Уязвимости гипервизора – угроза виртуальной инфраструктуре и облаку

При переходе от физической инфраструктуры к виртуальной возникает множество новых угроз. При расширении виртуализации до облака их список расширяется, а возможный ущерб от их эксплуатации многократно возрастает. В этой статье хотелось бы поговорить про одну из основных «новых» угроз в виртуальной среде – уязвимости гипервизора. Рассмотрим основные классы уязвимостей гипервизоров на примере VMware vSphere и возможные пути защиты от их эксплуатации.

VMware Certified Associate - бесплатная сертификация специалиста

Компания VMware представила новые базовые курсы по трем направлениям - виртуализация, облака и VDI. В честь запуска курсов и открытия онлайн-сертификации по ним, предоставляется бесплатный доступ к обучению и сдаче экзамена до конца октября.

Перечень курсов:

• VMware Certified Associate – Datacenter Virtualization (VCA-DCV) - виртуализация в целом, базовый курс на понимание технологий виртуализации и знание продуктов vSphere.
• VMware Certified Associate – Cloud (VCA-Cloud) - облачные технологии, курс на понимание понятия облаков, публичные и частные облака, гибридные технологии и знание продуктов vCloud.
• VMware Certified Associate – Workforce Mobility (VCA-WM) - виртуализация рабочих мест, курс на базовое понимание технологии VDI и знание продуктов View.

Sесure World 2013

Последние пару недель выдались тихими, сразу после посещения DLP Russia, о которой уже написали, наверное, все посетившие мероприятия коллеги, я ушел в отпуск и был занят далекими от информационной безопасности делами. Но отпуск прошел и нужно возвращаться в строй.

Серьезные статьи ждут вас чуть позже, а сейчас хотелось бы пригласить вас на конференцию Sесure World 2013. Конференция однодневная, проходит 10 октября в Санкт-Петербурге (место проведения - Холидей ИНН, Московский пр., 97).

План проведения мероприятия почти классический - вступительная часть, четыре тематических секции и демо-зона. От нашей компании во второй секции будет выступать региональный представитель Денис Полянский с темой «Защита виртуальной инфраструктуры компании». Также у нас будет стенд в демо-зоне, где я буду демонстрировать наши продукты и отвечать на вопросы посетителей.

Кроме докладов от вендоров, на конференции запланированы три интересных выступления от государственных организаций:

1. «Реализация концепции информационной безопасности Ленинградской области», докладчик - заместитель руководителя ГКУ ЛО "Оператор электронного правительства" (Правительство Ленинградской области) Андрей Свистунов;
2. «Использование средств аутентификации граждан», докладчик - технический директор  УОС (Универсальная электронная карта) Игорь Орлов;
3. «Кибербезопасность в современных условиях. ИБ Открытого университета», докладчик -  CIO СПБГУ Илья Горбунов.

Зарегистрироваться на мероприятие можно по этой ссылке.

P.S. В тот же день в Москве проходит Kaspersky Virtualization Conference 2013, на которой выступит Хамаганов Яков, менеджер по продукту vGate.

Обучающий семинар по защите виртуализации (Санкт-Петербург)

Наша компания проводит регулярные семинары для партнеров в Санкт-Петербургском офисе. В ближайшее время состоится обучающий семинар по защите виртуализации. Это будет новый для нас формат, все предыдущие мероприятия были теоретическими и проводились в формате презентаций, планируемый семинар будет практическим - мы будем в реальном времени демонстрировать развертывание и настройку нашего продукта по защите виртуальной инфраструктуры - vGate.

Семинар пройдет 20 сентября, начало в 10:30, планируемое время окончания - 15:00.

Место проведения: г. Санкт-Петербург, Пискаревский пр-т, д. 2, корп. 3, лит. А, БЦ «Бенуа», 2 этаж, офис 210, схема проезда.

К сожалению, у нас не очень большой размер помещения, поэтому количество участников семинара очень ограничено, в данный момент свободно всего около 5 мест. Форма регистрации на семинар располагается тут (необходима регистрация как партнера).

Обзор проекта ГОСТ по защите виртуализации

На сайте технического комитета по стандартизации № 362 ("Защита информации") выложен проект ГОСТ Р ХХХХХ-20ХХ «Защита информации. Требования по защите информации, обрабатываемой с использованием технологии виртуализации . Основные положения», разработанный ФАУ "ГНИИИ ПТЗИ ФСТЭК России". Данный стандарт рассматривает требования по защите виртуализации во всех аспектах, в том числе виртуальные сети, СХД и sandbox'ы. В данной статье приведен мой обзор этого документа.

vGate Compliance Checker - обзор

В предыдущей заметке я поднял вопрос об аудите безопасности виртуальной инфраструктуры путем анализа конфигурации и мне поступило несколько вопросов по нашей бесплатной утилите vGate Compliance Checker.

vGate Compliance Checker позволяет быстро и просто проверить соответствие настроек виртуальной инфраструктуры требованиям отраслевых стандартов, рекомендаций и лучших практик. Поддерживается проверка ESX- и ESXi-серверов из состава VMware vSphere 4.1, VMware vSphere 5 и VMware vSphere 5.1. Предыдущая версия утилиты работает с ESX из состава VMware Infrastructure 3 и VMware vSphere 4.

Заметка об аудите безопасности виртуальной инфраструктуры путем анализа конфигурации

Тема автоматизированного аудита безопасности виртуальной инфраструктуры уже не раз поднималась в различных публикациях. Сегодня на Хабре появилась очередная статья по данной теме.
В статье автор приводит краткий обзор отличий угроз физической инфраструктуры от виртуальной, хотя, на мой взгляд, в части угроз, старая публикация на том же Хабре от компании КРОК более информативная и полна.
Суть же статьи сводится к анонсу разработки автоматизированного средства для аудита настроек виртуальной инфраструктуры для поиска ошибок в конфигурации. В конечном счете всё сводится к проверки на соответствие VMware Security Hardening Guides.
VMware Security Hardening Guides - это Exсel-документ, содержащий список критически важных настроек для ESXi, виртуальных машин, виртуальных сетей и т.д. По каждому параметру описана проблематика, приведено рекомендуемое значение параметра и различные комментарии.
Проверяя соответствие ВИ рекомендациям VMware Security Hardening Guides добиться закрытия угрозы неправильного конфигурирования ВИ нельзя. Существует еще много возможных вариантов реализации этой угрозы - неправильные настройки доступов, некорректные сетевые настройки виртуальных машин (например, добавление виртуальной машины во внутреннюю сеть администрирование - частая ошибка администраторов ВИ) и так далее.
Кроме того, уже существуют утилиты для автоматизированных проверок на соответствие требованиям - vGate Compliance Checker, VMware vCenter Configuration Manager Free Compliance Checkers (в отличие от vGate CC, не поддерживает vSphere 5.1) и другие.
Однако готового автоматизированного средства для реальной проверки правильности конфигурирования, а не проверки соответствия требованиям и рекомендациям, в данный момент на рынке нет. Кроме того, написать такое средство достаточно сложно - либо в нем нужно будет реализовывать сложную эвристику с множеством ложных срабатываний, либо процесс подготовки к автоматизированному аудиту будет сравним по сложности с самим аудитом.

Защищаем виртуальную инфраструктуру по требования 21 и 17 приказов ФСТЭК

Важность защиты виртуальной инфраструктуры не вызывает вопросов, список новых угроз, возникающих при переходе от физических серверов к виртуальным, обширен, и ФСТЭК впервые в 21 и 17 приказах не обошел эту проблему стороной. Давайте разберемся, какие средства защиты информации способны выполнить базовые меры из требований приказов ФСТЭК.

Рассмотрим базовые мерами по защите, указанные в 11 разделе "Защита среды виртуализации (ЗСВ)" таблицы из приложений к приказам ФСТЭК: