Essential security aspects in heterogenous Data Centers
0 likes215 views
Документ обсуждает проблемы защиты данных в гетерогенных центрах обработки данных (ЦОД), подчеркивая необходимость учета различных платформ и их специфики. Основные аспекты включают важность контроля событий, управления доступом и применения патчей для обеспечения безопасности систем. Также рассматриваются рекомендации для разработчиков и архитекторов, направленные на повышение уровня защищенности и управление рисками.
Essential security aspects in heterogenous Data Centers
- 1. Гетерогенные ЦОД Ключевые аспекты защиты Николай Романов Технический консультант Copyright 2011 Trend Micro Inc.
- 2. План • Что связывает гетерогенность ЦОД с вопросами защиты данных? • Сервисы одинаковые – одинаковы ли угрозы? • Возможности повышения статуса защищенности • Может ли разработчик средств защиты облегчить жизнь в данном случае? • Обсуждение и вопросы Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 2
- 3. Взаимосвязь гетерогенности ЦОД с защитой данных Поддержание различных платформ требует разной квалификации специалистов и уровня их компенсации Далеко не всегда имеющиеся ИТ специалисты обладают знаниями в смежных областях, касающихся ИБ Отсутствие прозрачного контроля по всем системам снижает уровень контроля событий (включая ИБ) Решенные вопросы базового обеспечения работоспособности ЦОД и работающих них сервисов не гарантирует их стрессоустойчивости в случае возникновения инцидента ИБ Наличие нескольких типов ОС в организации позволяет злоумышленникам расширить спектр используемых для взлома механизмов Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 3
- 4. Взаимосвязь гетерогенности ЦОД с защитой данных На специфичных платформах (QNX, AIX, HP-UX и др.) как правило работают те сервисы, работа которых не может быть прервана даже на короткий промежуток времени Необходимо обеспечивать соответствие требованиям регуляторов, что в случае использования большого спектра ОС становится накладной и непростой процедурой Переход от аппаратных к виртуальным платформам расширило перечень решаемых задач в рамках обеспечения защищенности сервисов Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 4
- 5. Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 5
- 6. Сервисы и платформы Работа системы документооборота Lotus Domino в среде AIX/Solaris считается наиболее эффективной с точки зрения производительности и поддержки Что мешает злоумышленникам Что не мешает IBM обеспечить поддержку этой системы на уровне атаку и Linux провести целевую Windowsна Однако, защищенность сервиса имеет вспомогательные сервисысреды, в зависимость от защищѐнности той ОС для получения доступа к которой он работает Есть ли в такой ситуации смысл данным целевой системы? использовать Windows или Linux, зная агрессивность среды по отношению к этим системам? Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 6
- 7. Сервисы и платформы Компании предпочитают системы SCADA, которые работают в относительно Можно ли доверять управление малораспространенных средах критическими процессами До недавнего времени (2007 г.)* эти системы практически не были системам, в которых постфактум подвержены атакам обнаруживаются бреши, а с Тем не менее, число уязвимых SCADA учетом сложностей их систем растет (Siemens, RealFLEX, Wonderware, GE и др.) как на уровне самих устранения рискуровне тех контроля приложений, так и на потери непомерно они работают (QNX, платформ, где высок? Windows, Solaris)** Даже несмотря на изолированность среды от Интернет (обычно не более 10% сервисов публикуется) обеспечить защиту становится сложнее Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 7
- 8. Сервисы и платформы СУБД Oracle используется в большинстве высокопроизводительных ЦОД на базе Solaris Заметный процент веб-сервисов, Есть ли непосредственнуюв том, что в имеющих уверенность связь с критический моментOracle, информацией, хранимой в контроль «Oracle CPU patches can публикуется в Интернет систем будет в руках ваших Наряду с частыми публикациями перечня be tricky because you can have multiple instances специалистов, СУБД*,третьих лиц? уязвимостей самой а не организациям on the same system, and they're all patched приходится контролировать individually.» защищенность вспомогательных служб, eEye *** используемых в цепочке подключений** We recommend addressing vulnerabilities on systems Установка критических патчей и контроль that are Internet accessible изменений на уровне системы может быть first. Most likely this will mean fixing ограничен или отсутствовать, что Weblogic/Apache and увеличивает вероятность получения Solaris vulnerabilities first, удаленного доступа, успешного followed by MySQL. Help Net Security **** проведения DoS атаки и прочие риски Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 8
- 9. Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 9
- 10. С чего начать решение вопросов? Практики противодействия угрозам Стоит определиться с выбором среды, в которой будут работать бизнес-сервисы – критерии должны быть не только на основании общих задач Наряду с общими средствами контроля инфраструктуры (сетевые IDS/IPS, анализаторы сетевого трафика и пр.), важно иметь средства локального контроля изменений самой системы Запуская сервис в промышленную эксплуатацию, архитекторы системы должны явным образом указывать перечень тех сервисов, которые требуются для корректной работы всей бизнес-системы – все лишнее должно быть отключено Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 10
- 11. С чего начать решение вопросов? Практики противодействия угрозам Задействованные в *nix средах системные сервисы, которые не являются неотъемлемыми элементами бизнес- служб, желательно изолировать (chroot)* Наличие единой системы контроля событий, связанных с безопасностью и средствами защиты (Syslog или SIEM), позволит повысить контроль в рамках всего спектра платформ и приложений на них Процедура патч-менеджмента должна учитывать критичность выпускаемых обновлений для ОС и бизнес-систем** Управление доступом на уровне систем и приложений позволит оперативно отследить нелегитимное использование привилегированных учетных записей*** Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 11
- 12. Оценка рисков и возможные сценарии атак должны прорабатываться на этапе проектирования систем и учитывать специфику запускаемых сервисов Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 12
- 13. Чем могут помочь создатели систем? Большинство производителей платформ выпускает перечень собственных рекомендаций для повышения защищенности как самой среды, так и основных сервисов в ней Необходим постоянный контроль критических обновлений, выпускаемых разработчиками, а также проработанная процедура их накатывания Оценку проработанности архитектуры решения для критически важных бизнес- систем лучше проводить с привлечением профессиональных сервисов от самих производителей этих систем Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 13
- 14. Что предлагают разработчики систем защиты? Системы мониторинга событий безопасности (SIEM) Анализаторы целостности ОС и приложений Системы контроля конфигурации приложений Сетевые и резидентные системы защиты от вторжений Средства контроля доступа на уровне среды Шифрование данных и трафика Trend Micro Confidential 6/8/2012 Copyright 2011 Trend Micro Inc. 14
- 15. Защита отвечает нуждам компаний: Партнерская экосистема Threat Intelligence Защита Защита Защита Защита от Сетевая Управление Безопасность Защита данных конечных точек ЦОД почты и веб уязвимостей безопасность доступом приложений Есть Есть Есть Есть Интеграция Дополняет Дополняет Дополняет > > Физические Виртуальные Облачные Copyright 2011 Trend Micro Inc.
- 16. Выделение трендов: Консолидация ЦОД Физические Виртуальные Облачные Публичные облака Windows/Linux/Solaris Серверная виртуализация Частные облака Виртуализация десктопов Гибридные облака • Появление новых платформ не меняет ландшафт угроз • Каждая новая платформа добавляет новые риски Copyright 2011 Trend Micro Inc. 16
- 17. Trend Micro Deep Security 8 Безопасность на уровне систем, приложений и данных: 5 модулей защиты Deep Packet Inspection Обнаружение и блокирование IDS / IPS известных и zero-day атак, нацеленных на уязвимости Защита от уязвимостей в Web Application Protection веб приложениях Повышение контроля и Application Control прозрачности по приложениям, имеющим выход в сеть Предотвращает DoS & Обнаружение и обнаружение МСЭ Антивирус блокирование веб угроз, прослушивания вирусов, червей, троянов) Оптимизация работы с Обнаружение опасных и Контроль Контроль логами - выявление целостности неавторизованных изменений событий к папкам, файлам, ключам инцидентов среди всех данных в журналах реестра… В зависимости от платформы, защита может быть обеспечена с помощью агента Copyright 2011 Trend Micro Inc. 17 и/или виртуального программного шлюза
- 18. Архитектура Deep Security 8 Deep Security Единая панель Manager Масштабируемость Отказоустойчивость 1 Threat Отчетность Intelligence Manager Интеграция с LDAP 5 Интеграция с SIEM Интеграция с vCenter Deep Security 2 Agent 3 4 SecureCloud Deep Security Deep Security Agent Virtual Appliance Cloud Integration Модули: • DPI & FW Модули: • Антивирус • DPI & FW Модули: • Контроль • Антивирус • Data Protection целостности • Контроль • Анализ событий целостности Copyright 2011 Trend Micro Inc.
- 19. Deep Security 8 Защита без агентов для VMware Trend Micro Deep Security Без агентов Интеграция 1 с vCenter IDS / IPS VMsafe APIs Защита веб приложений Контроль приложений Security Virtual v МСЭ Machine S Без агентов p 2 Антивирус vShield h Endpoint e Без агентов 3 r Интеграция vShield e Мониторинг целостности с Intel Endpoint TPM/TXT Агент 4 Анализ логов Агенты на каждой виртуальной машине Copyright 2011 Trend Micro Inc.
- 20. Сертификаты ФСТЭК России – Сертифицировано производство версии 7.0 (сертификация версии 8.0 запущена в начале 2012 г.) – НДВ 4-й класс – ИСПДН до 1-го класса включительно – защита АС до 1Г Copyright 2009 Trend Micro Inc. 20
- 21. Центр безопасности: Выделенная команда экспертов ИБ • Глобальное отслеживание уязвимостей – Более 100 источников информации (открытые, частные, правительственные): SANS, CERT, Bugtraq, VulnWatch, PacketStorm, и Securiteam – Участник программы Microsoft Active Protections • Уведомления и обновления на новые уязвимости и угрозы • Автоматизированная система для мгновенной реакции • Постоянные исследования с целью улучшения защитных механизмов в целом Copyright 2009 Trend Micro Inc. 22
- 22. Подводя итоги • Непрерывный контроль систем • Проработка требований по безопасности к разработчикам/архитекторам решений • Оптимизация существующих средств контроля и защиты • Привлечение специалистов Classification 6/8/2012 Copyright 2009 Trend Micro Inc. 23
- 23. Спасибо! Copyright 2011 Trend Micro Inc.
Editor's Notes
- #5: В случае использования *nix систем, ориентированных на работу с сервисами, привязанными к этим платформам (или оптимизированными под них лучше, чем под Windows/Linux),возникают сложности в проведении сервисных задач по обновлению самой ОС и компонентов, относящихся к этим бизнес-сервисам. Подобные сложности могут приводить к сильно растянутым во времени процедурам обновления, создавая риски на уровне использования уязвимостей (эксплойты) внутри таких систем. PCI DSS 2.0 включает в себя избирательную проверку системных компонентов (обычно, достаточно большую, чтобы удостовериться в корректности настроек всех компонентов). Влияние данного фактора на стоимость подразумевает высокий уровень компетенций всех специалистов в организации, которая рассчитывает провести аттестацию с минимальными сложностями. В контексте гетерогенности это означает, что для компаний это будет серьезной расходной статьей в плане содержания специалистов для работы со всем спектром платформ, а также необходимостью иметь специалистов ИБ, работающих с этими системами.
- #6: В 2011 г. был успешно проведен дефейс веб-серверовSiemens в Латинской Америке.
- #8: **Референсные ссылки:http://www.computerworld.com/s/article/print/9185419/Siemens_Stuxnet_worm_hit_industrial_systems?taxonomyName=Network+Security&taxonomyId=142http://www.cio.com.au/article/380781/scada_vulnerabilities_prompt_us_government_warning/http://www.securitylab.ru/news/413017.phphttp://www.h-online.com/security/news/item/Denial-of-service-hole-in-WonderWare-SCADA-systems-735115.htmlhttp://opensource.sys-con.com/node/2134828http://www.securitylab.ru/news/418998.php
- #9: * http://www.red-database-security.com/exploits/oracle_exploits.html** http://secunia.com/advisories/47611/*** http://forums.eeye.com/index.php?/topic/2202-avayaoraclesolaris-vulnerabilities-possible-false-positives/**** http://www.net-security.org/secworld.php?id=12240
- #11: Говоря о выборе среды, стоит понять – насколько затратным станет добавление систем на базе *nix систем или иных платформ, отличных от используемых в организации. Как минимум, возникнет вопрос сопровождения (и содержания в штате некоторого числа дорогостоящих специалистов). Стоимость поддержки производителя таких систем также составляет существенную часть последующих операционных расходов. Иными словами, если задачу можно решить эффективно на базе используемой среды – не стоит создавать сложности с вовлечением новых систем, особенно если нет полной уверенности во всех нюансах их эксплуатации.Возможность отслеживания целостности внутренних служб и файловсамих систем и работающих на них бизнес-сервисов позволяет вовремя заметить подозрительную активность и сохранить контроль над всей системой в целом. Подобный механизм представляет ценность не только сам по себе, но и в связке с другими системами (SIEM). Система контроля событий в рамках различных платформ позволяет отслеживать как системные события, так и активность администраторов, что увеличивает управляемость на уровне всего ЦОД.
- #12: *Прежде всего это относится к сетевым сервисам. В таких системах как Solaris, например,стоит ограничить доступ на уровне передачи данных между зонами. Это позволит снизить риск передачи как системной информации (например, информации о хостах их DNS базы), так и данных бизнес-системы.Для AIX компания разработчик (IBM) разработала специальный документ (IBM AIX Security Checklist), в котором перечислены процедуры деактивации демонов, не задействованных явным образом в работе серверов. ** Обычно весь процесс обновления компонентов ОС и приложений занимает достаточно большой промежуток времени (до полугода в случае критичностиработающих систем). Если такая растянутость будет действовать и в случае закрытия важных уязвимостей, то возникает серьезная брешь в работе системы (независимо от ее размещения и того фактора, опубликован этот сервис или нет).*** Для этого не обязательно сразу закупать IdMсистему, потратив огромные средства и человеко-ресурсы. Можно начать с того, что провести аудит всех ключевых систем (для начала силами внутренних специалистов) и закрыть или откорректировать повышенные привилегии администраторам, не имеющим отношения к обслуживанию этих систем. Привязка пользователей к LDAP описана в рекомендациях и лучших практиках производителей всех основных платформ (например, AIX и Solaris), что позволит избежать специалистам предприятий приложения титанических усилий в этом направлении.