1 / 43

Безопасность частного облака на основе технологий Microsoft

Безопасность частного облака на основе технологий Microsoft. Бешков Андрей Руководитель программы информационной безопасности Microsoft abeshkov@microsoft.com. Послеобеденная кома?!!. О чем будем говорить?. Какие бывают облака Основные проблемы безопасности приватных облаков

farren
Download Presentation

Безопасность частного облака на основе технологий Microsoft

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. Безопасность частного облака на основе технологий Microsoft Бешков Андрей Руководитель программы информационной безопасности Microsoft abeshkov@microsoft.com

  2. Послеобеденная кома?!!

  3. О чем будем говорить? • Какие бывают облака • Основные проблемы безопасности приватных облаков • Построение безопасного приватного облака

  4. Что такое облака?

  5. Определение облака от NIST Модели развертывания ГибридныеОблака Сервисные модели Частные облака Облака сообществ ПубличныеОблака Основные характеристики Infrastructure as a Service (IaaS) Platform as a Service (PaaS) Software as a Service (SaaS) • Масштабируемость Отказоустойчивость Гомогенность Гео. распределенность Самообслуживание Общие характеристики Доступность отовсюду Эластичность Виртуализация Ориентация на сервис Пулы ресурсов Оплата за сервис Недорогое ПО Безопасность

  6. Сервисные модели (On-Premises) Infrastructure (as a Service) Platform (as a Service) Software (as a Service) Вы управляете Приложения Приложения Приложения Приложения Данные Данные Данные Данные Вы управляете Исп. файлы Исп. файлы Исп. файлы Исп. файлы Вы управляете Управляют другие Драйвера Драйвера Драйвера Драйвера Управляют другие ОС ОС ОС ОС Виртуализация Виртуализация Виртуализация Виртуализация Управляют другие Сервера Сервера Сервера Сервера Хранилища Хранилища Хранилища Хранилища Сеть Сеть Сеть Сеть

  7. Гибридные облака? Публичные Облака Привычные ИТ системы Партнерские Облака Частные облака Публичные Облака Публичные Облака

  8. Как Microsoft видит частное облако Характеристики: • Самообслуживание арендаторов • Оплата за потребляемые ресурсы • Автоматическое развертывание, управление и мониторинг • Интерфейс мониторинга и отчетности доступный арендаторам Частное облако предоставляет ОС и набор виртуализованных разделяемых ресурсов В центре внимания приложения. Наборы ресурсов создаваемые автоматически отходят на второй план Виртуализация Управление Наборы ресурсов создаются на основе бизнес правил с помощью ПО автоматизации Вы не думаете об инфраструктуре в терминах количества вирт. машин и уровне консолидации, ОЗУ или хранилища. Думаете о размере вычислительной мощности доступной потребителю

  9. Безопасность ЦОД Microsoft Физическая безопасность мирового уровня Международная сертификация • Ограниченный доступ 24x7 • Системы контроля доступа • Видео-наблюдение • Датчики движения • Сигнализация событий нарушения безопасности • Сертификация системы управления безопасностью ISO/IEC 27001:2005 • Ежегодная аттестация SAS-70 Type II • Разрешение эксплуатации по FISMA

  10. Типовой виртуализированный ЦОД

  11. Типовое решение облака IaaS • Автоматическое развертывание вирт. машин • Раздельное администрирование для арендаторов инфраструктуры • Автоматическое развертывание юнитов масштабирования (кластерами до 16 узлов) • Обновление хостов и вирт. машинбез прерывания сервиса • Мониторинг инфраструктуры и автоматические корректирующие действия

  12. Логическая архитектура облака IaaS

  13. Основные проблемы безопасности • Безопасность названа главнейшим препятствием на пути к применению облаков • Основные проблемы: • Изоляция арендаторовдруг от друга и инфраструктуры облака на уровне вычислительных ресурсов, хранилища, сети • Аутентификация / Авторизация / Аудитдоступа к облачным ресурсам и физической инфраструктуре • Влияние на КЦД сервисов или данных с помощью уязвимостей в ПО или зловредного кода • Неавторизованный доступ или DoSатаки из-за неправильной настройки #КЦД = Конфиденциальность, Целостность иДоступность Источник: IDC Enterprise Panel, August 2008

  14. Forefront Protection Management Encrypting File System (EFS) BitLocker™ Information Protection Identity & AccessManagement SystemsManagement Стек безопасности технологий Microsoft Управляемая инфраструктура ключ к безопасности Services Edge Edge Server Applications Server Applications Network Access Protection (NAP) Client and Server OS Client and Server OS Certificate Lifecycle Management Active Directory Federation Services (ADFS) TWC SDL

  15. Монолитный гипервизор VMware • Нет многослойной защиты • Вся систем виртуализации работает на одномуровне привилегий Вирт. машина Вирт. машина Вирт. машина User Mode User Mode User Mode Кольцо 3 Kernel Mode Kernel Mode Kernel Mode Кольцо 0 • Планировщик • Управление памятью • Стек системы хранения • Сетевой стек • Управление состоянием вирт. машин • Виртуальные устройства • Бинарный транслятор • Драйвера устройств • API управления Кольцо -1 Оборудование

  16. Микроядерный гипервизор Hyper-V • Многослойная защита • Применение аппаратной защиты DEP, TPM • Малый размер гипервизора • Разграничение привилегий Вирт. машина Вирт. машина Родительский раздел Управление состоянием вирт. машин Виртуальные устройства APIуправления User Mode User Mode Ring 3 Стек системы хранения Сетевой стек Драйвера Kernel Mode Kernel Mode Ring 0 • Планировщик • Управление памятью Ring -1 Оборудование

  17. Уязвимости виртуализации “The fact is, the absolute last place you want to see drivers is in the hypervisor, not only because the added abstraction layer is inevitably a big performance problem, but because hardware and drivers are by definition buggier than "generic" code that can be tested.” Linus Torvalds, https://lists.linux-foundation.org/pipermail/desktop_architects/2007-August/002446.html

  18. Уязвимости ТОП 20 производителей ПО Источник Secunia 2011 yearly report

  19. Стек виртуализации Provided by: Rest of Windows Hyper-V VM WorkerProcesses WMI Provider VMService ISV WindowsKernel DeviceDrivers Windows hypervisor VirtualizationServiceClients(VSCs) VirtualizationServiceClients(VSCs) Enlightenments Enlightenments VMBus Атаки на стек виртуализации Родительский раздел Вирт. машина Guest Applications Ring 3: User Mode OSKernel VirtualizationServiceProviders(VSPs) Server Core VMBus Ring 0: Kernel Mode Оборудование

  20. Защита стека виртуализации • Каждая ВМ получает свой собственный ресурс ОЗУ, дисков, ЦПУ, сетей • Отдельный процесс обслуживания для каждой ВМ • Изолированные каналы взаимодействия ВМ и родительского процесса • ВМ не может влиять на другие ВМ, родительский раздел и гипервизор • Взаимодействие ВМ только через родительский раздел • Server core уменьшает поверхность атаки • ~50% меньше обновлений

  21. Hyper-V Authorization ManagerЕдиная система авторизации и идентификации • Ролевое управление группами хостов и ВМ • Привязка ролей и групп к AD • Рекомендуется создавать дополнительные роли • Комбинация из 33-хопераций для каждой роли • Обслуживание хоста Hyper-V • Обслуживанием сетей Hyper-V • Обслуживание ВМ Hyper-V

  22. Virtual Machine ManagerЕдиная система авторизации и идентификации Роли: • Administrator Полный доступ ко всем хостам, ВМ и серверам библиотек ВМ. • Delegated Administrator Административный доступ к группе хостов и серверов библиотек • Self-Service User Административный доступ к ограниченному набору ВМчерез веб интерфейс портала самообслуживания • Создание нестандартных ролей доступа через портал самообслуживания

  23. Изоляция сетевого траффика • Сегментация сети хоста и ВМ с помощью VLAN 802.1Q • Раздельные физические сетевые адаптеры на хосте Hyper-V • Фильтрация трафика между VLAN c помощью межсетевого экрана

  24. Физическая сеть хоста Hyper-V • Сегментация сети с помощью VLAN Раздельные физические сетевые адаптеры на хосте Hyper-V • Один для управления Hyper-V (изолирован VLAN) • Один или более для трафика ВМ • Выделенный адаптер для сети СХД (iSCSI) • Во внешние сети подключать только ВМ

  25. Изоляция ВМ в виртуальных сетях Hyper-V

  26. Сеть: Родительский раздел

  27. Сеть: Вирт. коммутатор

  28. Изоляция управляющего канала

  29. Использовать Windows Firewall with Advanced Security (WFAS) на хосте и ВМ Настройки межсетевого экрана распространять с помощьюгрупповых политик Правила межсетевого экрана могут применяться через портал самообслуживания Использование IDS/IPS для обнаружения аномалий сетевого трафика и реагирования на них. Фильтрация сетевого трафика

  30. Servers with Sensitive Data Server Isolation HR Workstation Managed Computer Domain Isolation Managed Computer Изоляция сегментов с помощью IPSec Active Directory Domain Controller Corporate Network Trusted Resource Server X Unmanaged/Rogue Computer X Untrusted Ограничение доступа к ресурсам в зависимости от доверия к системе Блокируем входящие соединения от недоверенных клиентов Управляемые системы могу работать друг с другом Определить логические границы Распространяем политики и данные аутентификации

  31. Сервера восстановления Example: Patch Карантинная сеть Корпоративная сеть Network Access Protection Сервера политик such as: Patch, AV • Проверка здоровья клиентов, физ. хостов и ВМ • Снижение риска от неавторизованных, устаревших или атакованных систем Не соотвествует Соответствует DHCP, VPN Switch/Router Клиент, сервер или ВМ NPS

  32. Развертывание виртуальных машин одной кнопкой прекрасно…. Внедрение виртуализации без управления способно принести больше вреда, чем пользы. Результатом автоматизации бардака всегда становится автоматизированный бардак!

  33. Автоматизация управления, мониторинга и отчетности • Сложность управления инфраструктурой ухудшает безопасность • Ручные операции на множестве систем выполняемые множеством администраторов приводят к ошибкам • Если вы не знаете что есть в вашей инфраструктуре вы не можете этим управлять! Порталы и отчеты Сторонние решения

  34. Автоматизация управления, мониторинга и отчетности ИТ задачиПроцесс развертывания ВМ • Остановить устаревшую ВМ, освободить ресурсы, удалить из CMDB • Клонировать ВМ • Обновить ВМ, развернуть приложения • Зарегистрировать новый объект в CMDB и подключить мониторинг Event Mgmt Remove from Ops Manager Add to Ops Manager Service Desk Monitor Service request Update request Update request Update & close request Create incident Asset/CMDB Create CI Retire CI Configuration Test VM Deploy Applications Verify Application Virtual Stop VM Clone new VM Update properties 1 5 3 2 4 Security Storage Detach Storage Server Network Detach Network Adapter

  35. Обновление хостов Hyper-Vс помощью System Center и Orchestrator 1 2 3 5 6 7 8 4

  36. СоответствиеХостов, ВМ, приложений требованиям политики • Проверьте базовую конфигурацию рекомендуемую Microsoft для: • Членов домена, Хостов Hyper-V, Контроллеров доменаи.т.д. • Применение базовой конфигурации • Экспорт из библиотеки Microsoft Security Compliance Manager в групповую политику • Измерение соответствия базовой конфигурации • Экспорт из библиотеки Microsoft Security Compliance Export вDCM пакет Configuration Manager и создание отчетов по собранным данным

  37. Библиотека рекомендаций Microsoft Security Compliance Manager • Windows Server 2008 R2 AD Certificate Services Server Baseline • Windows Server 2008 R2 Attack Surface Reference.xlsx • Windows Server 2008 R2 DHCP Server Baseline • Windows Server 2008 R2 DNS Server Baseline • Windows Server 2008 R2 Domain Baseline • Windows Server 2008 R2 Domain Controller Baseline • Windows Server 2008 R2 Member Server Baseline • Windows Server 2008 R2 File Server Baseline • Windows Server 2008 R2 Hyper-V Baseline • Windows Server 2008 R2 Network Access Services Server Baseline • Windows Server 2008 R2 Print Server Baseline • Windows Server 2008 R2 Remote Desktop Services Baseline • Windows Server 2008 R2 Web Server Baseline • Windows Server 2008 R2 Setting Pack • Windows Server 2008 R2 Security Guide.docx • Windows 7, Windows Vista, Windows XP, • Windows Server 2008 R2, Windows Server 2008, Windows Server 2003, Internet Explorer 8 • Microsoft Office 2010, and Office 2007

  38. Контроль приложений Applocker или SRP • Запуск только разрешенных приложений на хосте Hyper-V, виртуальной машине, клиенте, • Контроль по издателю, версии, хэшсумме

  39. Защита данных от утечек и инсайдеров RMS EFS BitLocker Защита информации в течении всего цикла жизни Шифрование данных основных приложений Microsoft Шифрование директорийс данными Хранение ключей EFS на смарткарте Защита данных и ОС Безопасная передача данных партнерам и клиентам

  40. Панацея? Все проблемы безопасности частного облачных сред технически средствами не решить: • Единая система мониторинга, управления, развертывания, обновления System Center • Разделение полномочий развертывания, защиты, аудита • Включение в проекты сотрудника отдела безопасности • Единая система аутентификации и авторизации доступа к физическим и виртуальным элементам облачного ЦОД • Строжайшие политики физического доступа • Политики выноса данных из ЦОД?

  41. Ресурсы • Microsoft Virtualization: • http://www.microsoft.com/virtualization • Microsoft Virtualization TechCenter • http://technet.microsoft.com/ru-ru/virtualization/default.aspx • Microsoft Hyper-V Security Guide • http://technet.microsoft.com/en-us/library/dd569113.aspx • Windows Virtualization Blog Site: • http://blogs.technet.com/virtualization/default.aspx • Windows Server 2008 Virtualization & Consolidation: • http://www.microsoft.com/windowsserver2008/en/us/virtualization-consolidation.aspx • System Center Virtual Machine Manager (SCVMM) • http://www.microsoft.com/systemcenter/virtualmachinemanager/en/us/default.aspx • Hyper-V FAQ • http://www.microsoft.com/windowsserver2008/en/us/hyperv-faq.aspx

  42. Ресурсы • Virtualization Hypervisors” evaluation criteria: http://www.burtongroup.com/Client/Research/Document.aspx?cid=1569 • Security Best Practices for Hyper-V and Server Virtualization http://bit.ly/hq6chE • Virtualization Security Overview by Cisco http://bit.ly/eJqi0Z • Private Cloud Solution Hub • www.technet.com/cloud/private-cloud • Private Cloud IaaS Page • www. microsoft.com/privatecloud

  43. Вопросы? abeshkov@microsoft.com http://beshkov.ru http://twitter.com/abeshkov

More Related