7.2 Средства защиты облачных систем

В настоящее время средства защиты в виртуальных средах можно условно подразделить на два класса

Первый класс - это средства защиты, которые ранее поставлялись только в виде готовых аппаратных решений, а теперь выпускаются в том числе и в виде виртуальных устройств. Подобные решения не привязаны к реализации защиты самой среды виртуализации и направлены в первую очередь на снижение расходов по эксплуатации средств защиты. Примеры таких решений – SSL VPN, антивирусы, решения по URL-фильтрации, инструменты управления средствами защиты. Преимущества таких решений - быстрая скорость развертывания и ввода в эксплуатацию, использование существующих аппаратных мощностей заказчика, экономия ресурсов (место в стойках, электропитание, кондиционирование).

Второй класс образуют средства, предназначенные для защиты непосредственно виртуальных машин и контроля коммуникаций в виртуальной среде (на уровне гипервизора). К ним относятся:

- межсетевые экраны (брандмауэры);

- средства обнаружения и предотвращения вторжений;

- средства контроля целостности;

- средства защиты от вредоносных программ, учитывающие виртуализацию;

- средства защиты от несанкционированного доступа;

- средства контроля политик безопасности в виртуальных инфраструктурах.

Основным преимуществом этих средств является специализация на защите виртуальных сред и коммуникаций в них. Среди производителей средств защиты для виртуальных сред можно отметить следующие компании: Trend Micro, Symantec, Checkpoint, StoneSoft, «Код Безопасности», Reflex Systems.

Правила межсетевых экранов. Концепция правил межсетевых экранов сильно отличается от концепции, принятой в традиционных центрах обработки данных.

Все виртуальные серверы находятся в сети на одном уровне, а управление трафиком осуществляется посредством определения групп безопасности. Нет ни сетевых сегментов, ни периметров. Членство в одной и той же группе безопасности не предоставляет привилегированного доступа к другим серверам, принадлежащим к той же группе безопасности. Правила, определенные для конкретного сервера, представляют собой объединение правил для всех групп, к которым этот сервер принадлежит.

Например, можно создать следующую конфигурацию [11]:

- создать пограничную группу безопасности, которая бы прослушивала весь трафик через порты 80 и 443;

- создать группу безопасности DMZ, которая бы прослушивала весь трафик, исходящий из пограничной группы, через порты 80 и 443;

- создать внутреннюю группу безопасности, которая бы прослушивала весь трафик, исходящий из группы DMZ, через порт 3306.

Как и в случае с традиционной защитой периметра, доступ к серверам, принадлежащим к внутренней группе безопасности, можно получить лишь тогда, когда предварительно будет скомпрометирована сначала пограничная группа, затем DMZ, и, наконец – одни из внутренних серверов.

Межсетевой экран, предназначенный для защиты виртуальных систем, содержит шаблоны для типовых корпоративных серверов, которые обеспечивают следующие возможности:

- изоляцию виртуальной машины внутри определенного сетевого сегмента;

- фильтрацию трафика;

- анализ протоколов семейства IP (TCP, UDP, ICMP и др.);

- поддержку всех типов сетевых фреймов (IP, ARP и др.);

- предотвращение атак типа «отказ в обслуживании»;

- внедрение политики безопасности;

- учет местоположения при применении политики безопасности, который обеспечивает «перенос» сервера из внутренней сети на облачные ресурсы, позволяя автоматически переключаться на оптимальные параметры для каждой среды.

Обнаружение и предотвращение вторжений (IDS/IPS). Сетевые системы обнаружения вторжений предназначены для того, чтобы предупредить о возможности атак до их начала и, в некоторых случаях, для отражения уже начавшихся атак. Данная подсистема обеспечивает экранирование уязвимостей ОС и приложений до момента, когда будут установлены «заплаты». Внедрение системы обнаружения и предотвращения вторжений в виде программного агента на виртуальных машинах позволяет экранировать уязвимости, обнаруженные в ОС и приложениях.

Контроль целостности. Контроль целостности ОС и приложений позволяет выявить опасные изменения, которые являются следствием компрометации системы хакером ми вредоносным кодом.

- проверку по запросу или расписанию;

- контроль свойств файлов, включая атрибуты;

- контроль на уровне каталогов;

- гранулированную настройку объектов контроля;

- составление отчетов для аудита.

Защита от вредоносных программ, учитывающая виртуализацию. Защита от вредоносных программ, учитывающая виртуализацию, использует специальные программные интерфейсы, которые предоставляет гипервизор, в частности VMsafe компании VMware. Защита включает сканирование виртуальных машин как целиком на уровне гипервизора, так и в реальном времени, что обеспечивается антивирусным агентом внутри каждой ВМ. Такой подход гарантирует, что виртуальная машина очищена, даже если была неактивна.

Внедрение непосредственно на виртуальной машине рубежа защиты, включающего в себя программную реализацию межсетевого экрана, обнаружения и предотвращения вторжений, контроля целостности, защиты от вредоносного кода и анализа журналов, является наиболее эффективным подходом к обеспечению целостности, соответствия требованиям регуляторов и соблюдения политики безопасности при перемещении виртуальных ресурсов из внутренней сети в облачные среды.