Immer mehr Nutzer verlagern ihre gesamte IT-Infrastruktur in die öffentliche Cloud. Bei unzureichender Antivirenschutz im Kundenumfeld entstehen jedoch erhebliche Cyberrisiken. Die Praxis zeigt, dass bis zu 80 % der vorhandenen Viren in virtuellen Umgebungen bestens gedeihen. In diesem Beitrag erklären wir, wie man IT-Ressourcen in der öffentlichen Cloud schützt und warum traditionelle Antivirenprogramme dafür nicht optimal geeignet sind.
Zunächst erläutern wir, wie wir zu der Erkenntnis kamen, dass herkömmliche Antivirenschutzwerkzeuge für öffentliche Clouds nicht geeignet sind und dass alternative Ansätze zum Schutz der Ressourcen erforderlich sind.
Erstens gewährleisten Anbieter in der Regel die erforderlichen Maßnahmen, um den Schutz ihrer Cloud-Plattformen auf einem hohen Niveau sicherzustellen. Beispielsweise analysieren wir bei #CloudMTS den gesamten Netzwerkverkehr, überwachen die Protokolle der Sicherheitsysteme unserer Cloud und führen regelmäßig Penetrationstests durch. Die Cloud-Segmente, die einzelnen Kunden zugewiesen sind, müssen ebenfalls zuverlässig gesichert sein.
Zweitens erfordert die klassische Methode zur Bekämpfung von Cyber-Risiken die Installation von Antiviren-Software und deren Verwaltung auf jeder virtuellen Maschine. Bei einer hohen Anzahl an virtuellen Maschinen kann diese Praxis jedoch ineffektiv sein und erhebliche Ressourcen beanspruchen, wodurch die Infrastruktur des Kunden zusätzlich belastet wird und die Gesamtleistung der Cloud gemindert wird. Dies stellte einen entscheidenden Anstoß für die Suche nach neuen Ansätzen zur effektiven Antiviren-Schutz von virtuellen Maschinen der Kunden dar.
Darüber hinaus sind die meisten auf dem Markt angebotenen Antivirenlösungen nicht für die Anforderungen der Sicherung von IT-Ressourcen in einer öffentlichen Cloud-Umgebung angepasst. In der Regel handelt es sich um schwerfällige EPP-Lösungen (Endpoint Protection Platforms), die zudem nicht die notwendige Anpassungsmöglichkeiten auf der Seite der Cloud-Anbieter-Kunden erlauben.
Es ist offenbar, dass herkömmliche Antivirenlösungen nicht gut für den Einsatz in der Cloud geeignet sind. Sie belasten die virtuelle Infrastruktur während der Updates und Scans erheblich und bieten nicht die notwendigen Ebenen der Rollenverwaltung und Konfiguration. Lassen Sie uns die Gründe erörtern, warum die Cloud neue Ansätze für den Antivirenschutz benötigt.
Was ein Antivirenprogramm in der Public Cloud leisten muss
Lassen Sie uns auf die spezifischen Anforderungen beim Arbeiten in einer virtuellen Umgebung eingehen:
Effektivität bei der Durchführung von Updates und planmäßigen Massenuntersuchungen. Wenn eine große Anzahl virtueller Maschinen, die traditionelle Antivirensoftware verwenden, gleichzeitig ein Update initiieren, kommt es in der Cloud zu einem sogenannten "Update-Sturm". Die Leistung des ESXi-Hosts, auf dem mehrere virtuelle Maschinen laufen, könnte nicht ausreichen, um die Flut ähnlicher Aufgaben, die standardmäßig gestartet werden, zu bewältigen. Aus der Sicht des Cloud-Anbieters kann ein solches Problem zusätzliche Belastungen für eine Reihe von ESXi-Hosts verursachen, was letztendlich die Leistung der virtuellen Infrastruktur der Cloud beeinträchtigt. Dies kann auch Auswirkungen auf die Leistung der virtuellen Maschinen anderer Cloud-Kunden haben. Eine ähnliche Situation kann beim Start einer Massenscan-Anfrage auftreten: Die gleichzeitige Verarbeitung vieler ähnlicher Anfragen von verschiedenen Benutzern durch das Speichersystem wirkt sich negativ auf die Leistung der gesamten Cloud aus. Mit hoher Wahrscheinlichkeit wird die Funktionalität der Speicher-Hardware (SAS) alle Kunden betreffen. Solche plötzlichen Lastspitzen sind weder für den Anbieter noch für seine Kunden erfreulich, da sie die "Nachbarn" in der Cloud beeinflussen. In dieser Hinsicht kann traditionelle Antivirensoftware ein großes Problem darstellen.
Sicherer Quarantäneraum. Wenn ein potenziell mit einem Virus infiziertes Datei oder Dokument im System erkannt wird, wird es in Quarantäne geschickt. Natürlich kann die infizierte Datei sofort gelöscht werden, aber das ist für die meisten Unternehmen oft nicht akzeptabel. Unternehmens-Enterprise-Antivirenlösungen, die nicht für den Betrieb in der Cloud des Anbieters angepasst sind, haben in der Regel einen gemeinsamen Quarantäneraum – in den alle infizierten Objekte gelangen. Beispielsweise die, die auf den Computern der Mitarbeiter des Unternehmens erkannt werden. Die Kunden des Cloud-Anbieters „leben“ jedoch in ihren eigenen Segmenten (oder Tenants). Diese Segmente sind intransparent und isoliert: Die Kunden wissen nichts voneinander und sehen selbstverständlich nicht, was andere im Cloud speichern. Offensichtlich könnte ein Dokument, das vertrauliche Informationen oder Geschäftsgeheimnisse enthält, potenziell in die gemeinsame Quarantäne gelangen, auf die alle Benutzer des Antivirenprogramms in der Cloud zugreifen. Dies ist für den Anbieter und seine Kunden inakzeptabel. Daher kann es nur eine Lösung geben – eine persönliche Quarantäne für jeden Kunden in seinem Segment, auf die weder der Anbieter noch andere Kunden zugreifen können.
Individuelle Sicherheitsrichtlinien. Jeder Kunde in der Cloud ist ein eigenes Unternehmen, dessen IT-Abteilung ihre Sicherheitsrichtlinien festlegt. Beispielsweise bestimmen Administratoren die Scanning-Regeln und den Zeitplan für Antivirus-Überprüfungen. Demzufolge muss jede Organisation ihr eigenes Management-Center haben, um die Antivirus-Richtlinien anzupassen. Die festgelegten Einstellungen dürfen dabei keine Auswirkungen auf andere Cloud-Kunden haben, und der Anbieter muss sicherstellen können, dass beispielsweise die Antivirus-Updates reibungslos für alle virtuellen Maschinen des Kunden erfolgen.
Organisation der Abrechnung und Lizenzierung. Das Cloud-Modell zeichnet sich durch Flexibilität aus und erlaubt die Bezahlung nur für die IT-Ressourcen, die vom Kunden tatsächlich genutzt wurden. Bei Bedarf, beispielsweise aufgrund von saisonalen Faktoren, können die Ressourcen schnell erhöht oder reduziert werden – alles basierend auf den aktuellen Anforderungen an die Rechenleistung. Traditionelle Antivirenlösungen sind nicht so flexibel – in der Regel kauft der Kunde eine Lizenz für ein Jahr für eine zuvor festgelegte Anzahl von Nutzungen. Server oder Arbeitsstationen. Cloud-Nutzer schalten regelmäßig zusätzliche virtuelle Maschinen je nach ihren aktuellen Bedürfnissen ein und aus – entsprechend sollten die Antivirenlizenzen dasselbe Modell unterstützen.
Die zweite Frage betrifft den Anwendungsbereich der Lizenz. Traditionelle Antivirenlösungen werden nach der Anzahl der Server oder Arbeitsstationen lizenziert. Lizenzen nach der Anzahl der geschützten virtuellen Maschinen passen nicht wirklich zur Cloud-Modellierung. Kunden können aus den verfügbaren Ressourcen beliebig viele virtuelle Maschinen erstellen, etwa fünf oder zehn. Die Anzahl dieser Maschinen ist für die meisten Kunden nicht konstant, und es ist für uns als Anbieter nicht möglich, diese Änderung zu verfolgen. Eine Lizenzierung pro CPU ist technisch nicht möglich: Kunden erhalten virtuelle Prozessoren (vCPU), nach denen die Lizenzierung erfolgen sollte. Daher muss das neue Modell des Antivirenschutzes die Möglichkeit bieten, dass der Kunde die benötigte Anzahl an vCPUs bestimmt, für die er Antivirenlizenzen beziehen möchte.
Einhaltung der Gesetze. Ein wichtiger Punkt, da die eingesetzten Lösungen die Anforderungen des Regulators erfüllen müssen. Oft arbeiten die "Bewohner" der Cloud mit personenbezogenen Daten. In diesem Fall muss der Anbieter über ein separates, zertifiziertes Cloud-Segment verfügen, das vollständig den Anforderungen des Gesetzes über personenbezogene Daten entspricht. Unternehmen müssen dann nicht selbst das gesamte System für die Verarbeitung personenbezogener Daten 'aufbauen': zertifizierte Hardware erwerben, diese anschließen und konfigurieren sowie eine Zertifizierung durchlaufen. Für die Cyber-Sicherheit der personenbezogenen Daten muss die Antivirensoftware ebenfalls den Anforderungen des russischen Gesetzgebers entsprechen und eine Zertifizierung von der FSTEC besitzen.
Wir haben die notwendigen Kriterien betrachtet, die der Antivirenschutz in der öffentlichen Cloud erfüllen muss. Im Folgenden teilen wir unsere Erfahrungen bei der Anpassung der Antivirenlösung für den Betrieb in der Cloud des Anbieters.
Wie man Antivirus und Cloud zusammenbringt
Unsere Erfahrung zeigt, dass es eine Sache ist, eine Lösung anhand von Beschreibung und Dokumentation auszuwählen, und eine ganz andere, sie in einer bereits bestehenden Cloud-Umgebung umzusetzen. Wir werden erläutern, was wir in der Praxis durchgeführt haben und wie wir die Antivirenlösung für die Nutzung in der öffentlichen Cloud des Anbieters angepasst haben. Der Anbieter der Antivirenlösung ist Kaspersky, dessen Portfolio Lösungen für den Antivirenschutz in Cloud-Umgebungen umfasst. Wir haben uns für „Kaspersky Security für virtuelle Umgebungen“ (Leichter Agent) entschieden.
Es umfasst die einheitliche Konsole Kaspersky Security Center, den leichten Agenten sowie Sicherheitsvirtualmaschinen (SVM, Security Virtual Machine) und den Integrationsserver KSC.
Nachdem wir die Architektur der Kaspersky-Lösung untersucht und erste Tests gemeinsam mit den Ingenieuren des Anbieters durchgeführt hatten, stellte sich die Frage der Integration des Dienstes in die Cloud. Die erste Implementierung wurde gemeinsam auf der Moskauer Cloud-Plattform durchgeführt. Und das haben wir dabei gelernt.
Um den Netzwerkverkehr zu minimieren, wurde beschlossen, die SVM auf jedem ESXi-Host zu platzieren und diese an die ESXi-Hosts zu binden. In diesem Fall greifen die leichten Agenten der geschützten virtuellen Maschinen auf die SVM des ESXi-Hosts zu, auf dem sie laufen. Für das Haupt-KSC wurde ein separater Administrations-Tenant ausgewählt. Dadurch befinden sich die Untergeordneten KSC in den Tenants jedes einzelnen Kunden und greifen auf das übergeordnete KSC zu, das im Management-Segment liegt. Dieses Schema ermöglicht eine schnelle Problemlösung innerhalb der Tenants der Kunden.
Neben der Aufstellung der Komponenten der Antivirenlösung standen wir vor der Herausforderung, die Netzwerkinteraktion durch die Einrichtung zusätzlicher VxLAN zu organisieren. Obwohl die Lösung ursprünglich für Enterprise-Kunden mit privaten Clouds vorgesehen war, gelang es uns dank ingenieurtechnischer Kreativität und der Flexibilität von NSX Edge, alle Herausforderungen im Zusammenhang mit der Trennung der Tenants und der Lizenzierung zu meistern.
Wir haben eng mit den Ingenieuren von Kaspersky zusammengearbeitet. Während der Analyse der Architektur der Lösung im Hinblick auf die Netzwerkintegration zwischen den Systemkomponenten stellte sich heraus, dass neben dem Zugriff von den leichten Agenten auf das SVM auch eine Rückmeldung erforderlich ist – vom SVM zu den leichten Agenten. Diese Netzwerkverbindung ist in einer Multitenant-Umgebung nicht möglich, da identische Netzwerkeinstellungen von virtuellen Maschinen in verschiedenen Tenants des Cloud-Systems existieren können. Daher wurde auf unsere Bitte hin der Mechanismus der Netzwerkintegration zwischen dem leichten Agenten und dem SVM von den Kollegen des Anbieters überarbeitet, um die Notwendigkeit der Netzwerkverbindung vom SVM zu den leichten Agenten auszuschließen.
Nachdem die Lösung in der Moskauer Cloud-Umgebung bereitgestellt und getestet wurde, haben wir sie auf die anderen Standorte verbreitet, einschließlich des zertifizierten Segments der Cloud. Der Dienst ist jetzt in allen Regionen des Landes verfügbar.
Die Architektur der Informationssicherheitslösung im Rahmen des neuen Ansatzes
Das allgemeine Diagramm der Funktionsweise der Antivirenlösung in einer öffentlichen Cloud-Umgebung sieht folgendermaßen aus:
Diagramm der Funktionsweise der Antivirenlösung in einer öffentlichen Cloud-Umgebung #CloudMTS
Wir beschreiben die Besonderheiten der einzelnen Elemente der Cloud-Lösung:
• Eine zentrale Konsole, die es den Kunden ermöglicht, das Schutzsystem zentral zu verwalten: Prüfungen durchzuführen, Updates zu überwachen und Quarantänezonen zu überwachen. Es besteht die Möglichkeit, individuelle Sicherheitsrichtlinien für den eigenen Bereich einzurichten.
Es ist wichtig zu erwähnen, dass wir zwar Anbieter des Services sind, jedoch nicht in die von den Kunden vorgenommenen Einstellungen eingreifen. Das Einzige, was wir tun können, ist, die Sicherheitsrichtlinien auf die Standardwerte zurückzusetzen, falls eine Neuausrichtung erforderlich ist. Dies kann zum Beispiel notwendig sein, wenn der Kunde versehentlich diese Richtlinien verschärft oder erheblich gelockert hat. Das Unternehmen kann jederzeit auf ein Dashboard mit den Standardrichtlinien zugreifen, die dann selbst angepasst werden können. Ein Nachteil des Kaspersky Security Centers ist, dass die Plattform bisher nur für das Betriebssystem Microsoft verfügbar ist. Leichte Agenten können jedoch sowohl mit Windows- als auch mit Linux-Maschinen arbeiten. Dennoch verspricht der „Kaspersky-Labor“, dass das KSC in Kürze auch unter Linux funktionieren wird. Eine der wichtigen Funktionen des KSC ist die Möglichkeit, Quarantänen zu verwalten. Jede Kundenfirma in unserer Cloud hat eine individuelle Quarantäne. Dieser Ansatz schließt Situationen aus, in denen ein mit einem Virus infiziertes Dokument versehentlich öffentlich zugänglich wird, wie es bei klassischen Unternehmensantiviren mit einer gemeinsamen Quarantäne der Fall sein könnte.
• Leichte Agenten. Im Rahmen des neuen Modells wird auf jeder virtuellen Maschine ein leichter Kaspersky Security-Agent installiert. Dies ermöglicht es, die Antiviren-Datenbank nicht auf jeder VM zu speichern, wodurch der Speicherbedarf verringert wird. Der Service ist in die Cloud-Infrastruktur integriert und arbeitet über SVM, was die Dichte der virtuellen Maschinen auf dem ESXi-Host und die Leistung des gesamten Cloud-Systems erhöht. Der leichte Agent erstellt eine Aufgabenwarteschlange für jede virtuelle Maschine: Überprüfung des Dateisystems, des Arbeitsspeichers usw. Die Durchführung dieser Operationen übernimmt jedoch SVM, über die wir später sprechen werden. Außerdem übernimmt der Agent Funktionen einer Firewall, überwacht Sicherheitsrichtlinien, sendet infizierte Dateien in Quarantäne und überwacht die allgemeine „Gesundheit“ des Betriebssystems, auf dem er installiert ist. All dies kann über die bereits erwähnte zentrale Konsole verwaltet werden.
• Sicherheits-VM. Alle ressourcenintensiven Aufgaben (Aktualisierungen der Antivirus-Datenbanken, zeitgesteuerte Prüfungen) werden von einer separaten Sicherheits-Virtual Machine (SVM) übernommen. Sie ist verantwortlich für den Betrieb des vollwertigen Antivirus-Engines und deren Datenbanken. Die IT-Infrastruktur des Unternehmens kann mehrere SVMs umfassen. Dieser Ansatz erhöht die Systemzuverlässigkeit – wenn eine Maschine ausfällt und mehr als dreißig Sekunden nicht reagiert, beginnen die Agenten automatisch, nach einer anderen zu suchen.
• KSC-Integrationsserver. Ein Bestandteil des Haupt-KSC, der gemäß dem in seinen Einstellungen angegebenen Algorithmus leichten Agenten ihre SVMs zuweist und die Verfügbarkeit der SVMs überwacht. Auf diese Weise sorgt dieses Softwaremodul für die Lastenverteilung auf alle SVMs der Cloud-Infrastruktur.
Algorithmus des Cloud-Betriebs: Entlastung der Infrastruktur
Im Wesentlichen kann der Algorithmus der Antivirus-Software wie folgt beschrieben werden: Der Agent greift auf eine Datei in der virtuellen Maschine zu und überprüft sie. Das Ergebnis der Prüfung wird in einer gemeinsamen, zentralisierten Datenbank für Urteile, dem SVM Shared Cache, gespeichert, wobei jeder Eintrag ein einzigartiges Dateimuster identifiziert. Dieser Ansatz stellt sicher, dass dieselbe Datei nicht mehrmals hintereinander überprüft wird (z. B. wenn sie auf verschiedenen virtuellen Maschinen geöffnet wurde). Eine Datei wird nur dann erneut gescannt, wenn Änderungen vorgenommen wurden oder der Scan manuell gestartet wurde.
Implementierung der Antivirus-Lösung in der Cloud des Anbieters
Das Bild zeigt das grundlegende Schema für die Implementierung einer Cloud-Lösung. Im Verwaltungsgelände der Cloud wurde das zentrale Kaspersky Security Center eingerichtet, während auf jedem ESXi-Host mit Hilfe des KSC-Integrationsservers eine individuelle SVM bereitgestellt wurde (jede SVM ist speziellen Einstellungen auf dem VMware vCenter Server entsprechend dem jeweiligen ESXi-Host zugeordnet). Die Kunden arbeiten in ihren eigenen Cloud-Segmenten, in denen virtuelle Maschinen mit Agenten bereitgestellt werden. Diese werden durch individuelle KSC-Server verwaltet, die dem zentralen KSC untergeordnet sind. Bei Bedarf kann einem Kunden, der eine geringe Anzahl von virtuellen Maschinen (bis zu 5) zu schützen hat, Zugang zur virtuellen Konsole eines speziell zugewiesenen KSC-Servers gewährt werden. Die Netzwerkkommunikation zwischen den Kunden-KSC und dem zentralen KSC sowie zwischen den leichten Agenten und der SVM erfolgt über NAT durch die virtuellen EdgeGW-Router des Kunden.
Laut unseren Schätzungen und den Testergebnissen unserer Kollegen beim Anbieter reduziert der Leichte Agent die Belastung der virtuellen Infrastruktur der Kunden um etwa 25 % im Vergleich zu Systemen, die herkömmliche Antiviren-Software nutzen. Insbesondere benötigt die Standard-Antivirenlösung Kaspersky Endpoint Security (KES) für physische Umgebungen fast doppelt so viel Serverprozessorzeit (2,95 %) im Vergleich zur Virtualisierungslösung mit Leichten Agenten (1,67 %).
Grafik zur Vergleichsanalyse der CPU-Auslastung
Eine ähnliche Situation zeigt sich bei der Schreibzugriffsrate auf die Festplatte: Für herkömmliche Antivirenlösungen liegt diese bei 1011 IOPS, für die Cloud-Antivirensoftware bei 671 IOPS.
Grafik zur Vergleichsanalyse der Festplattenzugriffsrate
Die Leistungssteigerung sorgt für eine stabile Infrastruktur und eine effizientere Nutzung der Rechenleistung. Durch die Anpassung an die öffentliche Cloud-Umgebung wird die Leistung der Cloud nicht beeinträchtigt: Sie führt eine zentrale Dateiüberprüfung und das Laden von Updates durch, während die Last verteilt wird. Das bedeutet, dass einerseits keine relevanten Bedrohungen für die Cloud-Infrastruktur übersehen werden und andererseits die Ressourcenanforderungen für virtuelle Maschinen im Durchschnitt um 25 % im Vergleich zu herkömmlichen Antivirenlösungen reduziert werden.
In Bezug auf die Funktionalität ähneln sich beide Lösungen stark: Unten ist eine Vergleichstabelle aufgeführt. Allerdings zeigt sich, wie die oben genannten Testergebnisse zeigen, dass es in der Cloud effizienter ist, eine Lösung für virtuelle Umgebungen zu verwenden.
Zur Abrechnung im Rahmen des neuen Ansatzes. Wir haben uns entschieden, ein Modell zu verwenden, das Lizenzen basierend auf der Anzahl der vCPUs bereitstellt. Das bedeutet, dass die Anzahl der Lizenzen der Anzahl der vCPUs entspricht. Antivirenlösungen können getestet werden, indem Sie eine Anfrage stellen. .
In diesem Beitrag über Cloud-Technologien erläutern wir die Entwicklung von Cloud WAF und welche Option die beste Wahl ist: Hardware, Software oder Cloud.
Dieser Text wurde von den Mitarbeitern des Cloud-Anbieters #CloudMTS verfasst: Denis Myagkov, leitender Architekt und Alexey Afanasyev, Produktentwicklungsmanager für Informationssicherheit.
Quelle: habr.com
