La sicurezza della virtualizzazione dei server non può più essere garantita soltanto attraverso la creazione di zone di sicurezza fisica per le diverse classi di macchine virtuali (VM) sui server host.
Quindi i vendor di prodotti per le reti e per la network security stanno introducendo soluzioni per la sicurezza virtuale che applicano controlli e policy direttamente nelle macchine virtuali all’interno di host virtuali.
I professionisti della sicurezza delle reti hanno dovuto fronteggiare problemi di security dei server di virtualizzazione sin dall’inizio della curva di adozione della virtualizzazione stessa.
Parte di tali problemi è dovuta alla mancanza di visibilità nel comportamento della macchina virtuale e nell’impossibilità di applicare policy, perché le porte di rete che collegano le VM sono entità astratte all’interno degli hypervisor che girano su host fisici.
La prima soluzione è stata la creazione di host fisici come zone di protezione. Fino a quando gli amministratori sono riusciti a tenere le macchine virtuali sulla VLAN fisica corretta, questo status quo ha funzionato.
Ma l’adozione della virtualizzazione server è in rapida evoluzione. Tecnologie che permettono la migrazione di macchine virtuali, come vMotion di VMware, possono rendere la sicurezza fisica della rete un controllo inutile con un semplice clic del mouse.
Oggi le VM si attivano e si arrestano così di frequente che l’errore umano è un rischio sempre più grande. Un amministratore può facilmente far girare un test su una macchina virtuale che risiede su un host fisico riservato ai processi di transazioni delle carte di credito e ciò può rappresentare un vero incubo per il team di sicurezza.
In effetti, da uno studio condotto su professionisti IT da Juniper Networks e dal suo partner di sicurezza virtuale Altor Networks al VMworld 2010, è emerso che il 70% degli intervistati sta consolidando diversi carichi di lavoro per le VM sui medesimi host, aumentando così il proprio profilo di rischio. Un altro 55% di questi intervistati ha dichiarato che sulle loro reti si ha l’aggiunta o l’eliminazione di VM più volte al giorno, incrementando così il rischio di un errore umano.
Ciò crea una situazione in cui i server che sono a più alto rischio, in particolare quelli connessi a Internet, potrebbero contagiare quelli che non sono connessi a Internet e che rappresentano asset di alto valore. Tali server devono essere isolati gli uni dagli altri per ragioni di sicurezza, ma anche di conformità. Quando si tratta di DMZ, è meglio mantenere un confine fisico, sostengono diversi analisti. Se si dispone di uno switch che collega i server nella DMZ, è meglio non virtualizzare tali host in differenti VLAN.
La sicurezza del server di virtualizzazione si evolve per rispondere alla sfida
I fornitori si stanno muovendo rapidamente per affrontare questi problemi. Negli ultimi due anni, Juniper Networks ha sviluppato una stretta partnership con Altor Networks per il business dei firewall. Al VMworld, Check Point ha presentato la sua Security Gateway Virtual Edition e Cisco Systems ha introdotto la sua VMsafe, un’interfaccia di programmazione (API) VMware che consente ai fornitori di sicurezza di integrare i loro prodotti con vSphere. Questi vendor intendono collocare le proprie soluzioni direttamente negli hypervisor, al fine di abilitare una completa sicurezza del server di virtualizzazione.
“Ci inseriamo nell’hypervisor, sotto e all’interno del sistema operativo, dove non solo possiamo mettere in sicurezza i pacchetti inviati e provenienti da una macchina virtuale, ma possiamo anche avere una completa visibilità di quello che sta accadendo in tale VM – ha affermato Johnnie Konstantas, vice presidente marketing di Altor Networks -. Possiamo vedere quale connessione di rete usa una VM, come vengono assegnate le porte e com’è configurata la rete. Ma anche ispezionare le applicazioni e i servizi che sono installati all’interno della macchina virtuale. Siamo anche in grado di applicare una policy di sicurezza a tali macchine virtuali. Anche se si tratta di un unico host fisico con una serie di server virtuali che vi girano come elementi software, siamo in grado di esportarli, facendo le stesse cose che Juniper SRX fa nell’ambiente fisico”.
E’ essenziale integrare la sicurezza fisica della rete e la virtualizzazione del server
Un prodotto che può fornire una vera sicurezza della virtualizzazione server è solo il primo passo. Le imprese devono poter integrare sicurezza fisica e virtuale in un unico punto di gestione in modo che le operazioni di sicurezza possano diventare più semplici e automatizzate.
“E’ necessario integrare la gestione del tool di sicurezza virtuale con i tool fisici, in modo che la ricerca di un dispositivo fisico o virtuale sia per i tecnici di rete la stessa operazione – ha concluso Jon Oltsik, Senior Analyst di Enterprise Strategy Group -. Le imprese dovrebbero avere una gestione comune delle policy ,in termini di controllo, reporting e auditing. Se ho dispositivi fisici e firewall virtuali, bisogna impostare una policy di sicurezza valida per entrambi, senza soluzione di continuità”.
