Upload
mikhailmikheev
View
2.270
Download
4
Embed Size (px)
DESCRIPTION
Информационная безопасность виртуальных инфраструктур. Наш ответ на новые вызовы. "Код безопасности", Константин Пичугов.
Citation preview
Информационная безопасность виртуальных инфраструктур. Наш ответ на новые вызовы
VMUG ОСЕНЬ 2009МОСКВА, 2 ОКТЯБРЯ 2009
Менеджер по развитию продуктов
КОНСТАНТИН ПИЧУГОВ
О Компании «Код Безопасности»• Российский разработчик программных и
аппаратных средств для защиты информации.• Входит в группу компаний «Информзащита»,
крупнейший специализированный холдинг российского рынка информационной безопасности.
• Компания образована в октябре 2008 года на основе отдела собственных разработок ГК «Информзащита» (около 70 инженеров).
• Сейчас в компании работает более 130 человек.
2
Что мы защищаем?
Все элементы ИС, где обрабатывается, хранится или передается информация:
3
• Автономные компьютеры• Рабочие станции и серверы ЛВС • Информация, передающаяся в ЛВС и по сетям
общего пользования• Среды обработки данных (СУБД) и исполнения
(виртуальные машины)
Продукты
• СЗИ от НСД — Secret Net, vGate for VMware Infrastructure, TrustAccess, семейство Security Studio.
• Модуль доверенной загрузки — электронный замок «Соболь».
• Межсетевой экран и защита VPN-сетей — Континент• Соответствие стандартам — КУБ, Security Code
Inventory Manager, SecurityMailArchive.• СКЗИ — М-506A-ХР.
4
Продукты имеют необходимые сертификаты ФСТЭК и ФСБ
Как мы работаем
• Лицензии ФСТЭК и ФСБ.• Более 400 партнеров в 70 российских
регионах и в странах СНГ.• Официальный дистрибьютор — SafeLine.
Адрес: Москва, ул. Образцова, д. 38
Тел. (495) 980-2345E-mail: [email protected]
5
6
ИБ виртуализации. Постулаты
• Виртуальные машины подвержены тем же угрозам безопасности, что и реальные компьютеры.
• Виртуализация дает весьма эффективные методы борьбы с некоторыми видами угроз (например, Sandboxing).
• Но и приносит новые угрозы и проблемы безопасности…
7
Список проблем ИБ виртуализации
Новые компоненты
Новые свойства
Забытое старое
• НСД к гипервизору• НСД к Console OS• НСД к средствам управления и обслуживания ВИ• НСД к системам хранения данных• Проблемы черных ящиков Virtual Appliances
• Админ виртуальной инфраструктуры — супербог• Безопасность данных VMotion, FT• Проблема VM Sprawl• Уязвимость VMotion DoS• Виртуализация сети
• Аппаратные МЭ (не всегда применимы)• Аппаратные СЗИ, СКЗИ (зачастую не работают)
8
Подходы к защите. Выбор применяемых мер
• Организационные меры
• Технические меры vs
Поиск эффективного баланса мер
• Модель нарушителя• Модель угроз
• Меры защиты
Как защищаться:
От чего защищаться:
Традиционная инфраструктура и традиционные СЗИ
• СЗИ от НСД• МЭ, VPN• СКЗИ
9
• Антивирусы• СЗИ от ПМВ• Другие средства защиты
010110100101000101
010110100101000101
010110100101000101
Есть в рекомендациях по защите ПДн
Гипервизор — отдельный слой
10
• Гипервизор управляет основными ресурсами
Гипервизор
Сервер виртуализации
Man in The
Middle
• Гипервизор играет роль «человек в середине»
Гипервизор и данные виртуальных машин
11
• Гипервизор может читать и изменять данные виртуальных машин, когда они не работают
Сервер виртуализации
Гипервизор
OFF
Варианты атаки на гипервизор
12
Гипервизор
Сервер виртуализации
Console OS
Средства управления
виртуальнойинфраструктурой
• Есть множество потенциальных вариантов НСД к гипервизору через различные элементы виртуальной инфраструктуры
Традиционные СЗИ в виртуальной среде подвержены компрометации
13
Если скомпрометирован хост/гипервизор и:• СЗИ чувствительны к угрозам Man in The Middle (LAN,
RAM, HDD, другой ввод/вывод).• СЗИ чувствительны к несанкционированному
изменению данных в то время, когда виртуальная машина выключена.
Аппаратные СЗИ в виртуальной среде
14
В виртуальной среде не всегда возможно применять аппаратные СЗИ.• Не работают традиционные средства доверенной
загрузки.• Во многих случаях аппаратное средство нельзя
«пробросить» в виртуальную машину.• Аппаратные МЭ не везде применимы
Cертифицированная защита виртуализации
15
• Сертифицированные традиционные СЗИ в условиях виртуализации перестают полноценно выполнять требования по защите информационных систем.
• Аттестация виртуализированных АС и ИСПДн, защищенных только традиционными СЗИ, представляется проблематичной.
Каким путем пойти?
16
Что использо-
вать?
Использовать только специализированные СЗИ нечувствительные к угрозам виртуализации
Использовать традиционные СЗИ
специализированное СЗИ, закрывающее угрозы виртуализации
17
• Компания «Код Безопасности» анонсирует новый программный продукт для защиты виртуализации.
• Начало продаж — 4 квартал 2009.• vGate предназначен для обеспечения безопасности
виртуальной инфраструктуры с использованием VMware Infrastructure 3 и VMware vSphere 4.
• Главная задача vGate — защита от НСД ESX, vCenter и других элементов виртуальной инфраструктуры.
• Сертификаты ФСТЭК.
Security Code vGatefor VMware Infrastructure
18
• vGate — прецедент создания специализированного сертифицированного СЗИ от НСД для виртуализации на российском рынке.
• Применение vGate дает возможность легитимного использования в виртуальных средах информационных систем, обрабатывающих данные ограниченного доступа, и помогает провести аттестацию таких систем.
Security Code vGatefor VMware Infrastructure
19
Состав vGate:• Модули защиты ESX• Сервер авторизации • Консоль управления• Рабочее место
администратора
Security Code vGatefor VMware Infrastructure
Сервер авторизации
Внешний периметр сети администрирования
vGate
Сеть виртуальных машин
vCenter
ВМ ВМ ВМ ВМ
Сеть администрирования инфраструктуры
ESX-хост ESX-хост
Администратор ИБ
vGate
Администратор ВИ
vGate
Системные требования:•VMware Infrastructure 3 (ESX Server 3.5, Update 3 и 4)•VMware vSphere 4 (ESX Server 4.0)
Системные требования:•Windows Server 2003 x86 SP2/R2Системные требования:•Windows XP Professional x86, x64; SP2, SP3 RUS•Windows Vista x86, x64 SP1
Системные требования:•Windows XP Professional x86, x64; SP2, SP3 RUS•Windows Vista x86, x64 SP1
20
Основные функции:• Аутентификация администраторов виртуальной
инфраструктуры и администраторов безопасности.• Защита средств управления виртуальной
инфраструктурой от НСД.• Контроль целостности конфигурации виртуальных машин
и доверенная загрузка.• Дискреционный механизм разграничения прав ESX-хостов
на исполнение виртуальных машин.• Регистрация событий, связанных с информационной
безопасностью.• Централизованное управление и мониторинг.
Security Code vGatefor VMware Infrastructure
Администратор безопасности
ESX-хост
Контроль целостности ВМ
Проверка прав на ВМ
Сервер авторизации
Аутентификация АвторизацияУправление ESX-хостом
Администратор виртуальной
инфраструктуры
Восполняет невозможность применения аппаратных средств доверенной загрузки для виртуальных машин
21
Security Code vGatefor VMware Infrastructure
ESX-хост
VM
Console OS (Linux)
Гипервизор (VMKernel)
NIC HBA FC NIC
Kernel
BIOS
Соболь NIC
КЦ настроек ВМ
Проверка прав на запуск ВМ
Загрузчик ВМ (VMware)
Локальные настройки СЗИ
КЦ модулей и настроек СЗИ
Локальный Firewall
VM
VM VM
VM VM
Сеть администрирования SAN
Сеть репликации ВМ
Сеть ВМ
Сервер авторизации
BIOS
Соболь NICNIC
Windows
Windows kernelNDIS драйвер
Реестр пользователей и
компьютеров
Аутентификация
Реестр сетевых ПРД
Реестр ВМ (хеши и ПРД)
Журнал аудитаНастройки СЗИ
Авторизация
Secr
et N
et 6
.0 fo
r Win
dow
sУправление СЗИ
Внешний периметр сети администрирования
Администратор виртуальной
инфраструктуры
Администратор безопасности
22
Уровень сертификации:• Сертификация во ФСТЭК по уровню СВТ 5 и НДВ 4
– дает возможность использовать продукт для защиты автоматизированных систем (АС) до класса 1Г включительно
– и информационных систем персональных данных (ИСПДн) до класса К2 включительно.
Security Code vGatefor VMware Infrastructure
Сертификаты ФСТЭК СВТ 5, НДВ 4 ИСПДн ФСТЭК К2, К3
АС ФСТЭК 1Д, 1Г Государственная тайна —
СПАСИБО ЗА ВНИМАНИЕ!ВОПРОСЫ?
VMUG ОСЕНЬ 2009
КОНСТАНТИН ПИЧУГОВ
МОСКВА, 2 ОКТЯБРЯ 2009
• +7 (495) 980-2345 (многоканальный)• [email protected] • www.securitycode.ru
23
Менеджер по развитию продуктов