10 mối đe dọa về bảo mật trên máy chủ ảo potx

10 mối đe dọa về bảo mật trên máy chủ ảo Các lỗ hổng của chương trình điều khiển máy ảo (Hypervisor), lừa đảo máy ảo, lưu lượng mạng ngày càng tồi Những rủi ro về công nghệ ảo hóa lớn nhất hiện nay là gì và cách đối phó với chúng như thế nào? Đây chính là lúc mà chúng ta phải tách rời cơ sở lập luận (thực tế) từ những hư cấu và bắt tay vào làm việc cụ thể đối với vấn đề này. Năm 2007, một câu hỏi lớn nhất về vấn đề ảo hóa trong các trung tâm dữ liệu được đặt ra đó là “Cần phải tốn bao nhiêu tiền và bao nhiêu thời gian để bảo vệ chúng ta trong vấn đề này?”. Năm 2008, câu hỏi lớn sẽ là “Chúng ta sẽ được an toàn như thế nào?”. Đó là một câu hỏi rất khó để có thể trả lời. Hãy xoay quanh các hãng và cố vấn trong lĩnh vực này. Một số nhà nghiên cứu bảo mật đang cường điệu hóa những rủi ro mang tính lý thuyết như vấn đề khẩn cấp malware có thể nhắm vào các chương trình điều khiển máy tính ảo (một mối đe dọa vẫn chưa xuất hiện trong thế giới thực). “Có rất nhiều bàn tán xung quan vấn đề ảo hóa này và nó có thể đang làm cho chúng ta rối trí”, Chris Wolf, một nhà phân tích cho công ty nghiên cứu thị trường Burton Group đã nói như vậy. Như đổ thêm dầu vào lửa trong việc cường điệu hóa sự thật này, nhiều tổ chức CNTT nói rằng họ đã ưu tiên tốc độ vận hành hơn cả các hệ số khác, trong đó có việc lên kế hoạch bảo mật, khi họ bắt đầu việc tạo hàng trăm máy ảo (VM) trong năm 2007. (Điều đó hoàn toàn không có gì ngạc nhiên, khi bạn cho rằng hầu hết các doanh nghiệp đã bắt đầu với vấn đề ảo hóa trên các máy tính phát triển ứng dụng và sự kiểm thử của họ, không cho các máy chủ đang chạy trong các ứng dụng cốt yếu). “Chúng tôi cho rằng vấn đề bảo mật sẽ là một vấn đề không thể bỏ sót trong công nghệ ảo hóa. Thật là điên rồ khi bạn nghĩ về con số các máy tính ảo mức sản xuất”, Stephen Elliott, giám đốc nghiên cứu về phần mềm quản lý các hệ thống doanh nghiệp của IDC đã nói như vậy. Cũng theo số liệu của IDC cung cấp, có tới 75% công ty với khoảng hơn 1.000 nhân viên đang triển khai công nghệ ảo hóa ngày nay. “Và tính đến năm 2009, khoảng 60% các máy tính ảo tham gia hoạt động sản xuất sẽ kém an toàn hơn so với các máy tính vật lý”, Gartner, phó chủ tịch Neil MacDonald đã dự đoán trong một phát biểu của ông vào tháng 10/2007. Tuy nhiên nhiều thảo luận về vấn đề bảo mật công nghệ ảo này hiện cho thấy có nhiều thiếu sót, chuyên gia bảo mật Chris Hoff đã nói vậy, ông cũng giải thích thêm bởi vì mọi người thường dựng lên một thảo luận bằng cách hỏi xem các máy chủ ảo sẽ an toàn hơn hoặc kém an toàn hơn những máy chủ vật lý. Đó hoàn toàn là một câu hỏi sai lầm, Hoff nói vậy, các blog của ông thường nêu chủ đề. Câu hỏi đúng đối với thời điểm hiện nay cần nêu ra là “Bạn có đang áp dụng những gì đã biết về bảo mật đối với môi trường ảo hóa của bạn không?” “Mọi người thường hay sa đà vào những vấn đề lý thuyết… khi thực tế có một xu hướng rõ ràng những thứ có thể thực hiện ngày nay” Hoff nói thêm. Rõ ràng, sự ảo hóa có dẫn đến một số vấn đề bảo mật mới, nhưng những thứ đầu tiên đó là “Chúng ta phải thực tế. Hãy bảo đảm rằng chúng ta phải xây dựng được các mạng ảo cũng như những gì chúng ta đã làm được với mạng vật lý”. Trong một ví dụ, ông ta chỉ ra một công cụ quản lý ảo hóa như VMotion của Vmware, đây là một công cụ rất hữu dụng cho việc chuyển các máy ảo một cách kịp thời khi gặp vấn đề, và cũng có thể cho phép ai đó với các quyền quản trị viên có thể phối hợp hai hay nhiều máy ảo đó mà trong thế giới vật lý, sẽ phải phân tách một cách thận trọng dưới dạng lưu lượng mạng cho những lý do về bảo mật. Một số tổ chức CNTT đang gặp phải một vấn đề lỗi mang tính căn bản hiện nay. Họ đang cho phép nhóm máy chủ chạy những nỗ lực ảo một chiều mà không đoái hoài gì đến vấn đề bảo mật, lưu trữ và kết nối mạng của đội CNTT. Điều này có thể gây ra rất nhiều vấn đề về bảo mật mà sẽ không có gì để làm với sự yếu kém cố hữu của công nghệ ảo hóa và các sản phẩm. “Đây là một cơ hội hoàn hảo để đưa vào các nhóm hỗ trợ cùng với nó”, Hoff nói như vậy. “Ảo hóa là kế hoạch 90%, kế hoạch có cả nhóm hỗ trợ về mạng, bảo mật và lưu trữ” Wolf của Burton Group đã nói như vậy. Tuy nhiên một thực tế là, hầu hết các đội hỗ trợ CNTT đều không quan tâm nhiều đến công nghệ ảo hóa và hiện phải tiến hành để đuổi kịp. Điều gì sẽ xảy ra nếu bạn bỏ lỡ mất thời cơ lên kế hoạch với tất cả các chuyên gia của mình, hay bạn sẽ phải lo lắng nhiều hơn khi mở rộng số lượng máy ảo và đưa vào các ứng dụng quan trọng hơn cần đến độ bảo mật cao hơn vào các máy ảo này? “Để bắt kịp, bắt đầu với một kiến thức tốt về cơ sở hạ tầng ảo hóa bằng sử dụng các công cụ hoặc các cố vấn, sau đó bạn phải làm việc quay trở về các vấn đề trước đó”, Wolf đã nói như vậy. Dưới đây là 10 bước quan trọng các doanh nghiệp có thể nắm lấy, tham khảo để thắt chặt vấn đề bảo mật công nghệ ảo hóa: 1. Kiểm soát các vấn đề tràn lan đối với máy ảo Các CIO như Michael Abbene, người hiện đang điều hành CNTT cho Arch Coal, có một sự hiểu biết về vấn đề tràn lan các máy ảo một cách đầy đủ: Việc tạo các máy ảo thực sự chỉ mất đến vài phút. Chúng thật tuyệt vời trong việc tách các công việc tính toán nào đó. Tuy nhiên càng nhiều máy tính ảo thì sự rủi ro của bạn cũng càng tăng theo. Và một vấn đề đối với bạn lúc này là phải kiểm soát được tất cả các máy ảo đó. “Chúng tôi đã bắt đầu bằng việc ảo hóa những bài test với những vấn đề không mấy quan trọng ‘low-profile’, sau đó chuyển sang một số máy chủ ứng dụng low-profile. Tiếp đến chúng tôi đã chuyển sang một cách thành công và chúng tôi cũng hiểu làm như vậy rất có thể ra tăng vấnđề rủi ro với trong những việc này”, Abbene đã nói như vậy. Công ty hiện có khoảng 45 máy ảo tham gia sản xuất, ông ta nhấn mạnh thêm rằng còn có cả các máy chủ Active Directory và một số máy chủ ứng dụng, máy chủ web. Vậy làm cách nào bạn có thể kiểm soát được vấn đề này? Một phương pháp: Hãy tạo các máy chủ ảo tương tự như tạo các máy tương ứng vật lý như vậy. Tại Arch Coal, nhóm CNTT rất khắt khe trong vấn đề các máy ảo mới: “Mọi người phải thông thạo với quá trình như đối với máy chủ, dù nó là máy chủ vật lý hay máy ảo”, Tom Carter, quản trị viên của hệ thống Microsoft của Arch Coal đã nói như vậy. Với mục đích này, CNTT của Arch Coal sử dụng một ban điều hành những thay đổi (lắp ghép từ các bộ phận tiêu biểu gồm các nhân viên CNTT có kiến thức về máy chủ, lưu trữ và các vấn đề cơ bản) để nói đồng ý hay không với những yêu cầu máy chủ ảo mới. Điều đó có nghĩa rằng, những người này trong một nhóm các ứng dụng không thể vừa chỉ xây dựng máy chủ VMware mà còn phải bắt tay vào tiến hành tạo các máy ảo. Các công cụ quản lý VirtualCenter của VMware cũng như các công cụ của Vizioncore cũng có thể giúp quản lý vấn đề phức tạp của các máy ảo này. Bỏ qua sự tràn lan các máy ảo một cách liều lĩnh, Elliott của IDC đã nói: “Sự tràn lan các máy ảo là một vấn đề lớn, gây ra nhiều chậm chạm trong khả năng quản lý, duy trì hiệu suất và sự hiện diện”. Ông ta cũng nói thêm: “Những chi phí quản lý không mong đợi sẽ tăng nếu số lượng các máy ảo nằm ngoài tầm kiểm soát”. 2. Áp dụng các quy trình đang tồn tại đối với các máy ảo Có lẽ khía cạnh hấp dẫn nhất của sự ảo hóa chính là tốc độ của nó: Bạn có thể tạo chúng chỉ trong vòng vài phút, linh động trong vấn đề chuyển đổi, mang đến sức mạnh mới cho khía cạnh doanh nghiệp tính theo đơn vị ngày thay vì hàng tuần như trước đây. Tuy nhiên hãy đầu tư suy nghĩ về phần ảo hóa trong các quy trình CNTT đang tồn tại trong hệ thống, khi đó bạn sẽ ngăn chặn được các vấn đề bảo mật đúng lúc. Bạn cũng sẽ giảm được một số vấn đề gây đau đầu cho sau này. “Quy trình là một điều quan trọng. Việc suy nghĩ về vấn đề ảo hóa không chỉ về quan điểm công nghệ mà còn phải từ một quy trình cụ thể”. Nếu bạn đang sử dụng một ITIL để trợ giúp các quy trình CNTT, thì bạn cần phải nghĩ về sự ảo hóa sẽ thích hợp như thế nào với kiến trúc tiến trình đó. Nếu bạn đang sử dụng các thao tác tốt nhất, hãy xem xét xem sự ảo hóa có hợp với các quy trình đó không. Một ví dụ: “Nếu bạn có một tài liệu để bổ sung thêm sự chắc chắn cho máy chủ (liệt kê một tập hợp các chuẩn bảo mật và các nguyên tắc cài đặt một máy chủ mới) thì bạn nên thực hiện theo các bước đó đối với một máy ảo như thực hiện đối với máy vật lý”, Hoff nói như vậy. Tại Arch Coal, nhóm CNTT của Abbene vừa mới tiến hành điều đó: “Chúng tôi dành những thao tác tốt nhất cho việc bảo mật đối với máy chủ vật lý và áp dụng chúng cho mọi máy ảo. Các bước được thực hiện giống như việc gia cố hệ điều hành, chạy chương trình chống virus trên mỗi máy ảo và bảo đảm cho các bản vá lỗi, thực hiện các bước tương tự như các thủ tục được thực hiện trên các máy ảo”. 3. Bắt đầu với những công cụ bảo mật đang tồn tại, nhưng cần thận trọng Liệu bạn có cần phải có một bộ bảo mật và các công cụ quản lý hoàn toàn mới cho môi trường ảo của mình? Câu trả lời ở đây là không. Hãy bắt đầu với các công cụ bảo mật đang tồn tại của bạn cho các máy chủ vật lý và áp dụng chúng vào môi trường ảo một cách có ý thức, Hoff nói như vậy. Nhưng cần phải thúc ép các hãng hướng dẫn bạn cách bắt kịp với những rủi ro bảo mật ảo hóa, và cách họ tích hợp các sản phẩm khác sau này. “Có một lỗi thuộc về ý thức bảo mật liên quan đến việc chấp nhận các công cụ cho môi trường ảo”, Elliott của IDC nói, “Nó cần phải được tiến hành sớm trong vấn đề thị trường”, với các công cụ bảo mật mới được thiết kế cần phải chú ý đến vấn đề ảo hóa. Điều đó có nghĩa rằng bạn phải phát huy những gì đã có và khởi động những tiềm năng các hãng một cách mạng mẽ hơn thường lệ. “Đừng thừa nhận các công cụ mức nền tảng (như các công cụ VMware) đã là đủ tốt đối với bạn”, Elliott nói, và hãy xem xét các yếu tố mới cũng như các hãng quản lý đã có. Thúc đẩy các hãng này mạnh hơn nữa và cung cấp sự hướng dẫn cho họ. [...]... anh ta DiMarzio nói rằng anh ta rất mong muốn có khoảng 150 máy ảo sản xuất phục vụ vào tháng 3 năm 2008 Hiện anh ta đang sử dụng máy chủ ảo cho các máy chủ Active Directory, máy chủ in ấn, máy chủ ứng dụng CRM và Web Server Để bảo đảm các máy ảo này, DiMarzio đã quyết định tiếp tục với hệ thống tường lửa đang tồn tại và các sản phẩm bảo mật hiện có Tivoli Access Manager của IBM, các công cụ tường... từ image trên SAN, Sự quản lý tập trung này và sự bảo mật của nó cũng có nghĩa Mazda có thể đặt hàng một máy chủ mà không cần ổ nếu muốn, cho những mối liên quan bảo mật vật lý” 5 Không chỉ định vượt quyền hạn cho các máy ảo Hãy nhớ rằng khi bạn trao quyền truy cập mức quản trị cho một máy ảo là khi đó đã trao truyền truy cập vào tất cả các dữ liệu trên máy ảo đó Hãy nghĩ một cách thận trọng về loại... chương trình hệ thống cung cấp môi trường máy tính ảo hypervisor trên một máy chủ phục vụ như một cơ sở cho việc bao bọc tổ chức các máy ảo ESX Server 3i hypervisor của VMware gần đây đã tuyên bố rằng nó được thiết kế với kích thước rất nhỏ (32MB) cho các lý do bảo mật, duy nhất không có mục đích bảo mật hệ điều hành (Không hệ điều hành không có nghĩa là không bảo trì hệ điều hành) Một số hãng phần cứng... thể thức thực hiện hợp nhất”, Wolf nói (Khi đánh giá xem máy chủ ứng dụng nào cùng được đặt như các máy ảo trên một máy vật lý thì nhóm CNTT cần tập trung đầu tiên về sự thiếu hụt hiệu suất như thế nào đối với các máy chủ ứng dụng khi bạn muốn tránh việc hỏi bất kỳ các máy vật lý nào phải chịu quá nhiều tải) “Họ quên vì những hạn chế về bảo mật trên lưu lượng mạng mà lẽ ra không nên đặt các VM đó cùng... nghĩ về DMZ ngay từ những ngày đầu Họ đã triển khai các máy chủ ảo trên LAN bên trong nhưng không có chỗ nào công bố sự đối phó “Đó là một chìa khóa đã được quyết định sớm”, Abbene nói, công ty có một số máy chủ FTP bảo mật và một số máy chủ khác đang thực hiện công việc thương mại điện tử mức nhẹ trong DMZ; tuy nhiên hiện chưa có kế hoạch đối với các máy ảo ở đây, ông ta nói thêm 8 Quan tâm về Switch... nói Microsoft đã nói rằng vấn đề switch sẽ được giải quyết trong sản phẩm phần mềm ảo hóa máy chủ Viridian sắp tới của họ, Wofl bổ sung thêm 9 Kiểm tra các máy ảo “yếu” Các máy chủ không chỉ là mối lo lắng của bạn Mối đe dọa lớn nhất là bên phía trình khách - các máy ảo yếu”, Wolf của Burton Group đã nói như vậy Vậy máy ảo yếu là gì? Hãy nhớ rằng, người dùng của bạn có thể tải và sử dụng các chương trình... một ngân quỹ nhất định cho vấn đề bảo mật ảo hóa và quản lý nó Bạn có thể không cần phải coi nó là ngân quỹ nằm ngoài ngân quỹ bảo mật của bạn, nhưng việc liệt kê và dành ngân quỹ được cho tất cả các vấn đề cần bảo mật là một điều cần thiết”, Elliott của IDC đã nói như vậy Thêm nữa bạn cũng cần phải thận trọng với những chi phí bảo mật khi thực hiện các tính toán ROI ảo hóa “Bạn có thể sẽ không thấy... vực đang gặp vấn đề và bảo vệ chống lại được một số mối đe dọa từ xa Virtual Security Appliance (VSA) của Reflex Security, sản phẩm mà Hoff mô tả cùng với phần mềm của BlueLane là một trong những sản phẩm đang nổi đáng quan tâm hiện nay, nó đã phục vụ thành công cho hệ thống phát hiện xâm phạm ảo (IDS), bổ sung một lớp các chính sách bảo mật bên trong thiết bị vật lý có các máy ảo Nó có thể khóa tấn... hiểu biết muốn sử dụng các máy ảo của họ làm việc giống như máy tính họ làm việc tại nhà? Câu trả lời ở đây là chưa, Wofl nói như vậy Nếu bạn muốn cho phép các máy ảo trên máy tính của người dùng, thì các công cụ như Lab Manager của VMware và một số công cụ quản lý khác có thể giúp kiểm soát và kiểm tra được các máy ảo này 10 Nhớ đến thời gian lên kế hoạch ngân quỹ cho vấn để ảo hóa “Hãy dành một ngân... cấp môi trường máy tính ảo cùng với các vấn đề khác trong tương lai, nhóm của abbene chỉ ra như vậy Abbene cũng nói nhóm CNTT của anh ấy cũng đã thảo luận về việc bổ sung thêm một tường lửa bên trong thứ hai để cách ly hơn nữa các máy ảo, nhưng anh ta lo lắng điều này có thể gây ảnh hưởng đến hiệu suất của các ứng dụng ảo Elliott của IDC đã trích dẫn một vài công cụ bảo mật cho hệ thống ảo khác cũng . 10 mối đe dọa về bảo mật trên máy chủ ảo Các lỗ hổng của chương trình điều khiển máy ảo (Hypervisor), lừa ảo máy ảo, lưu lượng mạng ngày càng tồi Những rủi ro về công nghệ ảo hóa. 150 máy ảo sản xuất phục vụ vào tháng 3 năm 2008. Hiện anh ta đang sử dụng máy chủ ảo cho các máy chủ Active Directory, máy chủ in ấn, máy chủ ứng dụng CRM và Web Server. Để bảo đảm các máy. cho việc bảo mật đối với máy chủ vật lý và áp dụng chúng cho mọi máy ảo. Các bước được thực hiện giống như việc gia cố hệ điều hành, chạy chương trình chống virus trên mỗi máy ảo và bảo đảm cho