觀點

變動中的虛擬化 對資訊安全的新挑戰與機會

2010 / 05 / 03
廖邦彥
變動中的虛擬化  對資訊安全的新挑戰與機會

古今中外,往往朝代變更,天下易主時,隨之而起的就是大量的變革。度量衡貨幣文字政府制度,甚至語言,都有可能重新規劃與變更,進而周邊相關的人事物也跟著改變,度量衡與貨幣改變了,市場交易能源物資市場,銀行等關聯的周邊當然也得跟進。正所謂牽一髮而動全身,每個環節都可能跟其他部分互相關聯,其中一個部份的改變,可能會導致許多其他部分隨之受到影響,進而讓整個環境大洗牌。

 

雖然資訊系統環境的歷史尚淺,但是就光這幾十年下來,有許多的單一變化導致了整個環境的大變。從主從式架構變化到分散式環境、網路的普及化系統開發物件導向圖形化使用介面網際網路,每次一個成功的概念導入,資訊系統環境就有如戰國時代,隨之而來大大小小的改變以及不確定性。最近的資訊系統環境,資訊系統虛擬化以及雲端運算可以說是兩個實實在在將對業界產生很大衝擊的可能性,而在這裡很主觀的對雲端運算將系統資訊服務虛擬抽象化也一歸入在這個主題裡面, 因為雖然牽扯到的層面以及內容皆有不同,然而在這裡擺在一起,針對整個虛擬化的趨勢做分析探討,另外虛擬化的相似性也讓這兩個部分常常讓人擺在一起討論。

虛擬化對現有資安環境的影響

資訊環境虛擬化對資訊安全帶來許多影響,1是相關必須了解的課題。縱軸列出了幾個虛擬化所可能影響到的主題, 而橫軸則是列出幾個與安全及相關的領域,這裡提出相當主觀的看法,端看如何解釋直接或者間接的影響,甚至因為對雲端運算的不同定義表內容也會有所不同,然而,將兩個軸的主題,在虛擬化的導入之下所產生的變化,讓我們可以清楚的使用這種方式來分析這個課題對於資訊安全的影響,也讓我們可以使用這個方式來延伸我們的研究。以下就列出的幾項作說明

 

這裡做一些比較主觀的說明, 拋磚引玉出大家的想法。並不是說那些沒有註記的框框,資訊虛擬化就對其沒有影響,舉例來說,虛擬化下網路環境對於防毒,對於以往網路閘道防毒方式(在代理伺服器proxy server郵件伺服器,或是網路設備上增加防毒功能) 也改變了遊戲規則然而這裡我想要拿一些直接關聯的主題來跟大家討論虛擬化所帶來的影響,所以其他類似這些的部分可以繼續延伸的提出分析。拿其中的幾個例子稍做討論   

 

V(a), 虛擬化環境下作業系統的部分,主機型入侵防禦系統策略的影響

傳統的方式將HIDS 安裝於設備上或者及時察覺變化,在虛擬化的環境下,除了主機型入侵防禦系統的軟體相容性需要測試,在利用虛擬機器的檔案備份還原時,HIDS 要如何控管版本以及其他很多因為虛擬化產生的情況,例如利用同樣虛擬機器範本時,如何應對以達成資訊安全的目標

 

V (d), 虛擬化環境下網路的部分,防火牆設置的影響

網路設備虛擬化,防火牆對於實體與虛擬並存的網路架構要如何放在正確的位置這個部分,虛擬機器透過虛擬的交換機路由器,經由虛擬機器所存在主機的網路卡(network adapter) 進出實體網路,如何能夠跟傳統實體環境的防火牆作出無縫的整合?

 

針對上面列表的許多的可能性以及問題,接下來從企業用戶的因應方針,虛擬環境提供商的動作(現實面的考量),新環境所帶來的變化(新的機會與風險)來做討論。並在最後(萬變與不變)提供一點意見讓大家參考。

 

企業用戶的因應方針

在這個資訊變更快速的環境下,廠商能否發展出更安全的架構,企業用戶無法控制,只能要求以及期待但是這並不代表我們雙手一攤,坐以待斃。除了解決方案的功能多寡不能夠由用戶決定,有很多部分是用戶可以著墨施力的。最明顯的一個部分,就是虛擬系統版本以及樣本。此處樣本檔案指在虛擬環境上被用來複製在不同虛擬機器上的第一個檔案。

 

在虛擬系統的環境下,太容易將一個虛擬系統複製然後修改配置做為別的系統使用,但是這個系統的防毒系統補強、組態設定是不是都已經更新了,一個企業環境裡面到底有幾個不同的虛擬系統的版本,要用甚麼方法來管理,其他相關的課題如何確保在控制之下,如防毒主機入侵偵測、弱點與修補管理、組態管理等在虛擬環境之下如何控管。當然因為商業的需求,現在有越來越多的廠商針對這些部分提出了解決方案,也的確減輕了資訊人員的負擔,但是就算用戶沒有計畫或者預算使用這些解決方案,上述的內容仍然可以透過管理的方式達到控管的目標,所需要的是良好的管理流程以及嚴格的執行。

(請參考「虛擬環境管理SOP」)

 

 

現實面的考量
這幾年下來,虛擬環境
市場從百家爭鳴,經過了收購聯盟行銷等,這一塊市場不斷的蓬勃發展,很可惜的就跟大部分的情況一樣,一開始資訊安全又是被忽略,慢慢的才被大家所提出的疑問開始強化

 

虛擬機器已經在正式上線系統(production environment)環境被大量使用的時候,網路設備使用的減少,廠商要如何在虛擬網路設備授權收取費用,資訊安全的功能如何提供附加價值以及無形的商品,以至於促成廠商之間的結盟,無可避免的還是商業考量為優先日前思科 (Cisco)NetApp與VMWare 宣布結盟改善虛擬環境署的安全性,從網路儲存到虛擬機器環境來加強安全,之間當然也是以商業考量為主。

 

我們可以大致上把市場對於虛擬化的資訊安全廠商分成兩種, 一是虛擬化解決方案廠商所提的架構,如VMWare 一直在提的VMSafe架構,另一類的則是針對虛擬化環境提供管理與安全的廠商,像是HyTrustCatbird等。隨著市場的擴大以及成熟,慢慢的廠商經過了對於安全方面考量的忽視,如今已逐漸重視這個部分,其實就如同其他資訊科技,一開始著重產品的功能以及穩定,接下來才開始注意到安全的部分。而這些廠商最後將如何互相競爭以及對安全所產生的影響,我們需要注意選擇對企業整體虛擬環境最合適的方式來應用。


新的機會與風險

虛擬化帶來的不只是我們上面所提到的重新洗牌,在現有問題上(如防毒IPS網路安全等) 需要尋求新的途徑來解決,同時間,其實虛擬化也帶來很多給資訊系統或者資訊安全一些舊有議題新的機會比如說災難復原,在虛擬化的環境,考量到硬體軟體作業系統設定資料等的復原,就多了更多的可能性,只要是能夠在機器上面執行備份的虛擬機器,就可以讓系統重新運,而不必準備相同的硬體環境。而系統以及軟體也不需要重新還原,只要虛擬機器重新運以及其網路儲存還原,大部分的復原也就完成了。但是就像一把劍的兩面,同一個觀點,在竊取資料時,惡意使用者又多了一個可以竊取的目標=虛擬系統。對於安全的角度來講,很難說這些改變是好或者不好,但是可以確定的是,整個資訊環境必須重新的評估各個安全領域。 

 

 

萬變與不變  

資訊安全的原則是不會改變的,但是這裡不太適合說以不變應萬變」。只有原則不變,配合資訊虛擬化要做的改變相當多,虛擬與實體的環境共存的時候,要如何將固有的安全原則套入到嶄新的環境。而市場也逐漸演化到必須要開始對安全加注更多的精力,大部分的用戶對於虛擬環境的安全性仍然有顧忌,廠商若是不能在這方面取得使用者的信任,將對於開拓市場造成阻力(3),這樣的發展對安全來說是一個好的趨勢,也說明了在商業的環境,安全功能經由使用者需求產生,雖然說理想的情況,是該一開始的產品應用規劃就將安全列入考量,而不是事後補救。

 

用戶能做的,是在安全基本概念框架下,對於虛擬環境版本的控制以及管理著眼,配合廠商環境的不斷改變以及安全性的提升,導入以及使用安全工具以及管理模組,這個環境還在不斷的變化,定期的檢視環境以及現有新的選項來組合出最適合的安全策略將是面對虛擬化的環境很好的一個策略。

 
本文作者任職美國個人儲存公司資深安全工程師