Ambientes virtualizados exigem novas abordagens de segurança

A mudança para ambientes de computação quase totalmente virtualizados está impulsionando a adoção de uma nova abordagem para a segurança nas empresas. Muitos gestores de segurança de TI começam a sentir necessidade de aplicar controles para tecnologia VMware e Microsoft Hyper-V. E, ao que tudo indica, ainda há muito trabalho por fazer neste campo.

“Estamos muito perto dos 100% de virtualização“, diz Gurusimran Khalsa, supervisor de sistemas do departamento de serviços humanos no estado do Novo México. Os servidores dessa organização são baseadas em vSphere VMware, e um projeto de virtualização de desktops começa também a ser implantado. Os 170 servidores virtuais (VMs) estão em um data center local, com uma gama de aplicações Web, sistemas de TI em múltiplas camadas, servidores de arquivos, servidores de domínio, servidores SharePoint e SQL.

Por causa de uma falha de segurança ocorrida há alguns anos – a perda de dados confidenciais foi considerada tão séria que foram demitidas várias pessoas de TI – a organização tem procurado manter uma rédea curta. Exige autenticação de dois níveis para o acesso a servidores, etc. Mas enquanto os benefícios da virtualização, como a consolidação de servidores, estavam sendo implantados, a TI não percebeu como essa transformação teria impacto na segurança, diz Khalsa.

Havia cada vez maior preocupação entre os responsáveis de segurança e de conformidade sobre a possibilidade do vCenter VMware ser comprometido. Seria o colapso da instituição. “É o ponto central de acesso ao vCenter que gere o nosso ambiente de produção”, explica Khalsa.

Para reforçar a segurança nesse ponto, a organização decidiu instalar a appliance virtual HyTrust. Ele intercepta os pedidos de administração de sistemas dirigidos à infraestrutura virtual, para determinar se as solicitações estão em conformidade com as políticas da organização. “Temos administradores vSphere com um nível superior de acesso”, revela Khalsa. O HyTrust pode ser configurado para garantir que apenas determinados volumes de trabalho sejam iniciados em sistemas específicos ou clusters. Além disso, consegue rotular objetos virtuais e aplicar-lhes políticas.

A agência também começou a usar firewall Juniper vGW, cuja tecnologia foi herdada pela o fabricante, na aquisição da Altor Networks , em Dezembro passado. “O firewall está posicionado entre o VM e o vSwitch”, diz Khalsa. “É configurado de maneira semelhante a um firewall regular, concedendo privilégios mínimos.”

O organismo público ainda usa ligações de VLAN para isolar alguns servidores, mas o firewall de gateway virtual da Juniper oferece controles muito mais granulares. Tem a capacidade de fazer análises internas sobre as máquinas virtuais para ver o que está instalado e configura regras com base nisso, explica Khalsa.

Outras organizações e empresas admitem a necessidade de olhar para novas abordagens de segurança nos seus ambientes virtualizados. “Temos cerca de 80% dos sistemas virtualizados”, revela Rick Olejnik, chefe de segurança de informação do escritório de advocacia Rausch, Sturm, Israel, Enerson & Hornik (RSIEH), de Brookfield, em Wisconsin.

Uma das principais preocupações era garantir a segurança dos dados de cartão de crédito, mesmo quando não estão operacionais. Há cerca de um ano ou mais, os bancos e instituições financeiras clientes da RSIEH deixaram claro que, embora estes números de cartão já não estivessem ativos, ainda precisam de ser protegidos segundo as regras de pagamento do setor de cartões.

Isso significava ter de criptografá-los. Ojenik explicou como esse aspecto levou à decisão de implantar um appliance Vormetric, há cerca de oito meses, para fazer a gestão das chaves de criptografia, e do software de criptografia em servidores ESX para codificar dados PCI, em repouso. Ao mesmo tempo, foi adotado um agente de software para decodificarr os dados capazes de permitir o acesso e o processamento de informações pela aplicação Master Collection.

“Funciona no núcleo e não tem havido problemas de desempenho”, sustenta Olejnik. Mas além de adicionar a criptografia ao ambiente de computação virtualizado, outro controle de segurança depende do firewall da Palo Alto Networks centrado na camada de aplicações, para particionar as máquinas virtuais. “Permite-nos fazer a segmentação necessária na nossa rede interna”, explica Olejnik.

No Wellington College, arredores de Londres, uma das principais preocupações foi encontrar uma forma de alcançar uma melhor detecção de ameaças, de dispositivos falsamente autenticados, controle de acessos para os dispositivos hospedados e visibilidade sobre a utilização da rede num ambiente VMware ESX virtualizado.

Para isso, a faculdade começou a usar o appliance virtual Technologies ForeScout CounterACT Network Access Control para monitorar os dispositivos hospedados no ambiente VMware. Funciona como um hóspede VM VMware, e funciona em conjunto com o appliance física da ForeScout .

Tony Whelton, diretor de serviços de TI e desenvolvimento do Wellington College, diz que o appliance ForeScout Rede faz a verificação de vulnerabilidades de segurança. Além disso, “faz o rastreio em tempo real através da LAN, procurando tráfego não autorizado.”

O departamento de desenvolvimento econômico do estado da Califórnia, está adotando um ambiente virtualizado Microsoft Hyper-V para servidores, tornando ao mesmo tempo a gestão de TI mais centralizada. O organismo tem procurado agora melhorar a coleta de informações de registro usando produtos LogLogic, principalmente para fins de segurança e monitoramento de bases de dados, diz John Cleveland, chefe da secção de segurança e conformidade. “Deve-se ser capaz de mostrar quem acessou essa tabela, por exemplo”, considera.

A mudança para o ambiente de virtualização de servidores trás crescentes preocupações sobre a segurança das máquinas virtuais, segundo o responsável. E há desafios no monitoramento da atividade entre máquinas virtuais, explica Cleveland.

Embora o organismo não utilize serviços baseados em nuvem, o responsável aponta que a virtualização torna mais possível a adoção de aplicações em um modelo de cloud computing, por parte da organização. Ele diz também ver uma necessidade crescente de produtos capazes de funcionar como um repositório central, relacionado com a segurança e o conteúdo em um ambiente virtualizado para fins de conformidade.

Enquanto isso, os analistas da indústria continuam tentando medir o quanto os ambientes virtualizados trazem de riscos adicionais. De acordo com a Forrester Research, usar tecnologias de hypervisor acrescenta algum risco marginal aos ambientes de TI, por adicionas camadas de software aos sistemas operacionais existentes. “Todo o software, não importa o quão leve é, contém erros de projetos ocultos e falhas de código”, diz a consultoria.

Assim, a Forrester acredita que os ambientes virtualizados são mais suscetíveis a erros e ataques contra servidores virtuais. “Atualmente, as próprias empresas e os departamentos de TI têm mais respostas que perguntas nesta área”, afirma o analista da consultora, Andrew Jacquith. O problema está justamente na visibilidade e no grau de segurança do hypervisor.

De acordo com Jacquith, um dos problemas que levanta mais dúvidas é o sistema de continuidade, que prevê a migração de dados via rede em um ambiente que pode ser interceptado. “Mas estou otimista quanto ao aparecimento de melhorias que resolvam esta questão”, assinala. “O mercado está em constante evolução e já estamos vendo grandes progressos nesta área”, conclui.