Виртуальный брандмауэр

( Виртуальный брандмауэр VF ) — это служба или устройство сетевого брандмауэра, полностью работающее в виртуализированной среде и обеспечивающее обычную фильтрацию и мониторинг пакетов , обеспечиваемые через физический сетевой брандмауэр. VF может быть реализован как традиционный программный брандмауэр на уже работающей гостевой виртуальной машине , специальное устройство виртуальной безопасности, безопасности виртуальной сети разработанное с учетом , виртуальный коммутатор с дополнительными возможностями безопасности или управляемый процесс ядра, работающий на хосте. гипервизор .

Фон

Пока компьютерная сеть полностью работает на физическом оборудовании и кабелях, это физическая сеть. По существу, он может быть защищен как физическими брандмауэрами, так и брандмауэрами ; Первой и наиболее важной защитой физической компьютерной сети всегда была и остается физическая, запертая, огнестойкая дверь. Так было с момента появления Интернета, и структурные межсетевые экраны и сетевые межсетевые экраны долгое время были и необходимы, и достаточны.

Примерно с 1998 года наблюдается взрывной рост использования виртуальных машин (ВМ) в дополнение к физическим машинам (иногда вместо них) для предоставления многих видов компьютерных и коммуникационных услуг в локальных сетях и в более широком Интернете. Преимущества виртуальных машин хорошо изучены в других источниках.

Виртуальные машины могут работать изолированно (например, в качестве гостевой операционной системы на персональном компьютере) или в единой виртуализированной среде, контролируемой контролирующим монитором виртуальной машины « гипервизора или процессом ». В случае, когда множество виртуальных машин работают в одной и той же виртуализированной среде, они могут быть соединены друг с другом через виртуальную сеть, состоящую из виртуализированных сетевых коммутаторов между машинами и виртуализированных сетевых интерфейсов внутри машин. Полученная в результате виртуальная сеть может затем реализовать традиционные сетевые протоколы (например, TCP ) или настройку виртуальной сети, такую ​​как VLAN или VPN , хотя последние, хотя и полезны по своим собственным причинам, никоим образом не требуются.

По-прежнему существует мнение, что виртуальные машины по своей сути безопасны, поскольку они рассматриваются как « песочницы » внутри операционной системы хоста. Часто считается, что хост таким же образом защищен от взлома со стороны самой виртуальной машины. и что хост не представляет угрозы для виртуальной машины, поскольку это физический актив, защищенный традиционной физической и сетевой безопасностью. Даже если это явно не предполагается, раннее тестирование виртуальных инфраструктур часто проводится в изолированных лабораторных средах, где безопасность, как правило, не является непосредственной проблемой, или безопасность может выйти на передний план только тогда, когда то же решение перемещается в производство или на компьютер. облако , где виртуальные машины с разными уровнями доверия внезапно могут оказаться в одной виртуальной сети, работающей на любом количестве физических хостов.

Поскольку виртуальные сети являются настоящими сетями, они могут в конечном итоге иметь те же уязвимости, что и физические сети, некоторые из которых:

• Пользователи компьютеров в виртуальной сети имеют доступ ко всем другим машинам в той же виртуальной сети.
• Компроментации или незаконного присвоения одной виртуальной машины в виртуальной сети достаточно, чтобы предоставить платформу для дополнительных атак на другие машины в том же сегменте сети.
• Если виртуальная сеть подключена к физической сети или к более широкому Интернету, то машины в виртуальной сети могут иметь доступ к внешним ресурсам (и внешним эксплойтам), что может сделать их открытыми для взлома.
• Сетевой трафик, который проходит напрямую между компьютерами, минуя устройства безопасности, не отслеживается.

Проблемы, создаваемые почти невидимым трафиком между виртуальными машинами (ВМ-ВМ) в виртуальной сети, точно такие же, как и в физических сетях, осложняющиеся тем фактом, что пакеты могут перемещаться полностью внутри аппаратного обеспечения одной машины. физический хост:

• Поскольку трафик виртуальной сети никогда не может покинуть оборудование физического хоста, администраторы безопасности не могут наблюдать за трафиком между виртуальными машинами, не могут перехватывать его и поэтому не могут знать, для чего предназначен этот трафик.
• Регистрация сетевой активности между виртуальными машинами в пределах одного хоста и проверка доступа к виртуальным машинам в целях соответствия нормативным требованиям становятся затруднительными.
• Ненадлежащее использование ресурсов виртуальной сети и потребление пропускной способности между виртуальными машинами трудно обнаружить или исправить.
• Необычные или неподходящие службы, работающие в виртуальной сети или внутри нее, могут остаться незамеченными.

Существуют проблемы безопасности, известные только в виртуализированных средах, которые наносят ущерб мерам и практикам физической безопасности, и некоторые из них рекламируются как реальные преимущества технологии виртуальных машин перед физическими машинами:

• Виртуальные машины могут быть намеренно (или неожиданно) перенесены между доверенными и недоверенными виртуальными средами, где миграция включена.
• Виртуальные машины и/или тома виртуальных хранилищ можно легко клонировать, а клон можно запускать в любой части виртуализированной среды, включая DMZ .
• Многие компании используют свои отделы закупок или ИТ в качестве ведущего агентства по ИТ-безопасности, применяя меры безопасности в момент извлечения физической машины из коробки и инициализации. Поскольку виртуальные машины могут быть созданы за несколько минут любым авторизованным пользователем и запущены без бумажного следа, в этих случаях они могут обойти установленные методы ИТ-безопасности «первой загрузки».
• Виртуальные машины не имеют физической реальности, не оставляя следов ни от их создания, ни (в более крупных виртуализированных установках) от их дальнейшего существования. Их также можно легко уничтожить, не оставив почти никакой цифровой подписи и абсолютно никаких вещественных доказательств.

Помимо проблем с видимостью сетевого трафика и нескоординированного разрастания виртуальных машин, мошенническая виртуальная машина, использующая только виртуальную сеть, коммутаторы и интерфейсы (все из которых выполняются в процессе на физическом оборудовании хоста), потенциально может нарушить работу сети, как это может сделать любая физическая машина на компьютере. физическую сеть — и обычными способами — хотя теперь, потребляя циклы процессора хоста, он может дополнительно вывести из строя всю виртуализированную среду и все другие виртуальные машины, просто перегружая физические ресурсы хоста, от которых зависит остальная часть виртуализированной среды.

Вероятно, это могло стать проблемой, но в отрасли это воспринималось как хорошо изученная проблема, потенциально открытая для традиционных мер и ответов.

Виртуальные межсетевые экраны

Один из методов защиты, регистрации и мониторинга трафика между виртуальными машинами заключался в маршрутизации виртуализированного сетевого трафика из виртуальной сети в физическую сеть через VLAN и, следовательно, в уже существующий физический межсетевой экран для обеспечения безопасности и обеспечения соответствия требованиям для физического устройства. сеть. Трафик VLAN может отслеживаться и фильтроваться с помощью физического брандмауэра, а затем передаваться обратно в виртуальную сеть (если это считается допустимым для этой цели) и на целевую виртуальную машину.

Неудивительно, что менеджеры локальных сетей, эксперты по безопасности и поставщики сетевой безопасности начали задаваться вопросом, не было бы более эффективным полностью удерживать трафик в виртуализированной среде и защищать его оттуда.

Таким образом, виртуальный брандмауэр — это служба или устройство брандмауэра, работающее полностью в виртуализированной среде — даже как другая виртуальная машина, но так же легко внутри самого гипервизора — обеспечивая обычную фильтрацию и мониторинг пакетов, которые обеспечивает физический брандмауэр. VF можно установить как традиционный программный брандмауэр на гостевой виртуальной машине, уже работающей в виртуализированной среде; или это может быть специально созданное устройство виртуальной безопасности, разработанное с учетом безопасности виртуальной сети; или это может быть виртуальный коммутатор с дополнительными возможностями безопасности; или это может быть управляемый процесс ядра, работающий в гипервизоре хоста, который контролирует всю активность виртуальной машины.

Текущее направление в технологии виртуальных межсетевых экранов — это комбинация виртуальных коммутаторов с функциями безопасности, и виртуальные устройства безопасности. Некоторые виртуальные брандмауэры интегрируют дополнительные сетевые функции, такие как VPN типа «сеть-сеть» и удаленный доступ, качество обслуживания, фильтрация URL-адресов и многое другое.

Операция

Виртуальные межсетевые экраны могут работать в разных режимах для предоставления услуг безопасности в зависимости от точки развертывания. Обычно это режим моста или режим гипервизора. (на базе гипервизора, резидентно гипервизора). Оба могут поставляться в термоусадочной упаковке как виртуальное устройство безопасности и могут устанавливать виртуальную машину для целей управления.

Виртуальный брандмауэр, работающий в режиме моста, действует как аналог брандмауэра из физического мира; он расположен в стратегической части сетевой инфраструктуры — обычно на межсетевом виртуальном коммутаторе или мосте — и перехватывает сетевой трафик, предназначенный для других сегментов сети и нуждающийся в передаче через мост. Изучив источник происхождения, пункт назначения, тип пакета и даже полезную нагрузку, VF может решить, будет ли пакет разрешен к прохождению, отброшен, отклонен, перенаправлен или зеркально отображен на какое-либо другое устройство. Первые участники рынка виртуальных межсетевых экранов в основном использовали режим моста, и многие предложения сохраняют эту функцию.

Напротив, виртуальный межсетевой экран, работающий в режиме гипервизора , на самом деле вообще не является частью виртуальной сети и, как таковой, не имеет аналога устройства в физическом мире. Виртуальный брандмауэр в режиме гипервизора находится в мониторе виртуальной машины или гипервизоре , где он имеет хорошие возможности для отслеживания активности виртуальных машин, включая инъекции пакетов. Можно изучить всю отслеживаемую виртуальную машину и все ее виртуальное оборудование, программное обеспечение, службы, память и хранилище, а также изменения в них. . Кроме того, поскольку виртуальный брандмауэр на основе гипервизора не является частью сети собственно и не является виртуальной машиной, его функциональность не может контролироваться или изменяться пользователями, а программное обеспечение ограничено работой под виртуальной машиной или имеет доступ только к виртуализированной сети.

Виртуальные межсетевые экраны в режиме моста можно установить так же, как и любую другую виртуальную машину в виртуализированной инфраструктуре. Поскольку в этом случае виртуальная машина сама по себе является виртуальной машиной, связь VF со всеми остальными виртуальными машинами может со временем усложниться из-за исчезновения и появления виртуальных машин случайным образом, миграции между разными физическими хостами или других нескоординированных изменений, допускаемых виртуализированной инфраструктурой.

Виртуальные межсетевые экраны в режиме гипервизора требуют модификации ядра гипервизора физического хоста для установки перехватчиков процессов или модулей, обеспечивающих доступ системы виртуального брандмауэра к информации виртуальной машины и прямой доступ к виртуальным сетевым коммутаторам и виртуализированным сетевым интерфейсам, перемещающим пакетный трафик между виртуальными машинами или между ними. Виртуальные машины и сетевой шлюз. Виртуальный брандмауэр, резидентный гипервизор, может использовать те же перехватчики для выполнения всех обычных функций брандмауэра, таких как проверка, отбрасывание и пересылка пакетов, но при этом фактически не затрагивая виртуальную сеть ни на каком этапе. Виртуальные межсетевые экраны в режиме гипервизора могут быть намного быстрее, чем та же технология, работающая в режиме моста, поскольку они выполняют проверку пакетов не на виртуальной машине, а изнутри ядра на собственных аппаратных скоростях.

См. также

• Устройство виртуальной безопасности
• Виртуализация сетевых функций

Дальнейшее чтение

• «Бот Zeus появился в облаке EC2, обнаружен и удален» Бэбкок, Чарльз. Информационная неделя, декабрь 2009 г.
• «40 000 брандмауэров! Помогите, пожалуйста!?» Тексивилл. Практика виртуализации . Сентябрь 2009 г.
• «МНЕНИЕ / Зачем нам виртуальная безопасность?» Бен-Эфраим, Амир. Новости государственной безопасности . август 2009 г.
• «Защитите свои виртуальные сети» Журнал Zillion . июль 2009 г.
• «Виртуальное слепое пятно» Шульц, Бет. Сетевой Мир . июль 2010 г.
• «Облачная безопасность в реальном мире: 4 примера» Брандель, Мэри. ОГО: Безопасность и риск . июнь 2010 г.
• «Безопасность смешанных сред: не все будут виртуализированы» Огрен, Эрик. Компьютерный мир . июнь 2010 г.
• «Новые инструменты безопасности защищают виртуальные машины» Стром, Дэвид. Сетевой мир, март 2011 г.