με ταχύ ρυθμό στην υιοθέτηση της τεχνολογίας virtualization, η οποία μπορεί να βοηθήσει στη μέγιστη αξιοποίηση των φυσικών τους υποδομών.

Η τάση αυτή ενισχύεται από τις βελτιωμένες δυνατότητες που εξασφαλίζει η νέα τεχνολογία σε θέματα όπως η απόδοση των εταιρικών πόρων, η αδιάλειπτη λειτουργία και ευελιξία, και συνεπώς η δυνατότητα που παρέχει για άμεση σύνδεση του IT με το Business με αποτέλεσμα να ικανοποιούνται οι εταιρικές ανάγκες σε θέματα ευελιξίας, κόστους, ποιότητας και ρίσκου.

Προκλήσεις ασφάλειας σε μεικτά συστήματα φυσικής και virtual δομής
Με τη βοήθεια του virtualization, τα ΙΤ τμήματα μπορούν να προσεγγίσουν έως το 100% χρηστικότητας ενός φυσικού server και κατά συνέπεια να εξασφαλίσουν τον περιορισμό των λειτουργικών εξόδων που σχετίζονται με το χώρο που καταλαμβάνουν οι φυσικοί servers, το απασχολούμενο προσωπικό, το bandwidth και την ενέργεια που καταναλώνεται λόγω τροφοδοσίας ή συστημάτων ψύξης. Στα νέα αυτά virtual περιβάλλοντα λειτουργίας όμως, ανακύπτουν θέματα ασφάλειας, τόσο ήδη γνωστά όσο και νέα, που όμως χρήζουν μιας τελείως διαφορετικής προσέγγισης. Πώς λοιπόν μπορεί η ασφάλεια να διαχωρίσει επαρκώς τα δικαιώματα των «εξουσιοδοτημένων» χρηστών που έχουν πρόσβαση στο φυσικό server, αλλά και στις εικονικές μηχανές (virtual machines-VM) που φιλοξενεί και στις εφαρμογές που υλοποιούνται σε αυτές; Στην πραγματικότητα, υπάρχει ελλιπής προσέγγιση του θέματος της ασφάλειας των virtual δομών, γεγονός που αποτρέπει πολλές επιχειρήσεις από την ολική υιοθέτησή τους, μιας και η ασφάλεια των δεδομένων και των υπηρεσιών που προσφέρουν είναι ζωτικής σημασίας για τη βιωσιμότητά τους.
Είθισται οι αναφορές γύρω από την τεχνολογία virtualization να επικεντρώνονται στα πλεονεκτήματα και τις δυνατότητες που παρέχονται, ενώ τα ζητήματα ΙΤ ασφάλειας που προκύπτουν, δεν λαμβάνουν ορισμένες φορές την ίδια προσοχή. Κυρίως, γιατί τα τελευταία 50 χρόνια η προστασία ΙΤ σε φυσικό επίπεδο έχει αντιμετωπιστεί επαρκώς και αποτελεσματικά. Είτε επρόκειτο για την ασφάλεια των εφαρμογών, την πρόσβαση και τον έλεγχο της πληροφορίας, είτε για τις δραστηριότητες σύνδεσης του τελικού χρήστη στο σύστημα, στην πλειοψηφία των φυσικών servers υπήρχε επαρκής προστασία χάρη στα τόσα χρόνια εμπειρίας και της εφαρμογής αποτελεσματικών πρακτικών χειρισμού.
Όμως η προστασία των virtual servers δεν είναι τόσο προφανής – κάτι που εύκολα γίνεται αντιληπτό αν εξεταστούν οι βασικές διαφορές μεταξύ των δύο δομών. Σε μία επιχείρηση οι φυσικοί servers μπορούν να βρίσκονται σε ένα δωμάτιο, αποκλεισμένοι από οποιονδήποτε δεν έχει άδεια πρόσβασης και με απλούς ελέγχους να αποτρέπεται κάθε κακόβουλη ενέργεια προς αυτούς. Οι virtual servers όμως μπορούν να αποκοπούν, να αντιγραφούν από το σύστημα που τους φιλοξενεί και να επικολληθούν οπουδήποτε, τόσο εύκολα όσο και ένα απλό αρχείο. Σε συνδυασμό με τον hypervisor που αποτελεί το μόνο σημείο διαχείρισης για όλες τις VM του συστήματος, οποιοσδήποτε με εξουσιοδότηση πρόσβασης στον hypervisor θα μπορούσε να έχει τον πλήρη έλεγχο στις κρίσιμες υπηρεσίες, εφαρμογές και δεδομένα του Οργανισμού.
Η πιθανή παράκαμψη της ασφάλειας του hypervisor για αντιγραφή ή διαγραφή μιας εικόνας VM ή την εισαγωγή μιας πλαστής, ισοδυναμεί με την «παραδοσιακή» παραβίαση ενός Κέντρου Δεδομένων και την κλοπή ενός φυσικού server ή την προσθήκη ενός νέου με κακόβουλη λειτουργία. Πρέπει λοιπόν να γίνει κατανοητό ότι οι εφαρμογές που εξυπηρετούνται μέσω virtualization μπορούν εύκολα να παρακαμφθούν και οι virtual κονσόλες να προσπελασθούν από κάποιον με τα κατάλληλα δικαιώματα χρήστη, ενώ η εγγενής ασφάλεια του λειτουργικού συστήματος δεν παρέχει την απαιτούμενη προστασία για συμμόρφωση με τα κανονιστικά πλαίσια και τις βέλτιστες πρακτικές ασφαλείας.

Ροπή προς το virtualization
Σύμφωνα με την εταιρεία ερευνών Forrester Research, διαπιστώνεται ότι οι υπεύθυνοι ΙΤ των διαφόρων Οργανισμών έχουν μετατρέψει σε εικονικούς servers το 52% περίπου των x86 servers, ενώ αναμένεται ότι στα επόμενα δύο χρόνια αυτός ο αριθμός θα ανέλθει στο 75%. Κατά συνέπεια, άσχετα με ποιο ποσοστό αναλογεί στη φυσική ή τη virtual δομή μιας επιχείρησης, η ανάγκη για την πλήρη διαχείριση της ασφάλειας είναι μέγιστης σημασίας. Οι άμεσα εμπλεκόμενοι στοχεύουν στην πλήρη προστασία των συστημάτων τους, ξεκινώντας από:
1. Την ορθολογική διαχείριση των ρόλων, των ταυτοτήτων αναγνώρισης και των εφαρμογών.
2. Τον έλεγχο της πρόσβασης των υπερ-εξουσιοδοτημένων χρηστών.
3. Τη βελτίωση της άσκησης ελέγχου και της συμμόρφωσης με τους κανόνες ασφαλείας.

Τα 3 βήματα για την ασφάλεια του virtual περιβάλλοντος

Α) Διαχείριση ρόλων, ταυτοτήτων και εφαρμογών. Όταν η διαχείριση των ταυτοτήτων αναγνώρισης και των δικαιωμάτων πρόσβασης σε ένα φυσικό σύστημα είναι ελλιπής, τότε κατά τη μετάβαση σε ένα virtual περιβάλλον δημιουργούνται προβλήματα που αυξάνονται εκθετικά. Οι Οργανισμοί μπορούν να αντιμετωπίσουν αυτό το πρόβλημα με χρήση ειδικού λογισμικού διαχείρισης ταυτοτήτων αναγνώρισης, που θα καθορίζει σαφώς και θα διαχειρίζεται επαρκώς τους τελικούς χρήστες και τους ρόλους που τους ανατίθενται. Έτσι, κάθε εξουσιοδοτημένος χρήστης θα έχει μόνο τα αναγκαία για την τέλεση του έργου του δικαιώματα και δεν θα επιτρέπεται η εσφαλμένη χρήση των δεδομένων και εφαρμογών της εταιρείας – είτε εσκεμμένα είτε κατά λάθος. Με μία τέτοια λύση οι υπέρ-εξουσιοδοτημένοι χρήστες (διαχειριστές τμημάτων που μπορούσαν να εισέλθουν σε όλες τις πληροφορίες της εταιρείας) που τυχόν υπήρχαν στις φυσικές δομές, δεν θα είναι πια ανεξέλεγκτοι και δεν θα έχουν τη δυνατότητα να προξενήσουν ανεπανόρθωτες ζημιές στα εταιρικά συστήματα και τις εφαρμογές που εκτελούνται στα virtual περιβάλλοντα.
Στην άλλη πλευρά του φάσματος της προστασίας, βρίσκεται η ανάγκη διαχείρισης της ασφαλούς και εξουσιοδοτημένης πρόσβασης στις ίδιες τις εφαρμογές των VM – είτε από τον τελικό χρήστη είτε από άλλες εφαρμογές ή υπηρεσίες. Στα virtual περιβάλλοντα οι servers των εφαρμογών συνεχίζουν τη λειτουργία τους, ανεξάρτητα από το αν βρίσκονται συνδεδεμένοι στο δίκτυο, μιας και οι απαιτήσεις παραγωγής έργου δεν σταματούν. Γι’ αυτόν το λόγο απαιτείται η υιοθέτηση μιας πλατφόρμας διαχείρισης πρόσβασης, με την οποία οι εφαρμογές που θα εκτελούνται στις VM θα λειτουργούν αξιόπιστα και σε ασφαλές περιβάλλον, μιας και θα διασφαλίζεται ότι πρόσβαση σε αυτές έχουν μόνο οι κατάλληλοι πόροι-πηγές, ανεξάρτητα από το αν είναι σε ενεργή κατάσταση ή σε κατάσταση αναμονής.
Β)Έλεγχος της πρόσβασης των υπέρ-εξουσιοδοτημένων χρηστών. Σε μία αυστηρά φυσική δομή, οι χρήστες αναγνωρίζονται ως προς την ταυτότητά τους και ελέγχονται από το λειτουργικό σύστημα και την ασφάλεια που υποστηρίζει τις εφαρμογές. Έτσι, σε περίπτωση εσφαλμένης ή κακόβουλης χρήσης, αν οι ρυθμίσεις ασφαλείας έχουν καθοριστεί ορθολογικά, δεν θα επιτραπεί η ρήξη του απορρήτου της εταιρείας ή οποιαδήποτε άλλη αστοχία. Αντιθέτως, οι «προνομιούχοι» χρήστες διαθέτουν δικαιώματα πρόσβασης που υπερβαίνουν την ασφάλεια του λειτουργικού συστήματος. Είθισται να χρησιμοποιούνται οι ίδιες πληροφορίες σύνδεσης (όνομα χρήστη -συνθηματικό) από πλειάδα διαχειριστών, διαμορφώνοντας έτσι μία κατάσταση στην οποία εξασφαλίζεται ανωνυμία συνδεσιμότητας και η οποία είναι προφανώς επισφαλής.
Με την υιοθέτηση της τεχνολογίας virtualization, το προαναφερόμενο πρόβλημα γίνεται ακόμα πιο σύνθετο. Εφόσον οι διαχειριστές έχουν τον έλεγχο του φυσικού συστήματος που φιλοξενεί τις VM, έχουν τον έλεγχο όλων των virtual λειτουργιών που τελούνται σε αυτό και άρα έχουν πρόσβαση στα δεδομένα που διαχειρίζονται οι εφαρμογές, ανεξαρτήτως βαθμού ευαισθησίας. Κάτι τέτοιο μπορεί να οδηγήσει σε πλήγμα της εταιρικής ακεραιότητας και έκθεση των απόρρητων δεδομένων της σε μη εξουσιοδοτημένους χρήστες.
Συμπερασματικά, αν δεν υπάρξει μια ανεξάρτητη λύση ελέγχου της πρόσβασης στη virtual υποδομή, τότε εύκολα μπορεί ο hypervisor να προσπελασθεί, οι VM της εταιρείας να αντιγραφούν και μαζί με αυτές να αντληθούν και όλες οι εφαρμογές και τα δεδομένα που αυτές διαχειρίζονται. Εν συνεχεία, αν αυτές οι αντιγραμμένες VM ενεργοποιηθούν ξανα σε ένα μη περιορισμένο περιβάλλον (π.χ. περιβάλλον ανάπτυξης ή QA), τότε διευκολύνεται ο οποιοσδήποτε εισβολέας να αντλήσει όλες τις πληροφορίες τους κατά το δοκούν. Προκειμένου λοιπόν να αποφευχθούν τέτοιου είδους εφιαλτικά σενάρια, η λύση ελέγχου προσβασιμότητας θα πρέπει να παρέχει δυνατότητες δυναμικού περιορισμού των δικαιωμάτων κάθε χρήστη είτε αυτός είναι τυπικός είτε υπέρ-εξουσιοδοτημένος σε ένα virtualized περιβάλλον.
Γ) Βελτίωση ελέγχων και συμμόρφωση με τους κανόνες ασφαλείας: Δεδομένης της ισχύος που έχει μια virtual πλατφόρμα σε σχέση με τη σταθερότητα και ακεραιότητα ολόκληρου του Κέντρου Δεδομένων του Οργανισμού που τη χρησιμοποιεί, πρέπει να αντιμετωπιστεί με σύνεση και ως ένα κρίσιμο ως προς την ασφάλεια τμήμα. Γι’ αυτόν το λόγο πρέπει να εξασφαλιστεί ότι συμμορφώνεται με τους εταιρικούς κανόνες ασφαλείας, καθώς και με τις προδιαγραφές προστασίας που ισχύουν για τις φυσικές δομές. Απαρχή για αξιόπιστο έλεγχο είναι η καταγραφή της διάδρασης του κάθε χρήστη με τη virtual πλατφόρμα, καθώς και εντός κάθε VM που φιλοξενείται σε αυτήν.
Στο παρελθόν οι εγγενείς δυνατότητες ελέγχου που παρέχονταν από το λειτουργικό σύστημα επαρκούσαν, αλλά με τους ελεγκτές να κατανοούν καλύτερα τις απαιτήσεις των virtual δομών αποδεικνύεται ότι αυτοί οι έλεγχοι είναι επιφανειακοί και ενδεχομένως ακατάλληλοι. Για να επιτευχθεί λοιπόν η απαιτούμενη συμμόρφωση με τους εκάστοτε κανόνες ασφαλείας στη virtual εποχή που διανύουμε, απαιτείται μια λύση που να ελέγχει την πρόσβαση στα λειτουργικά συστήματα που φιλοξενούν τις VM, η οποία λύση θα μπορεί να αποδείξει ότι οι έλεγχοι που τελούνται είναι αξιόπιστοι και αποτελεσματικοί. Επιπρόσθετα, η λύση αυτή θα πρέπει να υποστηρίζει διαδικασίες ελέγχου για όλες τις VM, μιας και κάθε μια από αυτές υπόκειται στις ίδιες απαιτήσεις συμμόρφωσης με τους κανόνες ασφαλείας.

Η λύση της CA για την Ασφάλεια στο Virtualization και τη Διαχείριση Ταυτοτήτων Προνομιούχων Χρηστών

Λαμβάνοντας υπόψη τα παραπάνω, η CA Technologies ανέπτυξε τη σουίτα προϊόντων CA ControlMinder, τα οποία εξασφαλίζουν αξιόπιστη διαχείριση των χρηστών και των δικαιωμάτων πρόσβασής τους, τόσο για το φυσικό όσο και για το virtual περιβάλλον λειτουργίας. Με τις συγκεκριμένες λύσεις προσφέρεται μια δυναμική προσέγγιση προστασίας των ευαίσθητων δεδομένων και κρίσιμων συστημάτων, δίχως επιπτώσεις στην τυπική λειτουργία της επιχείρησης και τις δραστηριότητες του ΙΤ. Τα προϊόντα CA ControlMinder βοηθούν στον περιορισμό του ρίσκου και εξυπηρετούν στην συμμόρφωση, ασκώντας έλεγχο στην πρόσβαση των «προνομιούχων» χρηστών και στον τρόπο που αυτοί χρησιμοποιούν τα εταιρικά συστήματα και δεδομένα. Αναλυτικότερα, παρέχουν αυτόματη διαχείριση συνθηματικών προνομιούχων χρηστών, εξαιρετικά σχολαστικό έλεγχο προσβασιμότητας, αναφορά της δραστηριότητας των χρηστών, αυθεντικοποίηση των UNIX/linux χρηστών σε Active Directory και δυνατότητα single sign-on μεταξύ servers, εφαρμογών και συσκευών, όλα μέσω μιας κεντρικής κονσόλας διαχείρισης! Έτσι επιτυγχάνεται υψηλότερο επίπεδο ασφάλειας, μειώνεται το κόστος διαχείρισης και καθίσταται ευκολότερος ο έλεγχος και η συμμόρφωση με τους κανόνες ασφαλείας.

Αναφορά:
EXECUTIVE BRIEF
Virtualization Security
«How can I overcome the security challenges
of today’s virtualized infrastructures»
CA Technologies