10 mối đe dọa về bảo mật trên máy chủ ảo potx

Một số nhà nghiên cứu bảo mật đang cường điệu hóa những rủi ro mang tính lý thuyết như vấn đề khẩn cấp malware có thể nhắm vào các chương trình điều khiển máy tính ảo một mối đe dọa vẫn

10 mối đe dọa về bảo mật trên máy chủ ảo

Các lỗ hổng của chương trình điều khiển máy ảo (Hypervisor), lừa đảo máy ảo, lưu lượng mạng ngày càng tồi Những rủi ro về công nghệ ảo hóa lớn nhất hiện nay là gì và cách đối phó với chúng như thế nào? Đây chính là lúc mà chúng ta phải tách rời cơ sở lập luận (thực tế) từ những

hư cấu và bắt tay vào làm việc cụ thể đối với vấn đề này

Năm 2007, một câu hỏi lớn nhất về vấn đề ảo hóa trong các trung tâm dữ liệu

được đặt ra đó là “Cần phải tốn bao nhiêu tiền và bao nhiêu thời gian để bảo

vệ chúng ta trong vấn đề này?” Năm 2008, câu hỏi lớn sẽ là “Chúng ta sẽ được an toàn như thế nào?” Đó là một câu hỏi rất khó để có thể trả lời Hãy

xoay quanh các hãng và cố vấn trong lĩnh vực này Một số nhà nghiên cứu bảo mật đang cường điệu hóa những rủi ro mang tính lý thuyết như vấn đề khẩn cấp malware có thể nhắm vào các chương trình điều khiển máy tính ảo

(một mối đe dọa vẫn chưa xuất hiện trong thế giới thực) “Có rất nhiều bàn tán xung quan vấn đề ảo hóa này và nó có thể đang làm cho chúng ta rối trí”,

Chris Wolf, một nhà phân tích cho công ty nghiên cứu thị trường Burton Group đã nói như vậy

Như đổ thêm dầu vào lửa trong việc cường điệu hóa sự thật này, nhiều tổ

chức CNTT nói rằng họ đã ưu tiên tốc độ vận hành hơn cả các hệ số khác, trong đó có việc lên kế hoạch bảo mật, khi họ bắt đầu việc tạo hàng trăm máy

ảo (VM) trong năm 2007 (Điều đó hoàn toàn không có gì ngạc nhiên, khi bạn cho rằng hầu hết các doanh nghiệp đã bắt đầu với vấn đề ảo hóa trên các máy tính phát triển ứng dụng và sự kiểm thử của họ, không cho các máy chủ đang chạy trong các ứng dụng cốt yếu)

“Chúng tôi cho rằng vấn đề bảo mật sẽ là một vấn đề không thể bỏ sót trong công nghệ ảo hóa Thật là điên rồ khi bạn nghĩ về con số các máy tính ảo mức sản xuất”, Stephen Elliott, giám đốc nghiên cứu về phần mềm quản lý

các hệ thống doanh nghiệp của IDC đã nói như vậy Cũng theo số liệu của IDC cung cấp, có tới 75% công ty với khoảng hơn 1.000 nhân viên đang triển khai công nghệ ảo hóa ngày nay

“Và tính đến năm 2009, khoảng 60% các máy tính ảo tham gia hoạt động sản xuất sẽ kém an toàn hơn so với các máy tính vật lý”, Gartner, phó chủ tịch

Neil MacDonald đã dự đoán trong một phát biểu của ông vào tháng 10/2007 Tuy nhiên nhiều thảo luận về vấn đề bảo mật công nghệ ảo này hiện cho thấy

có nhiều thiếu sót, chuyên gia bảo mật Chris Hoff đã nói vậy, ông cũng giải

thích thêm bởi vì mọi người thường dựng lên một thảo luận bằng cách hỏi xem các máy chủ ảo sẽ an toàn hơn hoặc kém an toàn hơn những máy chủ vật

lý

Đó hoàn toàn là một câu hỏi sai lầm, Hoff nói vậy, các blog của ông thường

nêu chủ đề Câu hỏi đúng đối với thời điểm hiện nay cần nêu ra là “Bạn có đang áp dụng những gì đã biết về bảo mật đối với môi trường ảo hóa của bạn không?”

“Mọi người thường hay sa đà vào những vấn đề lý thuyết… khi thực tế có một

xu hướng rõ ràng những thứ có thể thực hiện ngày nay” Hoff nói thêm Rõ

ràng, sự ảo hóa có dẫn đến một số vấn đề bảo mật mới, nhưng những thứ đầu

tiên đó là “Chúng ta phải thực tế Hãy bảo đảm rằng chúng ta phải xây dựng được các mạng ảo cũng như những gì chúng ta đã làm được với mạng vật lý”

Trong một ví dụ, ông ta chỉ ra một công cụ quản lý ảo hóa như VMotion của

Vmware, đây là một công cụ rất hữu dụng cho việc chuyển các máy ảo một cách kịp thời khi gặp vấn đề, và cũng có thể cho phép ai đó với các quyền

quản trị viên có thể phối hợp hai hay nhiều máy ảo đó mà trong thế giới vật

lý, sẽ phải phân tách một cách thận trọng dưới dạng lưu lượng mạng cho những lý do về bảo mật

Một số tổ chức CNTT đang gặp phải một vấn đề lỗi mang tính căn bản hiện nay Họ đang cho phép nhóm máy chủ chạy những nỗ lực ảo một chiều mà không đoái hoài gì đến vấn đề bảo mật, lưu trữ và kết nối mạng của đội

CNTT Điều này có thể gây ra rất nhiều vấn đề về bảo mật mà sẽ không có gì

để làm với sự yếu kém cố hữu của công nghệ ảo hóa và các sản phẩm “Đây

là một cơ hội hoàn hảo để đưa vào các nhóm hỗ trợ cùng với nó”, Hoff nói

“Để bắt kịp, bắt đầu với một kiến thức tốt về cơ sở hạ tầng ảo hóa bằng sử dụng các công cụ hoặc các cố vấn, sau đó bạn phải làm việc quay trở về các vấn đề trước đó”, Wolf đã nói như vậy

Dưới đây là 10 bước quan trọng các doanh nghiệp có thể nắm lấy, tham khảo

để thắt chặt vấn đề bảo mật công nghệ ảo hóa:

1 Kiểm soát các vấn đề tràn lan đối với máy ảo

Các CIO như Michael Abbene, người hiện đang điều hành CNTT cho Arch Coal, có một sự hiểu biết về vấn đề tràn lan các máy ảo một cách đầy đủ: Việc tạo các máy ảo thực sự chỉ mất đến vài phút Chúng thật tuyệt vời trong việc tách các công việc tính toán nào đó Tuy nhiên càng nhiều máy tính ảo thì sự rủi ro của bạn cũng càng tăng theo Và một vấn đề đối với bạn lúc này

là phải kiểm soát được tất cả các máy ảo đó “Chúng tôi đã bắt đầu bằng việc

ảo hóa những bài test với những vấn đề không mấy quan trọng ‘low-profile’, sau đó chuyển sang một số máy chủ ứng dụng low-profile Tiếp đến chúng tôi

đã chuyển sang một cách thành công và chúng tôi cũng hiểu làm như vậy rất

có thể ra tăng vấnđề rủi ro với trong những việc này”, Abbene đã nói như

vậy Công ty hiện có khoảng 45 máy ảo tham gia sản xuất, ông ta nhấn mạnh thêm rằng còn có cả các máy chủ Active Directory và một số máy chủ ứng dụng, máy chủ web

Vậy làm cách nào bạn có thể kiểm soát được vấn đề này? Một phương pháp: Hãy tạo các máy chủ ảo tương tự như tạo các máy tương ứng vật lý như vậy

Tại Arch Coal, nhóm CNTT rất khắt khe trong vấn đề các máy ảo mới: “Mọi người phải thông thạo với quá trình như đối với máy chủ, dù nó là máy chủ vật lý hay máy ảo”, Tom Carter, quản trị viên của hệ thống Microsoft của

Arch Coal đã nói như vậy

Với mục đích này, CNTT của Arch Coal sử dụng một ban điều hành những thay đổi (lắp ghép từ các bộ phận tiêu biểu gồm các nhân viên CNTT có kiến thức về máy chủ, lưu trữ và các vấn đề cơ bản) để nói đồng ý hay không với những yêu cầu máy chủ ảo mới Điều đó có nghĩa rằng, những người này trong một nhóm các ứng dụng không thể vừa chỉ xây dựng máy chủ VMware

mà còn phải bắt tay vào tiến hành tạo các máy ảo Các công cụ quản lý

VirtualCenter của VMware cũng như các công cụ của Vizioncore cũng có thể

giúp quản lý vấn đề phức tạp của các máy ảo này

Bỏ qua sự tràn lan các máy ảo một cách liều lĩnh, Elliott của IDC đã nói: “Sự tràn lan các máy ảo là một vấn đề lớn, gây ra nhiều chậm chạm trong khả năng quản lý, duy trì hiệu suất và sự hiện diện” Ông ta cũng nói thêm:

“Những chi phí quản lý không mong đợi sẽ tăng nếu số lượng các máy ảo nằm ngoài tầm kiểm soát”

2 Áp dụng các quy trình đang tồn tại đối với các máy ảo

Có lẽ khía cạnh hấp dẫn nhất của sự ảo hóa chính là tốc độ của nó: Bạn có thể tạo chúng chỉ trong vòng vài phút, linh động trong vấn đề chuyển đổi, mang đến sức mạnh mới cho khía cạnh doanh nghiệp tính theo đơn vị ngày thay vì hàng tuần như trước đây Tuy nhiên hãy đầu tư suy nghĩ về phần ảo hóa trong các quy trình CNTT đang tồn tại trong hệ thống, khi đó bạn sẽ ngăn chặn được các vấn đề bảo mật đúng lúc Bạn cũng sẽ giảm được một số vấn đề gây đau đầu cho sau này

“Quy trình là một điều quan trọng Việc suy nghĩ về vấn đề ảo hóa không chỉ

về quan điểm công nghệ mà còn phải từ một quy trình cụ thể” Nếu bạn đang

sử dụng một ITIL để trợ giúp các quy trình CNTT, thì bạn cần phải nghĩ về

sự ảo hóa sẽ thích hợp như thế nào với kiến trúc tiến trình đó Nếu bạn đang

sử dụng các thao tác tốt nhất, hãy xem xét xem sự ảo hóa có hợp với các quy trình đó không

Một ví dụ: “Nếu bạn có một tài liệu để bổ sung thêm sự chắc chắn cho máy chủ (liệt kê một tập hợp các chuẩn bảo mật và các nguyên tắc cài đặt một máy chủ mới) thì bạn nên thực hiện theo các bước đó đối với một máy ảo như thực hiện đối với máy vật lý”, Hoff nói như vậy

Tại Arch Coal, nhóm CNTT của Abbene vừa mới tiến hành điều đó: “Chúng tôi dành những thao tác tốt nhất cho việc bảo mật đối với máy chủ vật lý và

áp dụng chúng cho mọi máy ảo Các bước được thực hiện giống như việc gia

cố hệ điều hành, chạy chương trình chống virus trên mỗi máy ảo và bảo đảm cho các bản vá lỗi, thực hiện các bước tương tự như các thủ tục được thực hiện trên các máy ảo”

3 Bắt đầu với những công cụ bảo mật đang tồn tại, nhưng cần thận

trọng

Liệu bạn có cần phải có một bộ bảo mật và các công cụ quản lý hoàn toàn mới cho môi trường ảo của mình? Câu trả lời ở đây là không Hãy bắt đầu với các công cụ bảo mật đang tồn tại của bạn cho các máy chủ vật lý và áp dụng chúng vào môi trường ảo một cách có ý thức, Hoff nói như vậy Nhưng cần phải thúc ép các hãng hướng dẫn bạn cách bắt kịp với những rủi ro bảo mật

ảo hóa, và cách họ tích hợp các sản phẩm khác sau này “Có một lỗi thuộc về

ý thức bảo mật liên quan đến việc chấp nhận các công cụ cho môi trường ảo”, Elliott của IDC nói, “Nó cần phải được tiến hành sớm trong vấn đề thị trường”, với các công cụ bảo mật mới được thiết kế cần phải chú ý đến vấn

đề ảo hóa Điều đó có nghĩa rằng bạn phải phát huy những gì đã có và khởi động những tiềm năng các hãng một cách mạng mẽ hơn thường lệ

“Đừng thừa nhận các công cụ mức nền tảng (như các công cụ VMware) đã

là đủ tốt đối với bạn”, Elliott nói, và hãy xem xét các yếu tố mới cũng như

các hãng quản lý đã có Thúc đẩy các hãng này mạnh hơn nữa và cung cấp sự hướng dẫn cho họ

Jim DiMarzio, một CIO tại Mazda Bắc Mỹ, tuân theo chiến lược này trong doanh nghiệp của anh ta DiMarzio nói rằng anh ta rất mong muốn có khoảng

150 máy ảo sản xuất phục vụ vào tháng 3 năm 2008 Hiện anh ta đang sử dụng máy chủ ảo cho các máy chủ Active Directory, máy chủ in ấn, máy chủ ứng dụng CRM và Web Server

Để bảo đảm các máy ảo này, DiMarzio đã quyết định tiếp tục với hệ thống tường lửa đang tồn tại và các sản phẩm bảo mật hiện có Tivoli Access

Manager của IBM, các công cụ tường lửa của Cisco và công cụ kiểm tra IDS của Symantec Tại Arch Coal, Abbene và nhóm của anh ta đang mắc kẹt với các công cụ bảo mật mà họ đang sử dụng, trong khi cũng đang đầu tư những

công cụ của BlueLane và Reflex Security “Bảo mật và những thay đổi của các hãng cần phải cố gắng bắt kịp và hiện chúng đang ở phía sau”, Abbene

nói

Sản phẩm VirtualShield của BlueLane cho Wmware, tuyên bố rằng nó có thể bảo vệ được các máy ảo thậm chí trong trường hợp nơi các bản vá lỗi nào đó chưa kịp thời được cập nhật, cũng như việc quét một cách tự động cho các vấn đề có thể, nâng cấp các lĩnh vực đang gặp vấn đề và bảo vệ chống lại

được một số mối đe dọa từ xa

Virtual Security Appliance (VSA) của Reflex Security, sản phẩm mà Hoff

mô tả cùng với phần mềm của BlueLane là một trong những sản phẩm đang nổi đáng quan tâm hiện nay, nó đã phục vụ thành công cho hệ thống phát hiện xâm phạm ảo (IDS), bổ sung một lớp các chính sách bảo mật bên trong thiết bị vật lý có các máy ảo Nó có thể khóa tấn công vào chương trình hệ thống cung cấp môi trường máy tính ảo cùng với các vấn đề khác trong tương lai, nhóm của abbene chỉ ra như vậy Abbene cũng nói nhóm CNTT của anh

ấy cũng đã thảo luận về việc bổ sung thêm một tường lửa bên trong thứ hai

để cách ly hơn nữa các máy ảo, nhưng anh ta lo lắng điều này có thể gây ảnh hưởng đến hiệu suất của các ứng dụng ảo

Elliott của IDC đã trích dẫn một vài công cụ bảo mật cho hệ thống ảo khác cũng đáng giá kiểm tra: PlateSpin, được biết đến với các công cụ chuyển đổi luồng tải vật lý - ảo và các công cụ quản lý luồng tải; Vizioncore, được biết đến với các công cụ backup mức file; Akorri, được biết đến với các công cụ cân bằng luồng tải và quản lý hiệu suất; và các hãng lưu trữ EqualLogic, gần đây bị mua lại bởi Dell và được biết đến với các sản phẩm iSCSI storage-area

network (SAN) được dùng để tối ưu cho máy ảo

4 Hiểu về giá trị của Hypervisor được nhúng

Có thể bạn đã được đọc về hypervisor đã nhúng, nhưng nếu chưa đọc thì đó sẽ là một lĩnh vực mà các lãnh đạo CNTT nên hiểu Lớp chương trình

hệ thống cung cấp môi trường máy tính ảo hypervisor trên một máy chủ phục vụ như một cơ sở cho việc bao bọc tổ chức các máy ảo ESX Server 3i hypervisor của VMware gần đây đã tuyên bố rằng

nó được thiết kế với kích thước rất nhỏ (32MB) cho các lý do bảo mật, duy nhất không có mục đích bảo mật hệ điều hành (Không hệ điều hành không

có nghĩa là không bảo trì hệ điều hành)

Một số hãng phần cứng như Dell và HP gần đây đã tuyên bố rằng họ sẽ phát hành các phiên bản có nhúng các chương trình hệ thống cung cấp môi trường máy tính ảo VMware này trên các máy chủ vật lý của họ Trong những vấn

đề cơ bản, một hypervisor được nhúng sẽ an toàn hơn vì nó nhỏ hơn, Elliott

của IDC nói vậy “Mã càng cồng kềnh bao nhiều thì khả năng bị thủng càng

lớn bấy nhiêu, điều này đã trở thành một phần trong quyết định kiến trúc của bạn”

Các hypervisor được nhúng sẽ là một xu hướng lớn hiện nay, Elliott nói, và bạn có thể thấy điều này từ hầu hết các hãng máy chủ cũng như một số công

ty chưa nhảy vào cuộc với lĩnh vực này trước đây Phoenix Technologies, một hãng đi đầu trong lĩnh vực phần mềm BIOS gần đây đã tuyên bố rằng hãng này sẽ nhảy vào cuộc chơi với hypervisor và bắt đầu bằng một sản

phẩm với tên gọi HyperCore: Nó là một hypervisor cho các máy tính bàn và laptop, sẽ cho phép người dùng có thể bật máy tính, sử dụng một trình duyệt Web cơ bản và client email mà không cần phải đợi khởi động Windows (HyperCore sẽ được nhúng bên trong BIOS)

Sự cạnh tranh và cách tân trong thị trường hypervisor sẽ là một điều tốt đối với các doanh nghiệp, Hoff nói Kết quả cuối cùng có thể cho ra các sản

phẩm với kích thước nhỏ và hiệu năng cao

Một bề mặt tấn công nhỏ không chỉ mang lại lợi ích cho một hypervisor được nhúng Nhóm CNTT của Mazda đang mong đợi sự xuất hiện của máy chủ

Dell có các chương trình hệ thống cung cấp môi trường máy tính ảo được nhúng VMware ESX server, Kai Sookwongse, giám đốc hệ thống CNTT,

LAN/Server cho DiMarzio tại Mazda đã nói như vậy “Một trong những tính năng mà chúng ta đang mong đợi đối với ESX được nhúng của Dell là tất cả các image máy ảo có thể nằm trên SAN”, Sookwongse nói “Khi chúng ta khởi động máy chủ, nó có thể khởi động từ image trên SAN, Sự quản lý tập trung này và sự bảo mật của nó cũng có nghĩa Mazda có thể đặt hàng một máy chủ mà không cần ổ nếu muốn, cho những mối liên quan bảo mật vật lý”

5 Không chỉ định vượt quyền hạn cho các máy ảo

Hãy nhớ rằng khi bạn trao quyền truy cập mức quản trị cho một máy ảo là khi đó đã trao truyền truy cập vào tất cả các dữ liệu trên máy ảo đó Hãy nghĩ một cách thận trọng về loại tài khoản gì và sự truy cập gì mà các nhân viên phụ trách các nhiệm vụ backup cần thiết, Wolf của Burton Group đã khuyên như vậy Thêm về vấn đề này, một số hãng thứ ba cung cấp những lời khuyên không còn tác dụng đến vấn đề bảo mật VM liên quan đến việc lưu trữ và các

vấn đề backup Wolf bổ sung thêm “Một số hãng thậm chí còn không tuân

theo các thực hành tốt nhất của VMware cho VMware Consolidated Backup của chính họ”

Các chuyên gia phát triển ứng dụng chỉ cần sự truy cập một cách tối thiểu

“Ứng dụng của chúng tôi, mọi người có thể truy cập và chia sẻ hoặc tối thiểu hóa sự truy cập…nhưng không truy cập vào hệ điều hành”, Carter nói như

vậy Điều này có thể giúp kiểm soát được máy ảo trong khi đó tăng được góc

độ bảo mật

6 Xem cách bạn lưu trữ dự phòng

Một số doanh nghiệp có hệ thống lưu trữ dự phòng trên SAN ngày nay, Wolf nói Nó là một điều không thể để thực hiện toàn bộ vấn đề lưu trữ quá nhiều, anh ta nói

Nếu bạn đang làm việc với VMotion, công cụ của VMware cho việc tạo linh động các máy ảo, bạn có thể gán một số lưu trữ khu vực trong SAN Tuy nhiên bạn lại muốn làm chỉ định lưu trữ đó trở lên cốt lõi hơn Hãy chờ đợi, N-port ID virtualization—một công nghệ cho phép CNTT có thể gán việc lưu