Този сайт използва бисквитки (cookies). Ако желаете можете да научите повече тук. Разбрах

Новини IT инфраструктура

Какво е защитена виртуална машина?

Виртуализацията може да изложи на риск данните и ключовете за шифроване на компаниите, защитените виртуални машини и Host Guardian Service на Microsoft ограничават рисковете

от , 13 ноември 2017 0 299 прочитания,

С всичките си предимства, тенденцията за повсеместна виртуализация доведе до много големи предизвикателства пред сигурността - тя създава единна цел за потенциална атака. Когато един хост, обслужващ 50 виртуални машини (VM), бъде атакуван, тогава имате истински проблем, защото, ако бъде компрометиран, това би означавало много сериозен пробив, след като в процеса на виртуализация една компания е превърнала цял куп сървъри и операционни системи в няколко файла, изключително лесни за кражба.


1


Това принуждава корпоративния свят постоянно да търси инструменти за защита срещу онлайн и офлайн атаки, които биха могли да компрометират цели VM стопанства.

Разбиране на проблема със сигурността при виртуализацията

Нека да формулираме проблема като набор от предизвикателства, които трябва да бъдат решени в името на сигурността, за да се смекчат заплахите, свързани с виртуализацията:

1. На всяка платформа един локален администратор може да направи всичко, което поиска, със системата. Всичко, което “гостът” може да направи като кодиране, за да се защити, може да бъде отменено от локален администратор. Да вземем например центровете за данни. В тях всички списъци за контрол на достъпа и цялата палитра от операции по защита на данните, които се случват във вътрешността на операционната система, работеща на сървър, нямат никакво значение, когато съществува възможност за проникване през USB-порт чрез хакерски инструменти, които могат да източат цялата информация. Дори криптирането може да бъде заобиколено от някои от тези инструменти чрез инжектиране на злонамерен софтуер.

2. Всеки превзет или заразен администраторски акаунт може да има достъп до VM. Не е трудно да се досетите, че хакерите са наясно с това и подлагат администраторите на все по-сложни фишинг атаки и други опити за кражба на привилегирован достъп. Основните цели вече далеч не са отделни конфигурации и лошо защитени домашни машини. Пазарът на целевите хакери израстна неимоверно и сега се е прицелил към цели VM хостове в облачните центрове за данни с над 10 или 15 различни ползватели - обществени и частни, които почти винаги съдържат критична информация. Платформите за виртуализация трябва да бъдат много добре защитени, тъй като не само администраторът на хоста има способността да ви вкара в беда. При VM, освен него, почти неограничени права за достъп имат още сървърният администратор, администраторът на хранилището, мрежовият администратор, операторът на резервни копия и др.


2


3. Наемателите на VM, базирани в облачна инфраструктура, са застрашени от нерегламентирани посегателства, ако информацията им не е криптирана. Тук има два основни момента. Първо, криптирането, докато виртуалната машина е в покой, е безполезно, когато тя е била заразена в работен режим. Второ, и най-добрите офлайн защити не вършат никаква работа срещу онлайн атаки.

4. Не е възможно да се идентифицират легитимните хостове без хардуерно базирана проверка на идентичността.

В Windows Server 2016 Microsoft отговаря на тези четири предизвикателства с помощта на защитена виртуална машина и Host Guardian Service.

Какво е защитена виртуална машина?

Защитената виртуална машина предпазва системата от неоторизиран достъп, кражба и подправяне на информация както от злонамерен софтуер, така и от страна на всички разновидности администратори.

Това е виртуална машина от второ поколение (Generation 2 VM). Основният файл с данни, на който разчита, е VHDX, шифрован с BitLocker. Тук идва обичайният проблем пред сигурността – декриптиращият ключ трябва да бъде съхраняван някъде. Ако ключа е на разположение на виртуалния хост, администраторите могат да го видят и тогава криптирането е безполезно. Ключът трябва да се съхранява извън хоста, в зона, която се ползва с достатъчно добра защита и строго определен режим на достъп.

Едно от решенията е да оборудвате Generation 2 VM с надежден платформен модул (vTPM), който осигурява защитните ключове за шифроване на BitLocker, точно както обикновеният силициев TPM обработва ключовете за декриптиране на BitLocker на лаптоп. Защитените VM работят на охранявани или обикновени Hyper-V хостове във виртуален защитен режим - настройка, която подсигурява достъпа до процесите във виртуалната машина, като създава изолиран “анклав” извън ядрото.

Какво е Host Guardian Service?

HGS (Host Guardian Service) е услуга, която осигурява два основни процеса – атестация (двойна проверка на доверените хостове), и защита на ключовете (освобождава или отхвърля декриптиращия ключ, необходими за активирането на виртуалната машина). HGS проверява защитените виртуални машини и средата, в която те са интегрирани, и преценява дали съществува възможност да са били компрометирани. С други думи, HGS удостоверява кондицията на хоста, изискващ разрешение за стартиране на виртуалната машина, преди да пусне ключовете за декриптиране. Защитата се основава както на софтуер, така и на хардуер, което я прави едно от най-сигурните решения на пазара.

Как се създава защитена виртуална машина?

Създаването на защитена виртуална машина не е особено различно от създаването на стандартния ѝ вариант. Основната разлика е наличието на защитени данни, които представляват засекретен масив, криптиран от надеждна работна станция. Този засекретен масив може да включва идентификации и RDP удостоверения за достъп, както и специализиран каталог, чиято задача е да предотврати инфилтрирането на злонамерен софтуер в шаблона, който се използва за създаване на бъдещи защитени виртуални машини. Каталогът гарантира, че в шаблона не са нанасяни корекции след първоначалното му създаване и одобрение. Този защитен пакет се създава с помощта на функцията Shielding Data File Wizard, а Template Disk Creation Wizard изглажда процеса по конструирането на защитената виртуална машина.

Разлики между защитената и обикновената виртуална машина

Защитената виртуална машина е наистина подсигурена, дори когато става дума за достъп на мрежовите администратори. Просто в този случай VM конзолата не може да осъществи връзка със защитената виртуална машина, без да използва RDP и да удостовери автентичността си в операционната система, в която собственикът на виртуалната машина може да реши на кого да даде пряк достъп.




При защитените виртуални машини администраторите нямат автоматичен достъп, което означава, че те са ограничени по отношение на правата си в системата, за разлика от класическата виртуализация, при която администраторите се ползват със същите права за достъп като собствениците на инфраструктурата. Това прави защитените виртуални машини идеален избор за домейн контролери, сертификационни услуги и всякакви други критични за бизнеса дейности.

Системата може да работи в два основни режима: Първо, за да се опрости първоначалната ѝ инсталация, има режим, при който ролята на администратора е определена като надеждна и вие можете да отбележите правото му на цялостен достъп в активната директория. Това е по-слаба версия на пълната защита, тъй като няма хардуерно установени доверителни или атестационни проверки.

Пълната версия е когато регистрирате TPM на всеки хост с помощта на Host Guardian Service и установите политика за интегритет на кодовете за всеки отделен хардуер, който ще бъде хост на защитената виртуална машина. При пълната версия на защита сигурността се гарантира от физически TPM.

Използването на защитени виртуални машини добавя допълнителен слой сигурност към приложенията, които компаниите ползват и в момента, дори към тези, които се изпълняват под Linux. Ако искате, мислете за тях като за защита срещу Едуард Сноудън, защита срещу злонамерения администратор, а всички знаем какво може да причини той.

КОМЕНТАРИ ОТ  

Полезни страници
    За нас | Аудитория | Реклама | Контакти | Общи условия |
    Действителни собственици на настоящото издание са Иво Георгиев Прокопиев и Теодор Иванов Захов