Beveiligingsrisico’s in een gevirtualiseerde wereld

Eenvoudig gesteld gaat beveiliging over het erkennen van kwetsbaarheden en vervolgens een manier vinden om het risico te verkleinen en de problemen op te lossen. Dat is eenvoudig genoeg als je weet hoe je met dit soort uitdagingen om moet gaan, maar in de praktijk begrijpen veel organisaties niet hoe kwetsbaar ze zijn, omdat ze niet de juiste security-expertise in huis hebben. Dat soort beveiligingstijdbommen houden CIO’s ’s nachts uit hun slaap.

Tegenwoordig is 50% van de server workloads gevirtualiseerd en dit aantal stijgt met de dag. Beveiliging in gevirtualiseerde omgevingen is daardoor een steeds grotere zorg voor organisaties. De beveiligingsrisico’s in een gevirtualiseerde omgeving zijn niet anders of gevaarlijker dan in een traditionele infrastructuur. De manier waarop je er mee moet omgaan is dat wel.

Virtuele machines
Een van de grote voordelen van virtualisatie is de snelheid en flexibiliteit waarmee virtuele machines in gebruik genomen kunnen worden. Dit voordeel brengt echter wel een beveiligingsrisico met zich mee. Je kunt weliswaar snel nieuwe workloads ondersteunen door nieuwe virtuele machines uit te rollen, maar hierdoor wordt het al snel lastig om al die systemen in de gaten te houden en te beheren. De beveiligingsrisico’s worden nog groter als gevirtualiseerde workloads met verschillende trust-levels gecombineerd worden of als ze mobieler worden.
Onlangs kwam het voor dat een grote internationale organisatie ontdekte dat er duizenden eerder niet opgemerkte virtuele machines bestonden in de IT-architectuur. Dit scenario zou in een niet-gevirtualiseerde omgeving ondenkbaar, of zelfs onmogelijk, zijn geweest. De nodige CIO’s zullen schrikken als ze dit lezen. Deels uit medelijden met hun mede IT-professionals, maar met name omdat ze misschien zelf niet voor 100 procent zeker weten hoeveel onbeheerde virtuele systemen hun eigen infrastructuur rondzwerven. De verspreiding van onbeheerde virtuele machines is een epidemie in grote organisaties. Het is een gevolg van ontwikkelaars die willen profiteren van virtualisatie en Open Hybrid Cloud-modellen en daardoor allerlei omgevingen creëren, die ze vervolgens snel online willen brengen. Die kunnen ze echter ook weer net zo snel achterlaten, waardoor ze regelmatig worden vergeten.

Veilige omgevingen
Systeembeheer wordt vaak bekritiseerd doordat het vaak de bedrijfsprocessen vertraagt. Door het self-service model dat gangbaar is bij virtualisatie zijn er tegenwoordig binnen bedrijven steeds meer mensen die IT-services bestellen. Voor de organisatie kan dit bevrijdend overkomen, omdat het tot snelle responsetijden leidt. De focus ligt echter niet op het creëren van veilige omgevingen en men leeft in de onjuiste veronderstelling dat de systeembeheerder alles wel veilig zal houden.

Deze grote onzekerheden zijn verontrustend voor IT security-professionals, omdat je niet kunt beheren waar je niet van op de hoogte bent. Dit is niet alleen een probleem in de open source wereld, maar ook in propriëtaire omgevingen. Een van de meest voorkomende werkwijzen is om een virtualisatiemanager aan te nemen die er met met beheersoftware voor zorgt dat beveiliging- en compliance-regels gecontroleerd kunnen worden voor alle geprovisioneerde virtualisatieplatformen.
Propriëtaire leveranciers zeggen vaak dat open source moeilijk te controleren is, omdat er zo veel onbekende partijen zijn die de code ervan kunnen beïnvloeden. Het grote voordeel van open source-oplossingen voor virtualisatie is juist die volledige transparantie. Doordat er meer mensen naar de code kijken, komt het minder snel voor dat er fouten in de productieomgeving sluipen.

De ontwikkeling vind plaats in deze gespecialiseerde community’s en deze kennis wordt weer verspreid door het gehele ecosysteem. Met duizenden ogen die de code bestuderen, worden bugs en fouten snel gevonden en gerepareerd.

Legacy-systemen
In het meest ideale geval is beveiliging al vanaf het begin in een IT-architectuur verankerd. Daarnaast moeten nog processen gedefinieerd worden voor compliance. Toch is het in de praktijk niet gangbaar dat de juiste processen aanwezig zijn om kwetsbaarheden bloot te leggen. Beveiliging van de grond af opbouwen is uitdagend, omdat organisaties zelden de luxe hebben om hun IT-omgeving helemaal opnieuw op te bouwen. De meeste zakelijke IT-infrastructuren worden over een langere periode gebouwd en zijn aan veel veranderingen onderhevig. De uitdaging begint dan pas als een bedrijf de strategische beslissing neemt om te gaan virtualiseren en de bedrijfsprocessen moet migreren.

In de meeste gevallen wordt virtualisatie in een al bestaande omgeving geïntegreerd met complexe legacy-systemen die een variëteit aan beveiligingszaken met zich mee brengen. Bij het uitrollen van deze virtuele bedrijfsmiddelen moet vanuit beveiligingsoogpunt de host/hypervisor als het belangrijkste  focusgebied gezien worden. Dit is namelijk vaak een single point of faillure voor guest-systemen en de onderliggende data. Ook kunnen resources en services soms lastig te volgen en onderhouden zijn in virtuele omgevingen. Met de snelle uitrol van gevirtualiseerde systemen wordt het daarom steeds belangrijker om goede middelen te hebben voor het beheren van resources, inclusief het patchen, monitoren en ouderhouden.

SELinux
Virtualisatie zorgt er niet voor dat de traditionele beveiligingsrisico’s in een IT-omgeving ineens opgelost worden. De hele stack, niet alleen de virtualisatielaag, moet beveiligd worden. Er kan echter sprake zijn van een gebrek aan kennis bij werknemers. Misschien ontbreekt deze specifieke kennis in hun skillset of wellicht heeft het technische personeel niet genoeg praktijkervaring. Dit gebrek aan kennis is vaak de belangrijkste oorzaak van kwetsbaarheden. Zeker in gevirtualiseerde omgevingen, waar resources als storage over meerdere machines verspreid kunnen worden, ontstaan er al snel over complexe omgevingen die moeilijk te onderhouden zijn.

Wil je als organisatie verder ontwikkelen op virtualisatiegebied en overgaan naar een multi-hypervisor hybrid cloud-wereld, dan zijn er vanuit een beveiligingsperspectief twee overwegingen. Om te beginnen zou je zoveel mogelijk moeten proberen om een platform te gebruiken dat van de grond af aan is opgebouwd rond beveiliging. Open source technologie als SELinux biedt een geweldige meerwaarde door de hypervisor op slot te zetten en virtuele machines te isoleren. Daarnaast is het belangrijk om weer overzicht krijgen van je gevirtualiseerde omgeving en te begrijpen welke risico’s je eigenlijk loopt. Cloud-beheertechnologie als Red Hat CloudForms kan helpen om beveiligingsprocessen en policy’s uit te rollen voor zowel VMware als OpenStack en weer inzicht te krijgen in je omgeving. 

Minder risico’s
In de beveiligingswereld geldt, of het nu om gevirtualiseerde of fysieke systemen gaat, dat hoe meer je weet, hoe veiliger je bent. Door compleet overzicht te hebben van je IT-infrastructuur en daar goed controle over te hebben, verminder je het risico van achtergebleven systemen waar je geen controle over hebt. Dat is beter voor de algehele beveiliging van de organisatie en bovendien slapen de CIO’s er ’s nachts een stuk beter van.

Door Frederik Bijlsma, EMEA Cloud Business Unit Manager, Red Hat