1. QISQA SHARHI
Qisqa vaqt ichida virtualizatsiya IT va tarmoqlarga katta ta’sir ko’rsatdi va allaqachon ma’lumotlar markazlari, korxonalar va bulut uchun katta xarajatlarni tejash va ROIni taqdim etdi. Haqiqatdan ancha ortda qolgan va ahamiyatsiz bo’lib tuyuladigan narsa bu xavfsizlik nuqtai nazaridan virtualizatsiya va virtuallashtirilgan muhitlarni tushunishdir. Ba’zi odamlar virtualizatsiya an’anaviy muhitlarga qaraganda xavfsizroq deb hisoblashadi, chunki ular virtual mashinalar (VM) o’rtasidagi izolyatsiya haqida eshitganlar va ilgari hipervisorlarga muvaffaqiyatli hujumlar haqida eshitmaganlar. Boshqalar, yangi virtual muhitlar an’anaviy jismoniy muhitlar kabi xavfsizlikka muhtoj, deb hisoblashadi, shuning uchun ular xavfsizlikka bir xil ko’p yillik yondashuvni qo’llaydilar. Eng muhim omil shundaki, yangi muhit yanada murakkab. Mavjud tarmoqlarga qo’shilgan virtual yondashuvlar xavfsizlikka boshqacha yondashuvni talab qiladigan yangi tarmoqni yaratadi. Odatiy chora-tadbirlardan tashqari, virtualizatsiya uchun maxsus xavfsizlik choralari ham qo’llanilishi kerak. Ushbu maqolada biz virtualizatsiyadan foydalanish natijasida yuzaga keladigan farqlar, muammolar, qiyinchiliklar, xavflarni ko’rib chiqamiz, shuningdek virtualizatsiya qo’llanilgandan keyin tarmoq xavfsiz bo’lib qolishiga ishonch hosil qilish uchun amaliy tavsiyalar va amaliy maslahatlar beramiz.
2. KIRISH
Virtualizatsiya rivojlanmoqda va bu erda uzoq vaqt qolishni rejalashtirmoqda. Uning kontseptsiyasi ellik yildan ortiq vaqtdan beri ma’lum bo’lsa-da, bu texnologiya hamma joyda mavjud bo’lgan va o’zini yanada rivojlantirishni rejalashtirgan sohalarda o’sishda va takomillashishda davom etadi. Bundan tashqari, bugungi kunda barcha serverlarning yarmi Virtual Mashinalarda ishlaydi. IDC prognozlariga ko’ra, 2014 yilga kelib barcha ish yuklarining 70 foizi VMlarda ham ishlaydi. Keng tarqalgan foydalanish tufayli texnologik taraqqiyot bilan hamqadam bo’lishi kerak bo’lgan narsa virtualizatsiya komponentlari va virtual muhitlarning xavfsizligidir. Keling, virtualizatsiyadan foydalanishning ba’zi xavfsizlik afzalliklarini ko’rib chiqaylik.
3. VIRTUALLASHTIRISHNING XAVFSIZLIK FOYDALARI
Quyida virtualizatsiyadan foydalanishning xavfsizlik afzalliklaridan ba’zilari keltirilgan:
Virtuallashtirilgan muhitda markazlashtirilgan ma’lumotlarni saqlash qurilma yo’qolgan, o’g’irlangan yoki buzilgan taqdirda muhim ma’lumotlarning yo’qolishining oldini oladi.
VM va ilovalar xavfsiz tarzda izolyatsiya qilinganida, har bir OS uchun faqat bitta dastur hujumga ta’sir qiladi.
To’g’ri sozlanganda, virtual muhit tizimdagi muhim ma’lumotlarga kirish huquqini bermasdan tizimni almashish uchun moslashuvchanlikni ta’minlaydi.
Agar VM infektsiyalangan bo’lsa, u hujumdan oldin mavjud bo’lgan «himoyalangan» holatga qaytarilishi mumkin.
Virtualizatsiya bilan birga keladigan apparatning qisqarishi jismoniy xavfsizlikni yaxshilaydi, chunki kamroq qurilmalar va natijada kamroq ma’lumotlar markazlari mavjud.
Atrof-muhitni yaxshiroq boshqarish uchun ish stoli virtualizatsiyasini yaratishingiz mumkin. Administrator foydalanuvchilarning kompyuterlariga yo’naltirilishi mumkin bo’lgan «oltin tasvir» (VM uchun shablon) yaratishi va boshqarishi mumkin. Ushbu texnologiya OTni tashkiliy talablarga hamda xavfsizlik siyosatiga muvofiqligini taʼminlash uchun uni yaxshiroq boshqarish imkonini beradi.
Serverni virtualizatsiya qilish hodisalarni yaxshiroq boshqarishga olib kelishi mumkin, chunki hujumdan oldin va hujum paytida nima sodir bo’lganligini tahlil qilish uchun serverlar avvalgi holatga qaytarilishi mumkin.
Tizim va tarmoq boshqaruviga kirishni boshqarish, shuningdek, vazifalarni ajratish turli odamlarni tayinlash orqali yaxshilanishi mumkin: kimdir tarmoq ichidagi VMlarni boshqaradi, boshqalari esa faqat DMZdagi VMlar bilan shug’ullanadi. Shuningdek, siz Windows serverlari uchun mas’ul bo’lgan administratorlarni va Linux serverlari uchun boshqa ma’murlarni belgilashingiz mumkin.
Gipervisor dasturining o’zi past funksional va etarlicha murakkab emas – u gipervisorning o’ziga potentsial hujum uchun juda kam imkoniyat beradi. Potentsial hujum uchun maydon qanchalik kichik bo’lsa va funksionallik qanchalik kam bo’lsa, potentsial zaifliklar shunchalik kam bo’ladi.
Virtual kalitlar (vswitches) stansiyalararo hujumlar uchun zarur bo’lgan dinamik ulanishni amalga oshirmaydi. Ular, shuningdek, ikki marta e’lon qilingan paketlarni o’tkazib yuboradilar, shuning uchun bunday hujumlar samarasiz. Virtual kalitlar, shuningdek, paketlarning o’z translyatsiya domenini tark etishiga yo’l qo’ymaydi va shu bilan paketlarni boshqa VLAN domenlariga yo’naltirish imkonini beruvchi kalitning haddan tashqari yuklanishiga tayanadigan qo’pol kuch hujumlarini inkor etadi.
E’tibor bering, men «agar to’g’ri tuzilgan yoki o’rnatilgan bo’lsa» iborasi yordamida ijobiy tomonlarini ko’rsatdim. Virtualizatsiya – bu yuqoridagi imtiyozlarni kafolatlash uchun to’g’ri ta’minlanishi kerak bo’lgan juda murakkab jarayon.
4.VIRTUALIZTAN FOYDALANISHDA XAVFSIZLIK MASALALARI VA XAVFLAR
Virtualizatsiyaning afzalliklarini ko‘rganimizdan so‘ng, keling, ba’zi qiyinchiliklar va xavflarni ko‘rib chiqamiz.
4.1 Xostlar va mehmonlar o’rtasida fayllarni almashish
Fayl almashish holatida, buzilgan mehmon fayl tizimi tuguniga kirishi va ma’lumot almashish uchun ishlatiladigan kataloglarni o’zgartirishi mumkin.
Mehmon va xost tomonidan almashish va sudrab tashlash funksiyalaridan foydalanilganda yoki dasturlash uchun API ishlatilsa, bu sohalardagi jiddiy xatolar butun infratuzilmani buzishi mumkin.
4.2 Suratlar
Asl surat sozlamalariga qaytsangiz, konfiguratsiyadagi barcha o’zgarishlar yo’qoladi. Agar siz xavfsizlik siyosatini o’zgartirgan bo’lsangiz, endi siz ba’zi funktsiyalarga kirishingiz mumkin. Audit jurnallari ham yo’qolishi mumkin, bu esa serverga kiritgan o’zgarishlarni yozib olishning oldini oladi. Bunday baxtsiz natijalar rioya qilishni qiyinlashtirishi mumkin.
Tasvirlar va suratlar shaxsiy ma’lumotlar va parollar kabi nozik ma’lumotlarni o’z ichiga oladi, chunki bu ma’lumotlar jismoniy qattiq diskda saqlanadi. Har qanday keraksiz yoki qo’shimcha tasvirlar haqiqatan ham muammolarni keltirib chiqarishi mumkin. Zararli dastur bilan saqlangan barcha suratlar kelajakda qayta yuklanishi va halokatga olib kelishi mumkin.
4.3Tarmoq xotirasi
Fiber Channel va iSCSI aniq matnli protokollar bo‘lib, ular o‘rtadagi odam hujumlariga (internet hujumining bir turi bo‘lib, bunda tajovuzkor aloqa kanalini tutib, uzatiladigan ma’lumotlarga to‘liq kirish huquqini qo‘lga kiritadi). Sniffing vositalari saqlash tizimi ma’lumotlarini o’qish yoki yozish uchun ishlatilishi mumkin va bundan kelajakda tajovuzkorning qulayligi uchun qayta tiklash uchun foydalanish mumkin.
Qoida tariqasida, optik tolali aloqaning ishlashi va uning xavfsizligi o’rtasida kelishuv mavjud. Tolali kanalni amalga oshirishda ishlatiladigan xost avtobus adapterlarida shifrlashdan foydalanish mumkin, lekin ko’p hollarda bu salbiy ishlash tufayli ishlatilmaydi.
4.4. Gipervisor
Agar gipervisor xavf ostida bo’lsa, unga ulangan barcha VMlar ham xavf ostida bo’ladi va gipervisorning standart konfiguratsiyasi har doim ham eng ishonchli bo’lavermaydi.
Gipervisor hamma narsani boshqaradi va virtual muhitda bitta nosozlik nuqtasini ta’minlaydi. Har qanday buzilish butun virtual muhitni xavf ostiga qo’yishi mumkin.
Yalang’och metall gipervisorlar odatda o’rnatilgan kirish boshqaruviga ega, ammo host virtualizatsiyasi (gipervisor serverning jismoniy operatsion tizimiga joylashtirilgan) yo’q. Xost virtualizatsiyasi OS mavjudligi sababli tizimni katta tahdidlarga duchor qiladi.
Administrator gipervisorda hamma narsani qila oladi (uning «barcha eshiklar kalitlari» bor). Gipervizordagi harakatlar odatda parol bilan himoyalangan, ammo parolni boshqa administrator bilan osongina bo’lishish mumkin. Shunday qilib, ma’murlardan qaysi biri ma’lum bir harakatni amalga oshirganini hech qachon bilib olmaysiz.
Gipervisorlar VM larning bir-biri bilan aloqa qilishiga imkon beradi va bunday shovqin hatto jismoniy tarmoqqa ham bormaydi. Bu virtual mashinalar uchun shaxsiy tarmoq kabi ishlaydi. Siz har doim ham bunday trafikni ko’ra olmaysiz, chunki u gipervisor tomonidan amalga oshiriladi va siz bilmagan narsani himoya qila olmaysiz!
4.5Virtual mashinalar
Virtual mashinalar uzoq kompyuterga yoki portativ xotira qurilmasiga osongina ko’chirilishi uchun etarlicha kichikdir. VMdagi ma’lumotlarning yo’qolishi ma’lumotlar markaziga kirish, jismoniy xavfsizlikni chetlab o’tish va jismoniy serverni o’g’irlash bilan teng bo’ladi.
Foydalanuvchi tomonidan o’rnatilgan virtual mashinalar har doim ham tashkilotning xavfsizlik siyosatiga mos kelmaydi va hech qanday xavfsizlik dasturi o’rnatilmasligi mumkin. Mahsulotlar va oʻyinlarning sinov versiyalari hozirda oʻyinchilar tomonidan VM-larda bepul foydalanish uchun taklif etilmoqda – ular oʻrnatilgan va bunday VMlar mumkin boʻlgan zaifliklarga ega korporativ tarmoqning bir qismiga aylanishi mumkin.
Yangi yaratilgan VMlarda odatda ochiq portlar va ko’plab protokollar mavjud.
Har safar VM yaratilganda, himoyalanishi, yamalanishi, yangilanishi va saqlanishi kerak bo’lgan boshqa OT qo’shiladi. Muammoli qo’shimcha OS umumiy xavfni oshirishi mumkin.
Faol bo’lmagan VM yoki endi ishlatilmaydigan VM hali ham hisobga olish ma’lumotlari va konfiguratsiya ma’lumotlari kabi muhim ma’lumotlarni o’z ichiga olishi mumkin.
VM va xost o‘rtasida ma’lumotlarni almashish imkonini beruvchi har qanday almashish buferi funksiyasi zararli dasturlarning kirish nuqtasiga aylanishi mumkin, keyinchalik u virtual mashinalarga o‘tkaziladi.
Izolyatsiya qilinmagan virtual mashinalar xost resurslariga to’liq kirishlari mumkin. VMning har qanday buzilishi barcha resurslarni buzishga olib kelishi mumkin.
Virtual mashinalar foydalanuvchilar tomonidan tashkilotning IT bo’limiga xabar bermasdan yaratilishi mumkin. Agar ushbu virtual mashinalar sezilmasa, ular himoyalanmaydi.
VM ni yuqtirish ma’lumotlarni saqlashni yuqtirishga olib kelishi mumkin va boshqa virtual mashinalar bir xil xotiralardan foydalanishi mumkin.
Virtual mashinalar juda tez o’sishi mumkin va bu xavfsizlik tarangligiga olib kelishi mumkin. Agar ular samarali avtomatlashtirilmasa, yangilanishlar, yamoqlar va boshqalarni o’rnatish tufayli administratorning yuki ortadi.
Infektsiyalangan virtual mashinalar paydo bo’lishi, boshqa VM larni yuqtirishi va keyin ular sezilmasdan yo’qolishi mumkin.
4.6 Majburiyatlarni ajratish va administratorga kirish huquqlari
An’anaviy jismoniy tarmoqlarda server ma’murlari serverlarni boshqaradi, tarmoq ma’murlari esa tarmoqlarni boshqaradi. Xavfsizlik xodimlari odatda ikkala ma’mur guruhi bilan hamkorlik qiladilar. Virtual muhitda server va tarmoq boshqaruvi yagona boshqaruv konsolida amalga oshirilishi mumkin va bu vazifalarni samarali ajratish uchun yangi muammolarni keltirib chiqaradi.
Odatiy bo’lib, ko’plab virtualizatsiya tizimlari barcha virtual infratuzilma faoliyatiga to’liq kirish imkonini beradi. Ushbu standart sozlamalar har doim ham o’zgarmaydi va administratorga kirishni buzish virtual infratuzilma ustidan to’liq nazoratni ta’minlashi mumkin.
4.7 Vaqtni sinxronlashtirish
Virtual mashina soati siljishi mumkin va oddiy soat siljishi bilan birlashganda, vazifalar juda erta yoki juda kech bajarilishi mumkin, bu esa chalkash jurnallarga va ma’lumotlarning aniqligini yo’qotishiga olib kelishi mumkin. Vaqtni noto’g’ri kuzatish kelajakdagi tekshiruvlar uchun etarli ma’lumot bermaydi.
4.8 VLANlar
VLAN-dan foydalanish VM trafigini, masalan, xostdan xavfsizlik devoriga yo’naltirishni talab qiladi. Bu kechikishlar va murakkab tarmoq dizayniga olib kelishi mumkin, bu esa keyinchalik ishlash muammolarini keltirib chiqaradi.
VM ichidagi aloqa xavfsiz emas va VLAN-da tekshirilmaydi. Bundan tashqari, agar bir xil VLAN-da bir nechta VM mavjud bo’lsa, zararli dasturlarning bir virtual mashinadan ikkinchisiga tarqalishini to’xtatib bo’lmaydi.
4.9 Bo’limlar
Bir xil xostda bir nechta virtual mashinalar ishlayotgan bo’lsa, ular bir-biridan ajratilgan va bitta VM boshqasiga hujum qilish uchun ishlatilmaydi, deb ishoniladi. Texnik jihatdan, VMni qismlarga ajratish mumkin, ammo VM bo’limlari xotira, protsessor va tarmoqli kengligi resurslarini baham ko’radi. Agar ma’lum bir bo’lim yuqoridagi manbalardan birini juda ko’p iste’mol qilsa, masalan, virus tufayli, boshqa bo’limlarda DoS xatolar paydo bo’lishi mumkin.
4.10 Boshqa savollar
Ba’zida xavfsizlik xavfsizlik xodimlarining boshlig’ida yoki nazorat varaqlarida saqlanadi. Agar ushbu yondashuv tashkilotda keng tarqalgan bo’lsa, u holda VM larni yaratish, ko’chirish va hokazolar tezligi tufayli virtualizatsiya xavfsizligini ta’minlash qiyin bo’ladi.
Virtualizatsiya asosan dasturiy ta’minotga asoslangan va bu tajovuzkorlar tomonidan ishlatilishi mumkin bo’lgan ko’proq dasturiy zaifliklarni ta’minlaydi.
Virtual disklar odatda xostda himoyalanmagan fayllar sifatida saqlanadi va ularga kirish juda oson – buzg’unchilik talab etilmaydi.
Ishonch darajasi turlicha bo’lgan ish yuklari bir xil server yoki vswitchga joylashtirilishi mumkin va bu ish yuklari eng kam xavfsiz ish yuki kabi xavfsiz bo’ladi. Agar serverda maxfiy ma’lumotlar mavjud bo’lsa, u xavfsiz bo’lmasligi mumkin.
Yuqorida tavsiflangan ko’plab muammolarga qaramay, virtualizatsiya o’z-o’zidan xavfli deb hisoblanmasligi kerak – barchasi tarqatish va qo’llaniladigan xavfsizlik choralariga bog’liq. Zaif xavfsizlik siyosati, shuningdek, o’qitishning etishmasligi muammolar va zaifliklarning yanada muhim sababiga aylanishi mumkin, bu esa o’z navbatida katta xavfga olib keladi. Endi virtualizatsiya bilan bog’liq xavfsizlik muammolari haqida bilganimizdan so’ng, umumiy hujumlarni ko’rib chiqish vaqti keldi.
5.TIPIK XUJUMLAR
Quyida virtualizatsiya uchun xos bo’lgan hujumlarning ayrim turlari keltirilgan:
5.1 Xizmatni rad etish (DoS)
Muvaffaqiyatli DoS hujumi gipervisorni o’chirishga olib kelishi mumkin. Bu gipervisorni chetlab o’tib, VMga kirish uchun bo’shliq qo’shish imkoniyatiga olib kelishi mumkin.
5.2 VMlar orasidagi nazoratsiz harakat
Agar gipervisorda xavfsizlik teshigi paydo bo’lsa va topilsa, VMga kirgan foydalanuvchi boshqa VM ga o’tishi va unda saqlangan ma’lumotlarga kirishi mumkin.
5.3 Xost trafigini ushlash
Gipervizordagi zaifliklar tizim qo’ng’iroqlarini, paging fayllarini kuzatish, xotira va disk faoliyatini kuzatish imkonini beradi.
6. Jismoniy XAVFSIZLIKGA AN’anaviy YUNDASHLARNI VIRTUALLASHTIRISHGA QO’LLASH
Virtualizatsiya bilan duch kelishi mumkin bo’lgan ko’plab muammolar va hujumlarni mavjud odamlar, jarayonlar va texnologiyalardan foydalanish orqali hal qilish mumkin. Ammo mavjud echimlar yordamida himoyalanib bo’lmaydigan narsa gipervisorlar, boshqaruv tizimlari va virtual kalitlardan iborat virtual matritsalardir. Quyida virtualizatsiyaning an’anaviy yondashuvlari va ular bilan bog’liq kamchiliklari keltirilgan:
6.1Faervollar
Ba’zi IT guruhlari VMlar orasidagi trafikni standart xavfsizlik devorlariga yuboradi, ular trafikni tekshiradi va uni virtual mashinalarga qaytaradi. An’anaviy xavfsizlik devorlari virtualizatsiyadan oldin yaratilgan va ma’lumotlar markazlari va korxonalarda o’rnatilgan va shuning uchun ular virtual infratuzilma va tegishli boshqaruv tizimlarini hisobga olgan holda ishlab chiqilmagan. Bu qo’lda o’rnatish va boshqaruvga olib kelishi mumkin, bu esa keyinchalik xatolarga olib kelishi mumkin. Standart xavfsizlik devorlari ham VMni ko’chirishda tegishli xavfsizlikni ta’minlamaydi.
6.2 Tarmoqqa asoslangan tajovuzni aniqlash/buzilishning oldini olish tizimlari
Xostda bir nechta virtual mashinalar mavjud bo’lganda, bu qurilmalar ishlamaydi. Bu, asosan, IDS / IPS tizimlari virtual mashinalar orasidagi trafikni nazorat qila olmasligi bilan bog’liq. Bundan tashqari, ular ilovalarni uzatishda hech qanday ma’lumotga kira olmaydi.
6.3 Har bir xost uchun VMlar sonini cheklash/Jismoniy NIC-larga tayinlash
Ushbu yondashuv nafaqat xostdagi virtual mashinalar sonini cheklaydi, balki har bir virtual mashinaga jismoniy tarmoq adapterini ham belgilaydi. Bu xavfsiz yondashuv bo’lishi mumkin va yaxshi xavfsizlik niyatlariga ega bo’lsa-da, bu kompaniyaga virtualizatsiya texnologiyasidan to’liq foyda va ROI olish imkonini bermaydi.
6.4 VLANlar
VLAN-lar virtualizatsiya qilinmagan muhitda yoki yaxshi virtualizatsiya darajasiga ega muhitlarda keng qo’llaniladi. Bu erda muammo shundaki, VLAN soni ortib borishi bilan boshqaruv jadvallariga kirish bilan bog’liq murakkabliklarni boshqarish, shuningdek, atrof-muhitning virtual bo’lmagan va virtual tomonlari o’rtasidagi tarmoq xavfsizligi siyosatining muvofiqligi masalalarini boshqarish tobora qiyinlashib bormoqda.
6.5 Agentga asoslangan antivirus yondashuvlari
Bu har bir VMga antivirus dasturining to’liq nusxasini yuklab olishni talab qiladi. Ushbu yondashuv yaxshi himoyani ta’minlashi mumkin, ammo atrof-muhitdagi barcha virtual mashinalar uchun antivirus dasturining barcha nusxalari uchun katta xarajatlarga olib keladi. Ushbu to’liq xususiyatli dasturiy ta’minot xotira, saqlash va protsessor faoliyatiga ham salbiy ta’sir ko’rsatishi mumkin, chunki u apparatdan foydalanishni oshiradi va shuning uchun unumdorlikning pasayishiga olib keladi.
Yuqorida aytib o’tilgan an’anaviy xavfsizlik modelidan foydalanishning kamchiliklariga qaramay, respondentlarning 60% virtual muhitni himoya qilish va himoya qilish uchun an’anaviy echimlardan foydalanishlarini ta’kidladilar. Virtual muhit dinamik va tez o’zgarib turadi. An’anaviy yondashuvlar uchun hamma narsani engish, o’z-o’zidan to’g’ri harakat qilish va o’zgartirish qiyin bo’ladi. Yana bir yondashuv – virtualizatsiya bo’yicha quyidagi maslahatlar va fokuslarni ko’rib chiqishda joriy xavfsizlik yondashuvining yaxshi tomonlarini saqlab qolishdir.
