Главные ошибки в области виртуальной безопасности

Грубейшие ошибки в области информационной безопасности частных облаков и виртуализованных инфраструктур, а также как их избежать.

Всё больше предприятий развёртывают у себя виртуализированную инфраструктуру, некоторые строят частные и гибридные облака. Какие наиболее грубые ошибки при этом совершаются, к каким последствиям они могут привести и как их избежать?

Самая большая ошибка заключается в том, что о безопасности очень часто просто забывают — вспоминают, когда уже всё выстроено и кто-то из специалистов ИБ вдруг начинает указывать на недостатки, считает Евгений Дружинин, ведущий эксперт по информационной безопасности компании "Крок".

Как следствие, ИБ-специалисты не вовлекаются в проект по виртуализации или миграции в облако уже в самом его начале, отмечает Юрий Сергеев, руководитель группы проектирования центра информационной безопасности компании "Инфосистемы Джет". Последствия в этом случае зависят от масштабов созданной инфраструктуры и используемых в ней технологий.

Ещё одна грубая, по мнению Дружинина, ошибка связана с тем, что к вопросам информационной безопасности относятся формально: "Некоторые системы устанавливаются ради того, чтобы соответствовать нормативным требованиям, но о том, как это будет работать и что конкретно защищать, часто не думают".

"Основная ошибка — это неспособность обеспечить оптимальный уровень безопасности, — указывает Павел Эйгес, региональный директор Intel Security в России и СНГ. — То, что внешний или внутренний оператор облачного сервиса работает в соответствии со стандартами и имеет сертификаты такого соответствия, зачастую лишь позволяет ему поддерживать минимально необходимый уровень защиты. Однако многие считают, что такого уровня им вполне хватит, — в этом и есть их основная ошибка, ведь угрозы совершенствуются каждый день и стандарты регуляторов просто не могут поспевать за ними".

Частые ошибки

Впрочем, те, кто заботятся об информационной безопасности своих виртуализованных и облачных сред, делают и немало других грубых ошибок. В частности, отмечает Алексей Грачёв, руководитель направления консалтинга компании ЕМС в России и СНГ, как правило, не приводят к успеху попытки самостоятельно создать надёжную и защищённую платформу из подручных средств, к тому же это влечёт за собой значительные риски. Ещё одна группа серьёзных рисков, обусловленных человеческим фактором, связана с тем, что администратор виртуальной инфраструктуры получает очень широкие полномочия. Известны случаи, когда месть уволенного администратора приводила к краху платформы и потере данных.

"По нашим наблюдениям, многие проблемы являлись следствием неоправданной экономии на элементах ИТ-инфраструктуры или операционных расходах, включая привлечение компетентных специалистов, их мотивацию и зарплату, — добавляет Грачёв. — Экономить можно, только очень хорошо ориентируясь в предмете, понимая возможные последствия и ответственно принимая риски".

Сергеев также отмечает ситуации, когда при достаточной плотности размещения виртуальных машин не используются функции безопасности, предоставляемые платформой виртуализации, которая обычно позволяет применять механизмы защиты оптимальным способом на уровне гипервизора. Ещё одна ошибка в том, что под защитой частного облака в некоторых случаях специалисты подразумевают лишь защиту слоя виртуализации, при этом совсем не рассматриваются вопросы безопасности уровней оркестрации, портала доступа конечных пользователей услуги и администраторов.

Алексей Сабанов, заместитель генерального директора компании "Аладдин Р.Д.", выделяет ещё несколько часто встречающихся серьёзных ошибок. Так, известные и хорошо исследованные уязвимости позволяют злоумышленникам проникнуть к информационным ресурсам посредством удалённого доступа по паролям. Исправить ситуацию можно, обеспечив переход на доменную структуру и управление доступом (в том числе удалённым) только с применением цифровых сертификатов доступа. Другая ошибка — размещение баз данных (в том числе персональных данных) на виртуальных серверах в незащищённом виде. Уменьшить на порядок возникающие в этом случае риски можно путём шифрования критически важных колонок баз данных и предоставления доступа к этим данным только по сертификатам с управлением криптоключами внутри защищённого периметра. Наконец, нередки проблемы совместимости используемых средств защиты с системным и прикладным программным обеспечением.

По наблюдениям Сабанова, если в организации налажен процесс управления рисками, то ошибки выявляются на ранних стадиях и фатальных последствий удаётся избежать: "Проблема в том, что для некоторых процессов менеджмент рисков пока не развит. Например, мало кто умеет оценивать риски идентификации и аутентификации".

Итак, виртуальную и облачную инфраструктуру можно сделать гораздо более безопасными, если практически одновременно с началом проектирования этой инфраструктуры начать управление рисками, которые появятся. В противном случае её безопасность получится неорганичной и ненадёжной — рассчитывать на эффективную защиту данных и приложений в виртуальной среде будет сложно.

Внедряя компенсационные меры по противодействию рискам ИБ, необходимо учитывать результаты оценки рисков ИБ для компании. Если такая оценка не проводилась, то разумно сначала сосредоточиться на наименее трудоемких мерах. Используя профессиональный подход к внедрению компенсационных мер, можно достичь более высокого уровня конфиденциальности, целостности и доступности информационных систем, чем применяя классический подход при использовании раздельных аппаратных сред.

Традиционная практика и виртуальные среды

Виртуализация инфраструктуры, несомненно, несёт дополнительные угрозы для безопасности компании, считает Кирилл Карманов, руководитель департамента ИТ компании "Сосьете Женераль Страхование Жизни". Он уверен, что традиционные стратегии и практики информационной безопасности не могут в полной мере минимизировать возникающие риски. Тем не менее он советует удостовериться в том, что по крайней мере основы ИБ в компании выстроены, и в дальнейшем учесть специфику виртуализации и частных облаков (см. табл. 1). Если в компании есть и реально работают все базовые элементы ИБ, то уровень защищённости виртуальной инфраструктуры можно считать близким к достаточному.

Табл. 1. Базовые элементы ИБ в привязке к особенностям виртуализации

Необходимо также оценить, какие существенные отличия добавляет виртуализация по сравнению с классическим подходом к обеспечению ИБ, и изучить наиболее очевидные методики компенсации этих рисков (см. табл. 2). Комбинация проверенных и специфичных для виртуализации методов позволяет эффективно защитить такого рода информационные системы.

Табл. 2. Особенности ИБ в виртуализованной среде и способы компенсации рисков

Внедряя компенсационные меры по противодействию рискам ИБ, необходимо учитывать результаты оценки рисков ИБ для компании. Если такая оценка не проводилась, то разумно сначала сосредоточиться на наименее трудоёмких мерах. Используя профессиональный подход к внедрению компенсационных мер, можно достичь более высокого уровня конфиденциальности, целостности и доступности информационных систем, чем применяя классический подход при использовании раздельных аппаратных сред.