Аккорд-В. Железный фундамент для воздушного замка

• Доверенная загрузка всех элементов инфраструктуры виртуализации
• Пошаговый контроль целостности гипервизора, виртуальных машин (далее - ВМ), файлов внутри виртуальных машин и серверов управления инфраструктурой
• Аппаратная идентификация всех пользователей и администраторов инфраструктуры виртуализации
• Разграничение доступа администраторов виртуальной инфраструктуры и администраторов безопасности
• Разграничение доступа пользователей внутри ВМ

Система защиты Аккорд-В. полностью интегрируется в инфраструктуру виртуализации, поэтому для ее функционирования не требуются дополнительные серверы. При этом Аккорд-В. не ограничивает в целях безопасности возможностей виртуальной инфраструктуры, оставляя доступными все ее преимущества.

Защита ESX серверов

Основным компонентом в системе виртуализации vSphere является ESX-сервер. Он обеспечивает работу виртуальных машин, осуществляет их запуск, остановку, миграцию на другие ESX-сервера и т. д. Компрометация любого из его компонентов может привести к компрометации всех работающих на нем ВМ, а, следовательно, и данных, которые ими обрабатываются. Поэтому крайне важно обеспечить доверенную загрузку ESX-серверов и пошаговый контроль целостности всех его компонентов с помощью специализированного Аккорда-АМДЗ для ESX-сервера.

Аппаратный контроль целостности гипервизора, Service Console и модулей защиты

После проверки целостности BIOS и физического оборудования сервера, производится проверка целостности файлов гипервизора, управляющей консоли Service Console и модулей защиты (эти модули устанавливаются в Service Console и предназначены для контроля запуска ВМ). В случае успеха обеих проверок гипервизор и Service Console загружаются в штатном режиме вместе с уже проверенными дополнительными модулями защиты.

Защита виртуальных машин

Виртуальным машинам присущи все те же угрозы, что и их «реальным» аналогам. Для них точно так же необходимо обеспечивать доверенную загрузку, контроль целостности, разграничение доступа и надежную идентификацию/аутентификацию пользователей (далее - и/а).

Средства разграничения доступа устанавливаются в гостевую ОС ВМ (так же, как в «реальных» системах они устанавливаются в ОС), а модули, осуществляющие процедуры загрузки и контроля целостности, находятся вне контролируемой ВМ (иначе это не защита, а имитация).

Перед запуском ВМ осуществляется проверка целостности файлов внутри виртуальных машин. Список контролируемых файлов назначается в программе управления виртуальной инфраструктурой.

В гостевых ОС осуществляться мандатное и/или дискреционное разграничение доступа пользователей и процессов ко всем ресурсам, для каждого пользователя внутри ВМ создается изолированная программная среда. И/а пользователей при доступе к приложениям и виртуальным рабочим столам осуществляться с помощью аппаратных идентификаторов.

Защита элементов управления виртуальной инфраструктурой

Модули управления системой защиты устанавливаются на сервер с vCenter, что позволяет управлять всей системой защиты централизованно и анализировать журналы со всех ESX-серверов.

Перед загрузкой vCenter производится и/а администраторов, журналируются все попытки загрузки ОС и vCenter, производится контроль целостности BIOS и оборудования сервера. Далее проверяется целостность файлов ОС и файлов vCenter, предназначенных для управления средой виртуализации. Также проверяются модули защиты и управления системой защиты.

Для каждого администратора в vCenter создается изолированная программная среда.

Защита дополнительных серверов со службами VMware, например VMware Update Manager, осуществляется аналогично серверу с vCenter, если они установлены на физическом сервере, или аналогично ВМ, если эти службы установлены на виртуальной машине.

Комплекс Аккорд-В. предназначен для защиты инфраструктуры виртуализации VMware vSphere 4.1, VMware vSphere 4.0 и VMware Infrastructure 3.5.

Автор: Конявская-Счастная (Конявская) С. В.

Дата публикации: 01.01.2011

Библиографическая ссылка: Конявская С. В. Аккорд-В. Железный фундамент для воздушного замка // Информационные технологии, связь и защита информации МВД России–2011. М., 2011. С. 213.

---