Виртуални машини и пропуски в сигурността: рискове и защита

Масовото приемане на облака трансформира виртуални машини и пропуски в сигурността Две страни на една и съща монета. Това, което някога беше иновативен подход, сега е стандарт: на практика всяка организация, голяма или малка, вече има някои от своите системи, работещи на виртуализирани инфраструктури, независимо дали на AWS, Azure, GCP или други доставчици, или в собствен център за данни.

Този технологичен скок донесе огромни предимства в цена, бързина и гъвкавостНо това също така отвори гигантска повърхност за атаки, която много компании все още не контролират. Осиротели виртуални машини, самоличности с прекомерни разрешения, лошо защитени хипервизори или потребители, които не са наясно с рисковете от виртуализация, са перфектна рецепта за сериозни киберинциденти.

От появата на AWS до експлозията на виртуализацията

Когато Amazon стартира първите си публични облачни услуги, като например Проста услуга за съхранение (S3) и еластичен изчислителен облак (EC2)Настъпи промяна в парадигмата в начина, по който се изразходват ИТ ресурсите. Изведнъж, настройването на сървъри, съхраняването на големи обеми данни или мащабирането на приложение вече не зависеше от закупуването на скъп хардуер и седмици чакане, а можеше да се направи за минути от уеб панел.

С тази революция, концепцията за „настройване на сървър“ беше преведена в създаване на виртуална машина при поискванеКомпаниите започнаха да мигрират приложения, бази данни и критични услуги към облака и днес е трудно да се намери организация, която да не използва поне една виртуализирана услуга или която да не планира този преход.

Много компании вече работят с изцяло облачен модел, докато други поддържат хибридни или мултиоблачни средиКомбинирайки ресурси между AWS, Azure, GCP и локални сървъри, тази технологична мозайка е много мощна, но също така представлява значително предизвикателство за сигурността, особено без унифициран поглед върху всичко внедрено.

Успоредно с това, виртуализацията не се ограничава само до публичния облак: хипервизорите позволяват създаването на виртуални машини на локален хардуерВиртуализирането на съхранението, мрежите и данните, както и предлагането на услуги с високи нива на достъпност, увеличава сложността на средите и изисква сигурност, която да обхваща множество слоеве едновременно.

Разпространението на виртуални машини: проблемът с „разполагането и разпадането“

Един от най-ясните странични ефекти на облачния модел е, че доставчиците са го направили така, че бъде почти тривиалноРазработчик, анализатор на данни или инженер по машинно обучение може да внедри екземпляр за минути, само с няколко кликвания. Проблемът е, че когато вече не се нуждаят от него, почти никога няма същата спешност да го изключат или правилно да го деактивират.

Много компании се сблъскват с това, което е известно като неконтролирано разпространение: разпръснати паркове от виртуални машини в множество облаци, проекти, абонаменти и акаунти, често без актуална инвентаризация. Освен това, само малка част от организациите твърдят, че имат пълна видимост върху облачното си присъствие, оставяйки значителен процент от активите неотчетени.

Тези виртуални машини, в повече от няколко случая, Те не получават актуализации на операционната системаПолитиките за достъп, които никога не са били преглеждани от създаването им, не се наблюдават или поддържат. Типичният сценарий е виртуална машина, настроена за временен проект, на която са ѝ предоставени по-широки разрешения от препоръчителните „за ускоряване на нещата“, а след това е оставена да работи, забравена и с прекомерни привилегии.

Последицата е, че тези натоварвания могат да станат тихи входни точки За нападателите. За разлика от по-видимите грешки, като например неправилно конфигурирани контейнери за съхранение или API, изложени на интернет, вътрешната злоупотреба с виртуална машина обикновено генерира по-малко очевидни сигнали, така че може да остане незабелязана много по-дълго време.

Доклади като тези от Алианса за сигурност в облака показват, че Лоша конфигурация и неадекватен контрол на промените Те са една от основните заплахи в облака, следвани от проблемите с управлението на идентичността и достъпа (IAM). Всичко това се изостря, когато организациите нямат ясни процеси за жизнения цикъл на виртуалните машини: създаване, използване, преглед на разрешенията и сигурно деактивиране.

Идентичности, разрешения и странично движение в облака

В съвременните облачни среди почти всичко се върти около идентичността. Всяка виртуална машина, роля, контейнер или услуга има такава. присвоена самоличност и свързани с нея разрешения за достъп до други ресурси. Всъщност в много организации самоличностите на потребителите (които не са хора) далеч надхвърлят броя на самоличностите на потребителите.

Когато виртуална машина е осигурена за конкретна задача - например, лаборатория за анализ на данни или машинно обучение - обичайното изкушение е да му се даде широки разрешения за съхранение, бази данни или други услугиЗащото прилагането на принципа на най-малките привилегии отнема време. Тази виртуална машина завършва проекта, но остава активна, с мощна и рядко наблюдавана идентичност.

Ако нападателят успее да компрометира този екземпляр, той има идеална позиция. Оттам може движете се странично във виртуалната мрежасвързвайте се с други виртуални машини, изследвайте вътрешни бази данни или взаимодействайте с контейнери за съхранение. В много внедрявания трафикът изток-запад (между машини в една и съща мрежа) не е толкова сегментиран, колкото би трябвало да бъде, защото микросегментация На фино ниво се възприема като „твърде сложно“.

В хибридни среди нещата стават още по-сложни. Облачна виртуална машина, свързана с самоличности, синхронизирани с локални директории Можете да използвате тази доверителна връзка за достъп до локални ресурси: споделяне на файловевътрешни приложения, бази данни или критични компоненти на корпоративната инфраструктура. Преминаването от облака към локална среда се улеснява чрез тези федерални вериги за идентичност.

Към всичко това трябва да добавим, че много традиционни решения за сигурност се фокусират върху потребителското оборудване, класическите сървъри или мрежовите периметри, но не Те корелират в реално време какво прави виртуалната машина с това, което прави нейната идентичност. в останалата част от средата. Резултатът е, че компрометираната машина може да „се държи добре“ на системно ниво, докато на ниво разрешения извършва масивен достъп до чувствителни данни, без да повдига незабавно подозрение.

Реални случаи на злоупотреба с виртуални машини и уязвимости

Практическите примери помагат да се илюстрира сериозността на проблема. В един докладван случай злонамерен участник успява да компрометира множество AWS EC2 инстанции и да се мести между тях, използвайки Вътрешен RDP (Протокол за отдалечен работен плот)Той организира стотици гигабайта откраднати данни, като ги разпредели между различни виртуални машини и в крайна сметка пусна ransomware в тази облачна среда.

В тази кампания имаше наблюдение, но Автоматизираният отговор не беше конфигуриран правилно.Следователно, сигналите не доведоха до ефективни мерки за ограничаване. В крайна сметка рансъмуерът се изпълни и засегна значителен обем активи, въпреки предварително засечената аномална активност.

В друг случай, документиран от Microsoft, нападателите са използвали компрометирани акаунти в Azure, за да стартиране на краткотрайни виртуални машиниизползвайки ги като инфраструктура за еднократна употреба за различни видове атаки. Тъй като трафикът произхожда от легитимни IP адреси на Azure, много предупреждения за сигурност са били третирани като фалшиво положителни и игнорирани.

Имаше и любопитни ситуации, в които самата платформа реагира на потенциална злоупотреба. След подозрителна активност, свързана с използването на глобален администратор и създаването на ресурси за машинно обучение в Azure (с високи разходи за изчисления и трафик), доставчикът стигна дотам, че блокира създаването на нови виртуални машини и ограничи преоразмеряването им, с изключение на резервираните инстанции. Въпреки че компрометираните ресурси бяха премахнати, въздействието върху способността за работа с виртуални машини беше значително, докато инцидентът не беше изяснен.

Тези инциденти показват, че измамното използване на виртуални машини може да има преки последици за разходи, наличност и непрекъснатост на услугатаОсвен самата кражба на информация, те също така подчертават важността на наличието на надеждни процеси за одит, поддръжка и реагиране при инциденти, които свързват случващото се на техническо ниво с бизнес решенията.

Икономически, регулаторни и свързани с времето за откриване рискове

Когато уязвимост експлоатира виртуална машина, последиците се простират отвъд техническите аспекти. Последните проучвания показват, че Значителна част от МСП понасят икономически санкции след кибератака, поради неспазване на регулаторните рамки или изтичане на чувствителни данни за клиенти и служители.

Регламенти като например NIST 800-53, PCI DSS 4.0 или други индустриални стандарти Те стават все по-категорични в изискването за контрол върху облачните натоварвания и свързаните с тях самоличности. Защитата на сървърите, които съхраняват критична информация, вече не е достатъчна: фокусът очевидно се е изместил към слоя за самоличност и как се регулират, присвояват и наблюдават разрешенията за виртуални машини и други виртуални ресурси.

От друга страна, докладите за разходите от нарушения на данните показват, че значителна част от инцидентите засягат информация, разпределена в множество средиПублични облаци, частни облаци и локални системи. Тази разнородност улеснява удължаването на времето на престой на нападателя (времето между проникването и откриването му), увеличавайки както потенциалните щети, така и крайната цена на нарушението.

Когато организациите нямат задълбочена видимост на случващото се във виртуалната инфраструктураТе обикновено разбират за прониквания чрез външни сигнали: оплакване от клиент, откриване на аномалии от доставчик, предупреждение от трета страна… Дотогава нападателят може да е прекарал седмици или месеци в движение из средата, извличане на информация и подготовка на саботаж или изнудване.

Всичко това потвърждава, че в контекста на виртуалните машини сигурността не може да се ограничава до „инсталиране на антивирусен софтуер“ или „затваряне на портове“: тя изисква всеобхватно и непрекъснато управление на риска, което включва процеси, технологии, обучение и корпоративно управление.

Предимства на виртуалните машини: защо все още се нуждаем от тях

Фактът, че виртуалните виртуални машини представляват рискове, не означава, че те не са фундаментални. Всъщност те остават едни от... стълбове на съвременната инфраструктура поради няколко важни причини, които трябва да се имат предвид, за да се разбере защо употребата му е станала толкова широко разпространена.

Първо, те позволяват на екстремна оптимизация на хардуерните ресурсиЕдин физически сървър обикновено има по-голям капацитет, отколкото изисква едно приложение; чрез стартиране на множество виртуални машини на един и същ хост, процесорът, паметта и съхранението се използват по-добре, намалявайки разхищението и подобрявайки възвръщаемостта на инвестициите в инфраструктура.

Второ, те предлагат Надеждна изолация между различните средиХипервизорът действа като посредник между физическия хардуер, хост операционната система и гост операционните системи, определяйки какво могат да виждат и как могат да взаимодействат помежду си. Ако една виртуална машина е компрометирана, типичният дизайн прави въздействието върху другите инстанции и хоста много по-малко, отколкото в по-малко сегментираните модели.

Третото основно предимство е мащабируемост и гъвкавостВиртуалните машини могат да бъдат създавани, модифицирани и изключвани бързо, което е идеално за динамични натоварвания и облачната философия. Това ви позволява да се справяте с пикове в трафика, да стартирате нови услуги или да провеждате тестове, без постоянно да купувате и настройвате нов хардуер.

И накрая, употребата му допринася пряко за намаляване на разходитеПреди масовата виртуализация, придобиването на физически сървъри означаваше високи инвестиции, дълги срокове за доставка и ограничена мащабируемост. С виртуални машини организациите могат да коригират потреблението си на ресурси спрямо реалното търсене, да плащат при използване, да опростят поддръжката на енергията и хардуера и да съсредоточат усилията си върху бизнес и приложното ниво.

Хипервизори и анализ на пропуските в сигурността във виртуализирани среди

Зад всяка виртуална машина стои хипервизор и този компонент е критичен от гледна точка на киберсигурността. Хипервизорът е софтуерът, който управлява създаването, изпълнението и изолирането на виртуални машиниконтролиране на достъпа до основния хардуер, мрежовите и сторидж ресурси, както и много други чувствителни функции.

Съвременната виртуализация обхваща няколко слоя: хардуер, операционни системи, съхранение, мрежа и данниВсеки от тези слоеве въвежда потенциални вектори на атака, които могат да компрометират както виртуалните машини, така и самия хипервизор. Недостатък в този компонент може да позволи на атакуващ да избяга от една виртуална машина и да получи достъп до други или дори да поеме контрол над целия хост.

Следователно е от съществено значение да има ясна методология за анализ на пропуските в сигурността Приложен специално за хипервизорни среди, този тип ръководство разглежда проблеми като преглед на основните услуги, сегрегация на мрежата, контрол на достъпа до конзолата за управление, защита на споделеното хранилище и предотвратяване на неоторизиран достъп до данни.

В тези анализи се обръща специално внимание на споразумения за ниво на обслужване (SLA), поверителност и целостност на ресурсите и начинът, по който различните вертикални слоеве на виртуализираната инфраструктура комуникират. Целта е да се изгради стратегия за дълбока защита, при която повреда в един слой не компрометира цялата среда.

Освен това, трябва да се има предвид, че хипервизорите могат да бъдат атакувани от киберпрестъпници, които се стремят да изолират или контролират равнината на управлениеизползване на уязвимости или неправилни конфигурации. Без добре проектирана архитектура и адекватен контрол ще бъде много трудно да се овладее атака, насочена към този централен компонент на виртуалната екосистема.

Ключови най-добри практики за защита на виртуални машини

За да се намалят пропуските в сигурността, свързани с виртуалните машини, е от съществено значение да се внедри набор от най-добри практики, които обхващат както технически, така и организационни аспекти. Първият набор от мерки включва: управлявайте самоличностите и достъпа правилноВнедрете силни политики за пароли, активирайте многофакторно удостоверяване, ограничете разрешенията въз основа на ролите и редовно преглеждайте акаунти с повишени привилегии.

Друг ключов аспект е поддръжката на виртуалните машини актуализиран с най-новите корекции за сигурностТова включва не само гост операционната система, но и приложенията и услугите, работещи в нея. Пренебрегването на тези актуализации отваря вратата към известни експлойти, които нападателите систематично използват.

Защитата на данните във виртуалните машини изисква използването на техники за криптиране Това се отнася както за данните в покой, така и за данните в пренос. Инструменти като пълно криптиране на диска помагат за смекчаване на въздействието от неоторизиран физически достъп или кражба на хардуер, докато криптирането на комуникациите намалява риска от шпионаж или манипулиране на данни в мрежата.

Освен това е препоръчително тези контроли да се комбинират с решения за откриване и наблюдение на прониквания Специално проектирани за виртуализирани среди, тези инструменти позволяват идентифициране на аномално поведение по време на изпълнение, корелация на събития между различни виртуални машини и генериране на автоматични отговори (като изолация или изключване), когато бъдат открити признаци на компрометиране.

Всичко това трябва да бъде интегрирано в глобална политика, която обхваща целия жизнен цикъл на виртуалните машини: от тяхното осигуряване, през ежедневната им работа, до сигурното им пенсиониране, включително контролирано изтриване на диска и отмяна на свързани самоличности.

Вътрешното дигитално разделение и неговото въздействие върху сигурността на виртуалните машини

Не всички рискове идват от технологиите; значителна част произтича от дигитално разделение в самите компанииТази разлика не е само в наличието или липсата на достъп до интернет, а в разликата между организации и екипи, добре обучени в областта на цифровите инструменти и киберсигурността, и други, които продължават да работят с остарели знания и практики.

В света на бизнеса дигиталното разделение има няколко измерения. От една страна, технологично измерениеКомпании с модерна инфраструктура срещу такива, които все още разчитат на остарели системи, които не поддържат адекватно виртуализацията или облака. От друга страна, измерение на знаниетоперсонал, който не е получил достатъчно обучение по добри практики за сигурност и управление на технологиите.

Съществува и стратегическо измерение: много организации нямат ясни планове за интегриране на дигитализацията и киберсигурността в техните процеси. Това означава, че решенията за създаване на виртуални машини, задаване на разрешения или избор на доставчици на облачни услуги се вземат без цялостен преглед на рисковете и целите.

Пряката последица е увеличаване на заплахите: постоянни кибератаки срещу остарели системи, загуба на информация поради липса на адекватни резервни копия, по-малка конкурентоспособност в сравнение с компании, които автоматизират процесите и използват облака сигурно, и по-голяма вероятност от човешки грешки поради липса на знания.

Преодоляването на тази празнина включва инвестиране в подходяща технологична инфраструктура, мигриране към облака, когато това е разумно, насърчаване на автоматизацията и най-вече, влаков персонал така че да разбират рисковете и предпазните меркиБез този човешки компонент, всяка стратегия за сигурност на виртуални машини е недостатъчна.

Управлявани услуги и технологични партньори за защита на виртуализацията

Много малки и средни предприятия и организации с малки ИТ екипи са изправени пред двойно предизвикателство: те трябва да поддържат ежедневните си операции и едновременно с това... осигуряване на все по-сложни виртуални и облачни средиВ тези случаи, разчитането на специализирани доставчици и управлявани услуги е на практика един от най-разумните варианти.

Управляваните облачни услуги обикновено включват специализиран екип от експерти, които наблюдава и управлява виртуалната инфраструктураТой прилага корекции за сигурност, преглежда конфигурациите и непрекъснато следи за потенциално подозрително поведение. Този подход позволява на компаниите да се освободят от част от техническата тежест и да се съсредоточат върху основния си бизнес.

Доставчици с опит в сигурността на виртуални машини, индустриални мрежи и хибридни среди могат да предложат персонализирани решенияОт проектирането на сегментирани и защитени мрежи до внедряването на защитни стени, системи за откриване на прониквания, платформи за разузнаване на заплахи или стратегии за архивиране и възстановяване на данни, адаптирани към индустриалния или корпоративния контекст.

Освен това, тези съюзници често допринасят 24/7 услуги за поддръжка и непрекъснато наблюдениеспособни да реагират бързо на инциденти и да поддържат високо ниво на достъпност за виртуални машини. Това е особено важно в сектори, където прекъсването на системата води до значителни финансови загуби или големи оперативни рискове.

Работата с този тип партньори не освобождава компанията от отговорност по въпросите на сигурността, но помага за преодоляване на вътрешните ограничения на знанията, персонала и времето и за прилагане на добри практики, които може да са трудни за прилагане самостоятелно.

Комбинацията от a стабилна стратегия за виртуализация, ясни политики за идентичност и достъп, текущо обучение и експертна поддръжка Това трансформира виртуалните машини в мощни бизнес съюзници, вместо в слепи петна, където възникват най-болезнените пробиви. Само когато една организация напълно разбира как тези виртуални машини се създават, управляват, защитават и извеждат от експлоатация и разполага с правилната култура и инструменти, тя може да се наслаждава на пълната гъвкавост на облака, без постоянно да живее на ръба на риска.

Свързана статия:

Защитени виртуални машини на Hyper-V: Разширена сигурност за виртуални среди

Isaac

Страстен писател за света на байтовете и технологиите като цяло. Обичам да споделям знанията си чрез писане и това е, което ще направя в този блог, ще ви покажа всички най-интересни неща за джаджи, софтуер, хардуер, технологични тенденции и много други. Моята цел е да ви помогна да се ориентирате в дигиталния свят по лесен и забавен начин.