Продолжаем вас знакомить с продуктом vGate R2, предназначенным для защиты виртуальных сред VMware vSphere. Напомним, что он позволяет производить автоматическую настройку конфигурации безопасности хост-серверов VMware ESX / ESXi средствами политик, защищать инфраструктуру от несанционированного доступа (НСД), а также имеет все необходимые сертификаты ФСТЭК.
vGate R2 обеспечивает защиту от НСД с помощью меток конфиденциальности, назначаемых основным ресурсам виртуальной инфраструктуры:
Метка конфиденциальности - это принадлежность ресурса или пользователя к какой-либо категории (то есть, например, отдел в компании или класс обрабатываемой информации, например, секретно). Есть три типа меток, которые "накладываются" на ресурсы и учетные записи пользователей:
Иерархическая метка - это метка, которая содержит уровень конфиденциальности. Уровень конфиденциальности - это сущность, которая строго иерархически (Неконфиденциально->Для Служебного пользования->Секретно->Совершенно Секретно) определяет возможность доступа пользователей к ресурсам и ресурсов друг к другу.
Неиерархическая метка - это метка, которая содержит категорию конфиденциальности. В вашей инфраструктуре может быть сколько угодно категорий, при это все они будут находиться на одном уровне иерархии. Поэтому механизм прост - если у ресурса есть такая метка (категория) - то пользователь из этой категории может его использовать.
Составная метка - это метка, которая содержит одновременно один уровень конфиденциальности и одну или несколько категорий конфиденциальности. Например, они могут пригодиться для работы с совсекретными данными (уровень), но с которыми работают разные отделы (категория).
Таким образом, vGate R2 позволяет создать соответствующие домены безопасности при работе пользователей в инфраструктуре предприятия:
Сегодня мы поговорим о том, зачем именно нужно использовать решение vGate R2 от компании Код Безопасности, если в VMware vSphere, казалось бы, есть все необходимые механизмы для обеспечения ИБ виртуальной среды.
18 июля 2013 г. компания «Сертифицированные информационные системы» объявила о получении сертификата ФСТЭК России на программное обеспечение VMware vSphere 5.1 и программное обеспечение для виртуализации рабочих мест VMware View 5.1. Встроенные механизмы защиты vSphere 5.1 сертифицированы в ФСТЭК России только на
соответствие техническим условиям (ТУ) с ограничениями.
Но достаточно ли использования сертифицированных механизмов защиты vSphere 5.1 без дополнительных средств защиты информации (СЗИ) для выполнения требований законодательства? Мы провели некоторый анализ функциональных возможностей платформы VMware vSphere и дополнительного средства защиты vGate от компании Код Безопасности в контексте средств защиты от НСД и выполнения требований и норм российского законодательства.
Давайте взглянем на то, что именно означает сертификация ФСТЭК платформы VMware vSphere 5.1, то есть приведем формальные границы применения полученных VMware сертификатов, а также рассмотрим дополнительные характеристики сертифицированного средства vGate:
VMware
vSphere
5.1 в
редакциях
Standard,
Enterprise,
Enterprise
plus,
VMware
View 5.1 в
редакциях
Premier,
Enterprise
ТУ с ограничениями
УЗ-3 (без угроз 2-го уровня) или УЗ-4
К3
1Г
Только в информационных системах, аттестованных по требованиям безопасности информации, в которых для защиты информации от НСД применяются средства защиты информации, имеющие сертификат ФСТЭК России на соответствие требованиям РД СВТ.
Без применения сертифицированных ФСБ России средств криптографической защиты информации возможно использование только в информационной системе, не имеющей выходов за пределы контролируемой зоны.
Должна быть обеспечена защита данных виртуальных машин путем разграничения доступа к дискам виртуальных машин, реализуемого сертифицированными СЗИ от НСД.
Должна быть обеспечена защита от несанкционированного доступа к серверам виртуальных машин и средствам управления инфраструктуры путем применения сертифицированных межсетевых экранов и средств защиты от НСД.
Допустимые версии операционных
систем: vCenter клиент – Windows 7,
vCenter сервер – Windows Server 2008
R2 SP1 Standart
Средство защиты информации
vGate R2
5
4
ТУ
УЗ-1
К1
1Г
Функционирование в среде VMware
vSphere 4.x, VMware vSphere 5 и 5.1,
VMware View 4.5 и 5, любые гостевые ОС Windows.
vGate-S R2
2
ТУ
УЗ-1
К1
1Б
Функционирование в среде VMware
vSphere 4.x, VMware vSphere 5 и 5.1,
VMware View 4.5 и 5, любые гостевые ОС Windows.
Как видно из таблицы, сертифицированная платформа VMware vSphere 5.1 имеет следующие существенные ограничения по применению:
необходимость аттестации информационных систем виртуальной среды
обязательное использование сертифицированных средств для защиты от НСД, а также сетевых экранов
жесткая привязка к сертифицированным версиям Windows 7 и Windows Server 2008 R2 SP1 Standard.
Невыполнение какого-либо из пунктов cделает невозможным аттестацию виртуальной инфраструктуры, работающей с персональными данными, при использовании платформы VMware vSphere 5.1. Решение vGate R2 таких ограничений при эксплуатации не накладывает и позволяет использовать любые несертифицированные версии поддерживаемых ОС Windows. Также оно может применяться для защиты АС до класса 1Б включительно (гостайна с грифом «совершенно секретно» включительно), любых ИСПДн и ГИС.
Помимо формальных причин, делающих не всегда возможным применение платформы VMware vSphere в средах с повышенными требованиями к безопасности, есть также функциональные недостатки платформы vSphere, которые закрывает продукт vGate.
Администраторов инфор-
мационной безопасности
(АИБ)
(используя механизмы
ОС)
Поддержка аппаратных
аутентификаторов
(eToken, iButton)
Да, но механизм не сертифицирован
Интеграция с Active Directory
Разграничение доступа
Разделение ролей АВИ и
АИБ
Разграничение доступа
между разными АВИ
Дискреционное
Иерархическое мандатное
Неиерархическое мандатное
Мандатный доступ гипервизора к виртуальным машинам (ВМ), ВМ к сетям,
ВМ к системам хранения
данных
Разрешение сетевого доступа к серверам виртуализации только с доверенных АРМ админи
страторов (по IP адресу)
Объекты доступа
ВМ
Элементы инфраструктуры
Данные виртуальных машин
Внешние служебные сервера
Контроль целостности
Гипервизора
Средства управления ВИ
Конфигурации виртуальных машин
Автоматизированный бизнес-процесс утверждения изменения конфигурации ВМ у АИБ
Жестких дисков виртуальных машин
Файлов виртуальных машин
Контроль целостности и удостоверение подлинности всего трафика, идущего к серверам виртуализации (включая трафик от внешних служебных серверов, АРМ администраторов) по секретным ключам
Отчеты о соответствии международным и региональным стандартам
Поддержка кластеризации, отказоустойчивых конфигураций
Поддержка развертывания на виртуальной машине
Готовые профили (шаблоны) защиты в соответствии с международными и региональными стандартами
(VMware Security Hardening, CIS, PCI DSS,
СТО БР ИББС, ФЗ-152)
(только документ Security Hardening)
Интеграция с SIM/SIEM (ArcSight и подобные)
Выполнение требований приказов № 17 и 21 ФСТЭК России
ЗСВ.1
ЗСВ.2
(совместно с СЗИ от
НСД на ВМ)
ЗСВ.3
ЗСВ.4
ЗСВ.5
(совместно с МДЗ для
аппаратных серверов)
ЗСВ.6
ЗСВ.7
ЗСВ.8
ЗСВ.9
ЗСВ.10
Если посмотреть на возможности функционала для защиты инфраструктуры виртуализации от НСД с помощью продукта vGate R2, то можно вкратце так сформулировать различия между встроенными средствами vSphere и решением vGate (см. также наши статьи про защиту от внутренних и внешних угроз):
Виды угроз
vGate R2 2.5
vSphere 5.1
Угрозы аппаратной платформе
Нарушение работы аппаратных компонент серверного оборудования с установленными компонентами виртуальной среды
Несанкционированное извлечение из серверного оборудования и кража носителей информации
Нарушение сетевой коммутации
Угрозы гипервизору
Некорректная настройка параметров гипервизора и виртуальных машин, влияющих на безопасность
Ошибки в работе ПО гипервизора
Загрузка со съемных носителей с последующим получением доступа к данным гипервизора
+-
Подмена исполняемых модулей ПО гипервизора
Несанкционированный удаленный доступ к ресурсам гипервизора вследствие сетевых атак
Истощение вычислительных ресурсов сервера с гипервизором вследствие атак
Случайное или умышленное искажение/уничтожение образов виртуальных машин
Угрозы системе управления виртуальной средой
Получение несанкционированного доступа к консоли управления
Получение несанкционированного удаленного доступа к интерфейсу системы управления
Несанкционированное изменение виртуальной аппаратной конфигурации ВМ
Подмена компонентов виртуальной инфраструктуры
Угрозы ИТ-инфраструктуре, реализованной в рамках виртуальной среды
Развертывание новых плохо защищенных виртуальных машин
«Смешение» информации различного уровня конфиденциальности в рамках единой аппаратной платформы
Подмена и/или перехват данных и оперативной памяти виртуальных машин в процессе их миграции средствами виртуальной среды
Проведение сетевых атак между виртуальными машинами
Вирусное заражение виртуальных машин
Подмена загружаемой гостевой операционной системы
Утечки защищаемой информации вследствие действий внутренних нарушителей
Перехват трафика, направленного вне виртуальной инфраструктуры, в том числе по сетям общего пользования
Сетевые атаки на виртуальную инфраструктуру
Как видно из приведенных выше таблиц, СЗИ от НСД vGate R2 имеет больше инструментов для защиты виртуальной инфраструктуры и нейтрализации следующих угроз:
Аутентификация пользователей и компьютеров.
Мандатное (иерархическое и неиерархическое) разграничение доступа к средствам управления виртуальной
инфраструктурой.
Контроль целостности всех компонентов и настроек средства защиты.
Контроль целостности и доверенная загрузка виртуальных машин.
Регистрация событий безопасности.
Формирование отчетов о состоянии параметров безопасности виртуальной инфраструктуры, произошедших событиях и внесенных в конфигурацию.
Защита ESX-серверов.
Защита от НСД внутри сети администрирования.
Контроль монтирования устройств к ESX-серверам.
Обеспечение доверенной программной среды на ESX-серверах.
Управление фильтрацией входящего трафика.
Политики безопасности защищаемых объектов, а также готовые шаблоны, соответствующие выполнению требований международных и отраслевых стандартов.
Кроме того, СЗИ от НСД vGate R2 позволяет выполнить большинство требований приказов № 17 и 21 ФСТЭК России по защите виртуальной инфраструктуры.
RSS
