VMware User Group Community Russia, Константин Пичугов

Информационная безопасность виртуальных инфраструктур. Наш ответ на новые вызовы

VMUG ОСЕНЬ 2009МОСКВА, 2 ОКТЯБРЯ 2009

Менеджер по развитию продуктов

КОНСТАНТИН ПИЧУГОВ

О Компании «Код Безопасности»• Российский разработчик программных и

аппаратных средств для защиты информации.• Входит в группу компаний «Информзащита»,

крупнейший специализированный холдинг российского рынка информационной безопасности.

• Компания образована в октябре 2008 года на основе отдела собственных разработок ГК «Информзащита» (около 70 инженеров).

• Сейчас в компании работает более 130 человек.

2

Что мы защищаем?

Все элементы ИС, где обрабатывается, хранится или передается информация:

3

• Автономные компьютеры• Рабочие станции и серверы ЛВС • Информация, передающаяся в ЛВС и по сетям

общего пользования• Среды обработки данных (СУБД) и исполнения

(виртуальные машины)

Продукты

• СЗИ от НСД — Secret Net, vGate for VMware Infrastructure, TrustAccess, семейство Security Studio.

• Модуль доверенной загрузки — электронный замок «Соболь».

• Межсетевой экран и защита VPN-сетей — Континент• Соответствие стандартам — КУБ, Security Code

Inventory Manager, SecurityMailArchive.• СКЗИ — М-506A-ХР.

4

Продукты имеют необходимые сертификаты ФСТЭК и ФСБ

Как мы работаем

• Лицензии ФСТЭК и ФСБ.• Более 400 партнеров в 70 российских

регионах и в странах СНГ.• Официальный дистрибьютор — SafeLine.

Адрес: Москва, ул. Образцова, д. 38

Тел. (495) 980-2345E-mail: info@securitycode.ruwww.securitycode.ru

5

6

ИБ виртуализации. Постулаты

• Виртуальные машины подвержены тем же угрозам безопасности, что и реальные компьютеры.

• Виртуализация дает весьма эффективные методы борьбы с некоторыми видами угроз (например, Sandboxing).

• Но и приносит новые угрозы и проблемы безопасности…

7

Список проблем ИБ виртуализации

Новые компоненты

Новые свойства

Забытое старое

• НСД к гипервизору• НСД к Console OS• НСД к средствам управления и обслуживания ВИ• НСД к системам хранения данных• Проблемы черных ящиков Virtual Appliances

• Админ виртуальной инфраструктуры — супербог• Безопасность данных VMotion, FT• Проблема VM Sprawl• Уязвимость VMotion DoS• Виртуализация сети

• Аппаратные МЭ (не всегда применимы)• Аппаратные СЗИ, СКЗИ (зачастую не работают)

8

Подходы к защите. Выбор применяемых мер

• Организационные меры

• Технические меры vs

Поиск эффективного баланса мер

• Модель нарушителя• Модель угроз

• Меры защиты

Как защищаться:

От чего защищаться:

Традиционная инфраструктура и традиционные СЗИ

• СЗИ от НСД• МЭ, VPN• СКЗИ

9

• Антивирусы• СЗИ от ПМВ• Другие средства защиты

010110100101000101

010110100101000101

010110100101000101

Есть в рекомендациях по защите ПДн

Гипервизор — отдельный слой

10

• Гипервизор управляет основными ресурсами

Гипервизор

Сервер виртуализации

Man in The

Middle

• Гипервизор играет роль «человек в середине»

Гипервизор и данные виртуальных машин

11

• Гипервизор может читать и изменять данные виртуальных машин, когда они не работают

Сервер виртуализации

Гипервизор

OFF

Варианты атаки на гипервизор

12

Гипервизор

Сервер виртуализации

Console OS

Средства управления

виртуальнойинфраструктурой

• Есть множество потенциальных вариантов НСД к гипервизору через различные элементы виртуальной инфраструктуры

Традиционные СЗИ в виртуальной среде подвержены компрометации

13

Если скомпрометирован хост/гипервизор и:• СЗИ чувствительны к угрозам Man in The Middle (LAN,

RAM, HDD, другой ввод/вывод).• СЗИ чувствительны к несанкционированному

изменению данных в то время, когда виртуальная машина выключена.

Аппаратные СЗИ в виртуальной среде

14

В виртуальной среде не всегда возможно применять аппаратные СЗИ.• Не работают традиционные средства доверенной

загрузки.• Во многих случаях аппаратное средство нельзя

«пробросить» в виртуальную машину.• Аппаратные МЭ не везде применимы

Cертифицированная защита виртуализации

15

• Сертифицированные традиционные СЗИ в условиях виртуализации перестают полноценно выполнять требования по защите информационных систем.

• Аттестация виртуализированных АС и ИСПДн, защищенных только традиционными СЗИ, представляется проблематичной.

Каким путем пойти?

16

Что использо-

вать?

Использовать только специализированные СЗИ нечувствительные к угрозам виртуализации

Использовать традиционные СЗИ

специализированное СЗИ, закрывающее угрозы виртуализации

17

• Компания «Код Безопасности» анонсирует новый программный продукт для защиты виртуализации.

• Начало продаж — 4 квартал 2009.• vGate предназначен для обеспечения безопасности

виртуальной инфраструктуры с использованием VMware Infrastructure 3 и VMware vSphere 4.

• Главная задача vGate — защита от НСД ESX, vCenter и других элементов виртуальной инфраструктуры.

• Сертификаты ФСТЭК.

Security Code vGatefor VMware Infrastructure

18

• vGate — прецедент создания специализированного сертифицированного СЗИ от НСД для виртуализации на российском рынке.

• Применение vGate дает возможность легитимного использования в виртуальных средах информационных систем, обрабатывающих данные ограниченного доступа, и помогает провести аттестацию таких систем.

Security Code vGatefor VMware Infrastructure

19

Состав vGate:• Модули защиты ESX• Сервер авторизации • Консоль управления• Рабочее место

администратора

Security Code vGatefor VMware Infrastructure

Сервер авторизации

Внешний периметр сети администрирования

vGate

Сеть виртуальных машин

vCenter

ВМ ВМ ВМ ВМ

Сеть администрирования инфраструктуры

ESX-хост ESX-хост

Администратор ИБ

vGate

Администратор ВИ

vGate

Системные требования:•VMware Infrastructure 3 (ESX Server 3.5, Update 3 и 4)•VMware vSphere 4 (ESX Server 4.0)

Системные требования:•Windows Server 2003 x86 SP2/R2Системные требования:•Windows XP Professional x86, x64; SP2, SP3 RUS•Windows Vista x86, x64 SP1

Системные требования:•Windows XP Professional x86, x64; SP2, SP3 RUS•Windows Vista x86, x64 SP1

20

Основные функции:• Аутентификация администраторов виртуальной

инфраструктуры и администраторов безопасности.• Защита средств управления виртуальной

инфраструктурой от НСД.• Контроль целостности конфигурации виртуальных машин

и доверенная загрузка.• Дискреционный механизм разграничения прав ESX-хостов

на исполнение виртуальных машин.• Регистрация событий, связанных с информационной

безопасностью.• Централизованное управление и мониторинг.

Security Code vGatefor VMware Infrastructure

Администратор безопасности

ESX-хост

Контроль целостности ВМ

Проверка прав на ВМ

Сервер авторизации

Аутентификация АвторизацияУправление ESX-хостом

Администратор виртуальной

инфраструктуры

Восполняет невозможность применения аппаратных средств доверенной загрузки для виртуальных машин

21

Security Code vGatefor VMware Infrastructure

ESX-хост

VM

Console OS (Linux)

Гипервизор (VMKernel)

NIC HBA FC NIC

Kernel

BIOS

Соболь NIC

КЦ настроек ВМ

Проверка прав на запуск ВМ

Загрузчик ВМ (VMware)

Локальные настройки СЗИ

КЦ модулей и настроек СЗИ

Локальный Firewall

VM

VM VM

VM VM

Сеть администрирования SAN

Сеть репликации ВМ

Сеть ВМ

Сервер авторизации

BIOS

Соболь NICNIC

Windows

Windows kernelNDIS драйвер

Реестр пользователей и

компьютеров

Аутентификация

Реестр сетевых ПРД

Реестр ВМ (хеши и ПРД)

Журнал аудитаНастройки СЗИ

Авторизация

Secr

et N

et 6

.0 fo

r Win

dow

sУправление СЗИ

Внешний периметр сети администрирования

Администратор виртуальной

инфраструктуры

Администратор безопасности

22

Уровень сертификации:• Сертификация во ФСТЭК по уровню СВТ 5 и НДВ 4

– дает возможность использовать продукт для защиты автоматизированных систем (АС) до класса 1Г включительно

– и информационных систем персональных данных (ИСПДн) до класса К2 включительно.

Security Code vGatefor VMware Infrastructure

Сертификаты ФСТЭК СВТ 5, НДВ 4 ИСПДн ФСТЭК К2, К3

АС ФСТЭК 1Д, 1Г Государственная тайна —

СПАСИБО ЗА ВНИМАНИЕ!ВОПРОСЫ?

VMUG ОСЕНЬ 2009

КОНСТАНТИН ПИЧУГОВ

МОСКВА, 2 ОКТЯБРЯ 2009

• +7 (495) 980-2345 (многоканальный)• k.pichugov@securitycode.ru • www.securitycode.ru

23

Менеджер по развитию продуктов