La pressione dei costi e la crescita del fenomeno del Cloud Computing hanno portato molte aziende a rivolgersi ad ambienti virtuali a basso costo on-premise e a “tuffarsi” nel Cloud.
Tuttavia, la mancanza di competenze e di esperienza può essere foriera di gravi pericoli per la sicurezza IT.
I ricercatori e gli esperti del settore della sicurezza credono che, oltre a una generale mancanza di comprensione di come funzionano gli ambienti virtuali, il fatto che l’attività sia così concentrata sulle prestazioni e sul contenimento dei costi spesso significa che la sicurezza o è trascurata o ha un ruolo residuale.
Secondo Forrester, molti professionisti IT sono ancora oggi convinti che un server virtuale sia del tutto assimilabile a uno fisico, ignorando completamente il fatto che i rischi relativi alla sicurezza sono profondamente diversi.
Dal momento in cui le organizzazioni ricercano spasmodicamente i vantaggi economici della virtualizzazione degli ambienti IT, i server non sono più singoli pezzi di apparecchiature altamente cablate all’interno di reti fisiche superprotette.
Al contrario, sono istanze software particolarmente complesse, che si basano su reti virtuali e si connettono a layer storage sempre più virtualizzati.
Cosa significa tutto questo? Significa che la protezione dei dati deve cambiare di conseguenza.
L’Information Security Forum (ISF) raccomanda particolare attenzione a:
- Segregazione dei server virtuali in base alle esigenze di riservatezza delle informazioni che queste macchine processano
- Separazione dai server virtuali, per impedire che le informazioni vengano trasferite tra diversi ambienti eterogenei
- Limitare l’accesso a un numero limitato di persone autorizzate (per esempio creando la figura dell’hypervisor administrator), che sono in grado di creare server virtuali e di apportare le modifiche del caso in modo corretto e sicuro
- Cifrare le comunicazioni tra server virtuali, ad esempio utilizzando Secure Sockets Layer (SSL) o IPSec
- Segregare i ruoli degli hypervisor administrator, in relazione alle diverse tipologie di server virtuali
Che cosa dovrebbe fare un professionista della sicurezza informatica per garantire che i gli ambienti virtuali aziendali siano non solo convenienti ma anche intrinsecamente sicuri?
L’ISF ha lavorato con i suoi membri per individuare le principali indicazioni che devono essere incluse nelle best practice per la protezione degli ambienti virtuali.
Queste le tre essenziali:
- Definizione di policy precise per l’utilizzo di server virtuali
- Limitare il numero di server virtuali che possono essere eseguiti su un singolo server fisico
- Controllare il numero di applicazioni business-critical che possono essere eseguite su un singolo server
I server virtuali devono essere protetti mediante l’applicazione di pratiche standard di gestione della sicurezza degli hypervisor, che sono il punto chiave della tutela di questi ambienti, dicono gli esperti dell’ISF.
Queste pratiche includono diverse aree di attività: applicare una gestione rigorosa del cambiamento (change management); compiere monitoraggio, reporting e revisione delle attività dei super-utenti; limitare l’accesso alla console di gestione del server virtuale; monitorare il traffico tra i diversi server virtuali e tra i server virtuali e server fisici, allo scopo di rilevare (per quanto possibile) comportamenti dannosi o imprevisti.
Ogni server virtuale deve essere protetto mediante l’applicazione di pratiche di gestione della sicurezza simili a quelle applicate ai server fisici. Tra quelle più efficaci, limitare l’accesso fisico, inasprire la protezione dei sistemi, applicare le regole del change management e la protezione dal malware. Inoltre, non vanno sottovalutati il monitoraggio, le verifiche periodiche e l’applicazione di un sistema di protezione della rete basato su firewall, rilevamento delle intrusioni e verifica delle potenziali perdite di dati.
Inoltre i professionisti della sicurezza non dovrebbero prendere in considerazione solo gli ambienti virtualizzati della propria organizzazione, ma dovrebbero anche concentrarsi anche su quelli dei loro fornitori, chiedendo loro di attenersi alle stesse best practice.
I CSO devono prendere in considerazione nuove strategie e tecnologie per mettere in pratica controlli di sicurezza più appropriati per gli ambienti virtualizzati. Non bisogna semplicemente replicare i modelli di deployment più familiari dal mondo fisico a quello virtuale. Il tradizionale approccio n-tier, che separa i livelli di presentazione dalle applicazioni e dai dati attraverso firewall fisici, non è così efficace nel mondo virtuale, dove due o più di questi livelli possono essere ospitati sullo stesso hardware fisico.
Suggerimenti per la progettazione della sicurezza virtuale
- Prendere in considerazione i requisiti di conformità. Ci sono dei requisiti che impongono un certo grado di separazione fisica? Tali requisiti possono richiedere la predisposizione di una pluralità di ambienti virtualizzati, con una separazione operata attraverso un firewall fisico (o una separazione fisica totale, del tipo air-gap)
- Identificare le risorse che il servizio richiede per il funzionamento. Pensare in termini di accesso alla rete, risorse di calcolo e di memoria invece che di server e segmenti di rete
- Identificare i diversi tipi di utenti che richiedono l’accesso al servizio, ad esempio utenti esterni, utenti interni o partner di fiducia
- Raggruppare le risorse identificate in zone (domini di sicurezza) in base alle caratteristiche dei dati, delle comunità di utenti e dei requisiti di accesso
- Basare i controlli di sicurezza su queste zone attuando il controllo e il monitoraggio delle attività all’interno di ciascuna zona e, soprattutto, il controllo e il monitoraggio delle interazioni tra le diverse zone
- Condurre una valutazione dei rischi. Identificare i rischi che devono essere gestiti per ciascuna zona
Il nodo della conformità
Nel progettare la protezione per gli ambienti virtualizzati, Newcombe ricorda che i professionisti della sicurezza informatica devono prendere in considerazione i requisiti di conformità, identificare le risorse necessarie, identificare i tipi di utenti che accedono ai dati, effettuare una valutazione del rischio, raggruppare le risorse in zone o domini di sicurezza e predisporre i controlli di sicurezza di base intorno a queste zone.
Gartber sostiene che implementando switch virtuali che permettono la comunicazione tra gli ospiti su un host fisico, gli ambienti virtualizzati potranno celare una notevole quantità di traffico ai tradizionali sistemi di protezione della rete fisica, tra cui spiccano il rilevamento delle intrusioni e i sistemi di prevenzione delle intrusioni. Zoning e visibilità della rete non solo aiutano a difendere gli ambienti virtualizzati in profondità, ma rispondono anche agli obblighi di conformità.
Gartner suggerisce ai propri clienti di tenere conto di questi tre approcci:
- Routing (instradamento) del traffico da virtuale a fisico attraverso apposite strozzature operate tramite router o firewall
- Rafforzamento della tutela per gli ospiti attraverso i firewall di sistema
- Utilizzo di sistemi di protezione integrata degli hypervisor come i firewall virtuali
Mentre il controllo e il monitoraggio delle attività all’interno delle zone di sicurezza e le diverse interazione che tra queste si instaurano sono importantissime, spesso queste attività pongono seri problemi. In un ambiente server virtualizzato i firewall e gli strumenti di monitoraggio a disposizione sono unicamente quelli che l’infrastruttura di gestione virtualizzata è in grado di supportare, a meno che non ci si possa permettere la spesa di più firewall fisici e diverse server farm virtualizzate. Inoltre, l’hypervisor di per sé rappresenta un singolo punto di failure separato, che non è presente nel mondo fisico.
In sostanza, i professionisti della sicurezza debbano essere pragmatici, adattandosi alle capacità degli ambienti virtualizzati e facendo il miglior uso possibile di queste nuove funzionalità, piuttosto che cercare semplicemente di “spostare” la progettazione della sicurezza IT dal mondo fisico a quello virtuale.
