Donanim 22 EYLÜL 2010 / 12:58

HP TippingPoint ile sanallaştırılmış ortamların güvenliğini sağlamak

HP TippingPoint Grubu'ndan Altuğ Yavaş'ın makalesi ilginç ipuçları barındırıyor.

HP TippingPoint Grubu'ndan Altuğ Yavaş'ın makalesi ilginç ipuçları barındırıyor.


2010 yılında bilgi işlem birimi yöneticilerinin teknoloji öncelikleri arasında sanallaştırma birinci sırada yer almaktadır [1]. Başka bir araştırmaya göre de, Ekim 2009'da bilgi işlem gücünün yüzde 16'sı sanallaştırılmış ortamlarda çalışırken, 2012'de bunun yüzde 50'leri geçmesi beklenmektedir [2].

Sanallaştırmaya yönelme nedenleri arasında, konsolidasyon yöntemi ile maliyetleri düşürmek, felaketten kurtarma planlarını geliştirmek, son kullanıcıya bilgi işlem hizmetlerini merkezi bir yapıda hızlı bir şekilde sunabilmek, esnek mimariler oluşturabilmek sayılabilir.

Sanallaştırılmış bilgi sistemlerinin yüzde 60'ının, sanallaştırma öncesine göre daha az güvenliğe sahip olması beklenmektedir [3]. Bunun nedenleri kısaca şöyle sıralanabilir:

1- Sanallaştırma projelerinde, bilgi güvenliği ihtiyaçları öncelikli olarak ele alınmamaktadır.2- Sanallaştırma katmanındaki bir zafiyet, tüm sanal sunucularda güvenlik zafiyetine neden olacaktır.3- Sanallaştırma öncesinde farklı güvenlik seviyelerine sahip sunucular, tek bir sanal sunucu altında birleştirileceklerinden, fiziksel ortamdaki gibi birbirlerinden yeteri kadar ayrılamayacaklardır.4- Sanallaştırılmış ortamlara, yönetim amacıyla erişimlerin kontrolü ve bu erişimleri düzenleyecek yeterli araçlar bulunmamaktadır.5- Ağ ve güvenlik kontrollerinde görevlerin ayrılması (Seperation of Duties) ilkesinin sanal ortamlarda tam olarak uygulanma imkanı henüz bulunmamaktadır.

Kurumların sanallaştırmaya geçişi hızlandıkça, sanallaştırılmış ortamların güvenliği bu geçişte daha stratejik bir önem kazanmaktadır.

Sanallaştırılmış bir sistem üzerinde tüm yönetim işlevlerini üstlenmiş olan Hypervisor katmanı, etkili bir saldırının başlıca hedeflerinden biri olmaya adaydır. Şöyle ki:

1) Hypervisor'e yapılacak bir saldırı ile tüm sanal sunuculara yetkili erişim imkanı doğar.2) Hypervisor'a yapılacak bir DDOS saldırısı, tüm sanal sunucuların kaynakları üzerinde etkili olabilir.3) Hypervisor'un entegre olacağı 3. parti uygulamalar saldırı yapılabilecek hedeflerin sayısını arttırabilir.4) Hypervisor'deki yaması çıkmamış ya da henüz uygulanmamış kritik zaafiyetler, saldırının başarıya ulaşma ihtimalini kuvvetlendirir.

Bunun yanında sanallaştırma sunucusu içindeki erişim katmanı (access layer), sanallaştırmanın sonuçlarıyla birlikte aşağıdaki kritik güvenik zaafiyetlerine yol açabilmektedir:

1) Fiziksel anahtar cihazı üzerindeki gibi "her sunucuya bir kablo" mantığı ortadan kalmıştır. Tüm sanal sunucular anahtara sanal olarak bağlanır. Bu şekilde sanal sunucu-sanal sunucu haberleşmesinin önü açılır. İki sanal sunucu, kablolu iletişim hattına çıkmadan aralarında sanal olarak haberleşebilir. Bu da erişim denetim zaafiyeti doğurur.

2) Access Layer'da bulunan sanal anahtarlar (vSwitch), "monitoring" ve "mirroring" gibi bilinen işlevlere sahip olmadığından anahtar üzerindeki akışı izlemek mümkün değildir. Bu da herhangi bir saldırı anında savunmanın elini zayıflatır.

Sanallaştırılmış ortamları daha yakından izleyebilmek, sanallaştırma sunucusu yönetim arayüzü ile bütünleşik bir arayüz kullanarak sanal ve fiziksel ağ yollarında tüm kontrolü sağlayabilmek için HP TippingPoint, 9 senedir liderlik ettiği ve birçok ilke imza attığı "Saldırı Önleme Sistemi" konusundaki başarısını, sanallaştırılmış ortamların ihtiyaçlarını karşılayacak şekilde "Secure Virtualization Framework" (SVF) adı altında sunmaktadır.

HP TippingPoint Secure Virtualization Framework (SVF) çözümü ile, sanal sunucular arasındaki trafik, uygulama katmanına kadar gerçek zamanlı olarak ve "false positive" yaratmadan incelenir. Bu sayede hem sanal sunuculara ve bunları barındıran sanallaştırma sistemlerine hem de işletim sistemlerine, uygulamalarına, servislerine, ağ altyapısına yönelik tehditlere karşı en etkin önlem alınmış olur.

Fiziksel veri merkezlerinde, İnsan Kaynakları, CRM gibi kritik uygulamaların, veritabanı, DNS, e-posta gibi kritik sunucuların fiziksel olarak birbirlerinden farklı seviyelerde (IP, VLAN, servis portu gibi) izolasyonu gerçekleştirilir. Sanallaştırılmış ortamlarda bu izolasyon ihtiyacı ortadan kalkmaz ve sanal sunucular aynı donanım üzerinde çalıştıklarından izolasyona daha çok ihtiyaç duyarlar. HP TippingPoint, VMSafe API'sine uyumlu olarak geliştirilmiş arayüz ile sanallaştırılmış ortamların güvenliğini iki şekilde gerçekleştirir:

• vController: Sanal makinalar arasındaki trafiği fiziksel IPS'e yönlendirerek koruma sağlar.• vIPS: Sanal bir kutu çözümü ile sanal makinaların arasında HP TippingPoint'in konumlandırılması sağlanır.vController ve vIPS çözümleri ile felaketten kurtarma amacıyla veya diğer nedenlerle farklı bir konuma nakledilen sanal makinalar için de aynı güvenlik politikasının kesintisiz geçerli olması sağlanır.

Altuğ YavaşSolution Architect, Enterprise Business, HP TippingPoint Group

Referanslar:[1] Gartner EXP 2010[2] Gartner Symposium/Itxpo, Ekim 2009[3] MacDonald, Neal. Addressing the Most Common Security Risks in Data CenterVirtualization Projects, Gartner, Inc. January 25, 2010