Immer mehr Nutzer verlagern ihre gesamte IT-Infrastruktur in die öffentliche Cloud. Bei unzureichender Antivirenschutzkontrolle in der Infrastruktur des Kunden entstehen jedoch ernsthafte Cyber-Risiken. Die Praxis zeigt, dass bis zu 80 % der vorhandenen Viren in virtuellen Umgebungen gut gedeihen. In diesem Beitrag werden wir erläutern, wie IT-Ressourcen in der öffentlichen Cloud geschützt werden können und warum traditionelle Antivirenlösungen nicht ganz für diese Zwecke geeignet sind.
Zunächst möchten wir erklären, wie wir zu der Überzeugung gelangten, dass herkömmliche Antivirenschutzwerkzeuge für die öffentliche Cloud nicht geeignet sind und alternative Ansätze zum Schutz der Ressourcen erforderlich sind.
Erstens stellen Anbieter in der Regel die benötigten Maßnahmen sicher, um den Schutz ihrer Cloud-Plattformen auf hohem Niveau zu gewährleisten. Zum Beispiel analysieren wir bei #CloudMTS den gesamten Netzwerkverkehr, überwachen die Protokolle der Sicherheitsysteme unserer Cloud und führen regelmäßig Penetrationstests durch. Die Segmente der Cloud, die einzelnen Kunden zugewiesen sind, müssen ebenfalls zuverlässig geschützt sein.
Zweitens sieht die klassische Vorgehensweise im Kampf gegen Cyber-Risiken die Installation von Antivirenprogrammen und deren Verwaltung auf jeder virtuellen Maschine vor. Bei einer großen Anzahl virtueller Maschinen kann eine solche Praxis jedoch ineffektiv sein und erhebliche Rechenressourcen erfordern, wodurch die Infrastruktur des Kunden zusätzlich belastet wird und die Gesamtleistung der Cloud sinkt. Dies wurde zu einer entscheidenden Voraussetzung für die Suche nach neuen Ansätzen zur Schaffung eines effektiven Antivirenschutzes für die virtuellen Maschinen der Kunden.
Darüber hinaus sind die meisten auf dem Markt angebotenen Antivirenschutzlösungen nicht für den Schutz von IT-Ressourcen in öffentlichen Cloud-Umgebungen angepasst. In der Regel handelt es sich um schwerfällige EPP-Lösungen (Endpoint Protection Platforms), die zudem nicht die erforderliche Anpassungsmöglichkeit auf seitens der Cloud-Anbieter bieten.
Es wird offensichtlich, dass traditionelle Antivirenlösungen schlecht für den Betrieb in der Cloud geeignet sind, da sie die virtuelle Infrastruktur während Aktualisierungen und Scans erheblich belasten und auch nicht die notwendigen Rollenverwaltungs- und Einstellungsebenen bieten. Im Folgenden werden wir im Detail untersuchen, aus welchen Gründen die Cloud neue Ansätze zum Antivirenschutz benötigt.
Was ein Antivirenprogramm in der öffentlichen Cloud können sollte
Lassen Sie uns auf die Besonderheiten der Arbeit in virtuellen Umgebungen achten:
Die Effizienz von Updates und massenhaften Überprüfungen nach einem Zeitplan. Wenn eine erhebliche Anzahl von virtuellen Maschinen, die herkömmliche Antivirenprogramme verwenden, gleichzeitig ein Update initiieren, kommt es in der Cloud zu einem sogenannten "Update-Sturm". Die Kapazitäten des ESXi-Hosts, auf dem mehrere virtuelle Maschinen gehostet werden, könnten nicht ausreichen, um die Flut gleichartiger Aufgaben, die standardmäßig gestartet werden, zu bewältigen. Aus Sicht des Cloud-Anbieters kann ein solches Problem zu zusätzlichen Belastungen auf eine ganze Reihe von ESXi-Hosts führen, was letztendlich die Leistung der virtuellen Infrastruktur der Cloud beeinträchtigt. Dies kann sich auch auf die Leistung der virtuellen Maschinen anderer Cloud-Kunden auswirken. Eine ähnliche Situation kann beim Start eines massenhaften Scans auftreten: Die gleichzeitige Bearbeitung von vielen gleichartigen Anfragen durch das Speichersystem von verschiedenen Nutzern wird die Leistung der gesamten Cloud negativ beeinflussen. Mit hoher Wahrscheinlichkeit wird die Leistung des Speichersystems auch alle Kunden betreffen. Solche Spitzenlasten sind weder für den Anbieter noch für dessen Kunden erfreulich, da sie auch die "Nachbarn" in der Cloud betreffen. Aus dieser Perspektive kann herkömmliche Antivirensoftware ein großes Problem darstellen.
Sicherer Quarantäne. Wenn im System eine Datei oder ein Dokument gefunden wird, das möglicherweise mit einem Virus infiziert ist, wird es in Quarantäne geschickt. Natürlich kann die infizierte Datei sofort gelöscht werden, aber das ist für die meisten Unternehmen oft nicht akzeptabel. Unternehmens-Enterprise-Antivirenprogramme, die nicht für den Betrieb in der Cloud des Anbieters angepasst sind, haben in der Regel einen gemeinsamen Quarantänebereich – dort landen alle infizierten Objekte. Beispielsweise solche, die auf den Computern der Mitarbeiter des Unternehmens entdeckt wurden. Die Kunden des Cloud-Anbieters leben hingegen in ihren eigenen Segmenten (oder Tenants). Diese Segmente sind undurchsichtig und isoliert: Die Kunden wissen nichts voneinander und sehen natürlich nicht, was andere in der Cloud ablegen. Offensichtlich könnte ein Dokument, das vertrauliche Informationen oder Geschäftsgeheimnisse enthält, potenziell in die allgemeine Quarantäne gelangen, auf die alle Benutzer des Antivirus in der Cloud zugreifen. Das ist für den Anbieter und seine Kunden nicht akzeptabel. Daher kann es nur eine Lösung geben – eine persönliche Quarantäne für jeden Kunden in seinem Segment, auf die weder der Anbieter noch andere Kunden Zugriff haben.
Individuelle Sicherheitsrichtlinien. Jeder Kunde in der Cloud ist ein separates Unternehmen, dessen IT-Abteilung ihre eigenen Sicherheitsrichtlinien festlegt. Zum Beispiel legen die Administratoren die Scananforderungen und den Zeitplan für die Antivirusprüfungen fest. Dementsprechend muss jede Organisation ihr eigenes Management-Center haben, um die Antivirusrichtlinien zu konfigurieren. Dabei sollten die getroffenen Einstellungen keine anderen Cloud-Kunden beeinflussen, und der Anbieter muss sicherstellen können, dass beispielsweise die Antivirus-Updates für alle virtuellen Maschinen des Kunden ordnungsgemäß durchgeführt werden.
Organisation der Abrechnung und Lizenzierung. Das Cloud-Modell zeichnet sich durch Flexibilität aus und sieht vor, dass nur die Menge an IT-Ressourcen bezahlt wird, die der Auftraggeber tatsächlich genutzt hat. Wenn Bedarf besteht, beispielsweise aufgrund von saisonalen Faktoren, kann das Volumen der Ressourcen schnell erhöht oder reduziert werden – alles basierend auf den aktuellen Anforderungen an die Rechenleistung. Traditionelle Antivirenlösungen sind nicht so flexibel – in der Regel kauft der Kunde eine Lizenz für ein Jahr für eine заранее festgelegte Anzahl von Lizenzen. Server oder Arbeitsstationen. Die Nutzer der Cloud schalten regelmäßig zusätzliche virtuelle Maschinen je nach ihren aktuellen Bedürfnissen ein und aus – entsprechend sollten auch die Antivirallizenzen ein ähnliches Modell unterstützen.
Die zweite Frage ist, auf was genau sich die Lizenz beziehen wird. Traditionelle Antivirenlösungen werden nach der Anzahl der Server oder Arbeitsstationen lizenziert. Lizenzen basierend auf der Anzahl der geschützten virtuellen Maschinen sind im Rahmen des Cloud-Modells nicht ganz passend. Der Kunde kann aus den verfügbaren Ressourcen eine beliebige Anzahl von virtuellen Maschinen erstellen, zum Beispiel fünf oder zehn Maschinen. Diese Anzahl ist für die meisten Kunden nicht konstant, und es ist für uns als Anbieter nicht möglich, Änderungen zu verfolgen. Eine Lizenzierung nach CPU ist technisch nicht möglich: Die Kunden erhalten virtuelle Prozessoren (vCPU), nach denen die Lizenzierung erfolgen sollte. Somit sollte das neue Modell des Antivirenschutzes die Möglichkeit bieten, dass der Kunde die benötigte Anzahl an vCPUs bestimmt, für die er Antivirallizenzen erhalten wird.
Einhaltung der Gesetzgebung. Ein wichtiger Punkt, da die eingesetzten Lösungen die Anforderungen des Regulators erfüllen müssen. Beispielsweise arbeiten oft «Bewohner» der Cloud mit personenbezogenen Daten. In diesem Fall muss der Anbieter über ein separates, zertifiziertes Cloud-Segment verfügen, das vollständig den Anforderungen des Gesetzes «Über personenbezogene Daten» entspricht. Dann müssen Unternehmen nicht selbst das gesamte System für die Verarbeitung personenbezogener Daten «aufbauen»: zertifizierte Hardware erwerben, diese anschließen und konfigurieren, die Zertifizierung durchlaufen. Für den Cyber-Schutz von personenbezogenen Daten müssen Antivirenlösungen auch die Anforderungen der russischen Gesetzgebung erfüllen und ein Zertifikat von FSTEK haben.
Wir haben die obligatorischen Kriterien betrachtet, die der Antivirenschutz in der öffentlichen Cloud erfüllen muss. Weiterhin möchten wir unsere eigenen Erfahrungen bei der Anpassung der Antivirenlösung für den Betrieb in der Cloud des Anbieters teilen.
Wie kann man Antivirenprogramme und die Cloud zusammenbringen?
Wie unsere Erfahrungen gezeigt haben, ist die Auswahl einer Lösung basierend auf Beschreibung und Dokumentation eine Sache, die Umsetzung in einer bereits betriebenen Cloud-Umgebung eine ganz andere Herausforderung ist. Wir werden erläutern, was wir praktisch gemacht haben und wie wir die Antivirensoftware für den Betrieb in der Public Cloud des Anbieters angepasst haben. Der Anbieter der Antivirenlösung ist Kaspersky, dessen Portfolio Antivirenschutzlösungen für Cloud-Umgebungen umfasst. Wir haben uns für "Kaspersky Security für virtuelle Umgebungen" (Leichter Agent) entschieden.
Es umfasst die zentrale Konsole Kaspersky Security Center. Leichter Agent und Sicherheitsvirtualmaschinen (SVM, Security Virtual Machine) sowie den Integrationsserver KSC.
Nachdem wir die Architektur der Kaspersky-Lösung untersucht und die ersten Tests gemeinsam mit den Ingenieuren des Anbieters durchgeführt hatten, stellte sich die Frage der Integration des Dienstes in die Cloud. Die erste Implementierung wurde gemeinsam auf der Moskauer Cloud-Plattform durchgeführt. Und hier ist, was wir verstanden haben.
Um den Netzwerkverkehr zu minimieren, wurde beschlossen, SVM auf jedem ESXi-Host zu platzieren und diese SVM an die ESXi-Hosts zu binden. In diesem Fall kommunizieren die leichten Agenten der geschützten virtuellen Maschinen mit der SVM des jeweiligen ESXi-Hosts, auf dem sie ausgeführt werden. Für das Haupt-KSC wurde ein separater administrativer Tenant gewählt. Infolgedessen sind die untergeordneten KSC in den Tenants jedes einzelnen Kunden angesiedelt und wenden sich an das übergeordnete KSC, das im Management-Segment untergebracht ist. Dieses Schema ermöglicht es, Probleme, die in den Tenants der Kunden auftreten, schnell zu lösen.
Neben den Herausforderungen beim Hochfahren der Komponenten der Antivirenlösung standen wir vor der Aufgabe, die Netzwerkkommunikation durch die Schaffung zusätzlicher VxLAN zu organisieren. Und obwohl die Lösung ursprünglich für Enterprise-Kunden mit privaten Clouds gedacht war – dank ingenieurtechnischen Einfallsreichtum und technologischer Flexibilität von NSX Edge gelang es uns, alle Aufgaben zu lösen, die mit der Trennung von Tenants und der Lizenzierung verbunden sind.
Wir haben eng mit den Ingenieuren von Kaspersky zusammengearbeitet. So wurde im Zuge der Analyse der Architektur der Lösung im Hinblick auf die Netzwerkinteraktion zwischen den Komponenten des Systems festgestellt, dass neben dem Zugriff von leichten Agenten auf das SVM auch eine Rückmeldung – vom SVM zu den leichten Agenten – erforderlich ist. Diese Netzwerkverbindung ist in einer Multitenant-Umgebung aufgrund der Möglichkeit identischer Netzwerkeinstellungen virtueller Maschinen in unterschiedlichen Tenants der Cloud nicht möglich. Daher wurde auf unsere Bitte hin der Mechanismus der Netzwerkinteraktion zwischen dem leichten Agenten und dem SVM im Hinblick auf die Vermeidung der Netzwerkverbindung vom SVM zu den leichten Agenten überarbeitet.
Nachdem die Lösung in der Moskauer Cloud-Umgebung implementiert und getestet wurde, haben wir sie auf die anderen Standorte ausgeweitet, einschließlich des zertifizierten Cloud-Segments. Der Dienst ist jetzt in allen Regionen des Landes verfügbar.
Architektur der Sicherheitslösung im Rahmen des neuen Ansatzes
Das allgemeine Schema der Funktionsweise der Antivirenlösung in einer öffentlichen Cloud-Umgebung sieht folgendermaßen aus:
Funktionsschema der Antivirenlösung in einer öffentlichen Cloud-Umgebung #CloudMTS
Wir beschreiben die besonderen Merkmale der Funktionsweise einzelner Elemente der Lösung in der Cloud:
• Eine zentrale Konsole, die es den Kunden ermöglicht, das Schutzsystem zentral zu verwalten: Scans zu starten, Updates zu überwachen und Quarantänebereiche zu beobachten. Es besteht die Möglichkeit, individuelle Sicherheitsrichtlinien innerhalb ihres Segments anzupassen.
Es ist zu beachten, dass wir zwar als Dienstleister fungieren, jedoch keine Änderungen an den von den Kunden vorgenommenen Einstellungen vornehmen. Das Einzige, was wir tun können, ist, die Sicherheitsrichtlinien bei Bedarf auf die Standardwerte zurückzusetzen. Dies kann beispielsweise erforderlich sein, wenn der Kunde versehentlich diese verschärft oder erheblich gelockert hat. Das Unternehmen kann jederzeit ein Management-Center mit den Standardrichtlinien abrufen, das es dann selbst anpassen kann. Der Nachteil des Kaspersky Security Centers ist, dass die Plattform bisher nur für das Betriebssystem Microsoft verfügbar ist. Allerdings können die leichten Agenten sowohl mit Windows- als auch mit Linux-Maschinen arbeiten. In der „Kaspersky Lab“ wird jedoch versprochen, dass KSC in naher Zukunft auch unter Linux funktionieren wird. Eine der wichtigen Funktionen von KSC ist die Möglichkeit zur Verwaltung von Quarantänen. Jede Kundenfirma hat in unserer Cloud eine persönliche Quarantäne. Dieser Ansatz schließt Situationen aus, in denen ein von einem Virus infiziertes Dokument versehentlich öffentlich zugänglich wird, wie es bei einem klassischen Unternehmensantivirus mit gemeinsamer Quarantäne der Fall sein könnte.
• Leichte Agenten. Im Rahmen des neuen Modells wird auf jeder virtuellen Maschine ein leichter Kaspersky Security-Agent installiert. Dies ermöglicht es, die Antivirendatenbank nicht auf jeder VM zu speichern, was den Platzbedarf auf der Festplatte reduziert. Der Dienst ist in die Cloud-Infrastruktur integriert und funktioniert über SVM, was die Dichte der virtuellen Maschinen auf dem ESXi-Host und die Leistung des gesamten Cloud-Systems erhöht. Der leichte Agent erstellt eine Aufgabenwarteschlange für jede virtuelle Maschine: Überprüfung des Dateisystems, des Arbeitsspeichers usw. Die Durchführung dieser Operationen obliegt jedoch dem SVM, über das wir weiter unten sprechen werden. Zudem erfüllt der Agent die Funktionen einer Firewall, überwacht die Sicherheitsrichtlinien, sendet infizierte Dateien in die Quarantäne und überwacht die allgemeine „Gesundheit“ des Betriebssystems, auf dem er installiert ist. All dies kann über die bereits erwähnte einheitliche Konsole verwaltet werden.
• Sicherheits-Virtual-Maschine. Alle ressourcenintensiven Aufgaben (Aktualisierungen der Antiviren-Definitionen, zeitgesteuerte Prüfungen) werden von einer separaten Sicherheits-Virtual-Maschine (SVM) übernommen. Sie ist verantwortlich für den Betrieb des vollwertigen Antiviren-Engines und der dazugehörigen Datenbanken. Die IT-Infrastruktur des Unternehmens kann mehrere SVMs umfassen. Dieser Ansatz erhöht die Zuverlässigkeit des Systems – wenn eine Maschine ausfällt und länger als dreißig Sekunden nicht antwortet, beginnen die Agenten automatisch, nach einer anderen zu suchen.
• KSC-Integrationsserver. Eine der Komponenten des Haupt-KSC, der gemäß dem in seinen Einstellungen festgelegten Algorithmus leichten Agenten seine SVM zuweist und die Verfügbarkeit der SVM überwacht. Auf diese Weise sorgt dieses Softwaremodul für die Lastenverteilung auf alle SVMs der Cloud-Infrastruktur.
Algorithmus für den Betrieb in der Cloud: Reduzierung der Last auf die Infrastruktur
Insgesamt kann der Betriebsalgorithmus des Antivirenprogramms wie folgt dargestellt werden. Der Agent greift auf eine Datei auf der virtuellen Maschine zu und prüft sie. Das Ergebnis der Prüfung wird in der gemeinsamen zentralen Datenbank der SVM-Ergebnisse gespeichert (sie wird Shared Cache genannt), wobei jeder Eintrag ein einzigartiges Sample der Datei identifiziert. Dieser Ansatz ermöglicht es, sicherzustellen, dass dieselbe Datei nicht mehrfach hintereinander geprüft wird (zum Beispiel, wenn sie auf verschiedenen virtuellen Maschinen geöffnet wird). Die Datei wird nur dann erneut gescannt, wenn sie geändert wurde oder die Prüfung manuell gestartet wurde.
Implementierung der Antivirenlösung in der Cloud des Anbieters
Das Bild zeigt das allgemeine Schema zur Implementierung der Lösung in der Cloud. Im Verwaltungsbereich der Cloud ist das Haupt-Kaspersky Security Center (KSC) installiert, und auf jedem ESXi-Host wurde mithilfe des KSC-Integrationsservers ein individuelles SVM bereitgestellt (jedem ESXi-Host ist ein spezielles SVM mit spezifischen Einstellungen an VMware vCenter Server zugeordnet). Die Kunden arbeiten in ihren eigenen Segmenten der Cloud, wo virtuelle Maschinen mit Agenten platziert sind. Diese werden über individuelle KSC-Server, die dem Haupt-KSC untergeordnet sind, verwaltet. Bei Bedarf kann dem Kunden der Zugang zur virtuellen Konsole eines speziellen dedizierten KSC-Servers gewährt werden, wenn er nur eine kleine Anzahl von virtuellen Maschinen (bis zu 5) schützen möchte. Die Netzwerkinteraktion zwischen den Kunden-KSCs und dem Haupt-KSC sowie zwischen den leichten Agenten und dem SVM erfolgt über NAT über die virtuellen EdgeGW-Router der Kunden.
Nach unseren Schätzungen und den Testergebnissen von Kollegen beim Anbieter reduziert der leichte Agent die Last auf die virtuelle Infrastruktur der Kunden um etwa 25 % (im Vergleich zu einem System, das traditionelle Antiviren-Software verwendet). Insbesondere benötigt die Standard-Antivirus-Software Kaspersky Endpoint Security (KES) für physische Umgebungen fast doppelt so viel Server-Prozessorzeit (2,95 %) im Vergleich zur Virtualisierungs-Lösung auf Basis leichter Agenten (1,67 %).
Grafik zum Vergleich der Prozessorlast
Eine ähnliche Situation zeigt sich bei der Schreibzugriffsfrequenz auf die Festplatte: Für das klassische Antivirenprogramm beträgt sie 1011 IOPS, für das Cloud-Antivirenprogramm hingegen 671 IOPS.
Grafik zum Vergleich der Festplattenzugriffsfrequenz
Die Leistungssteigerung trägt dazu bei, die Stabilität der Infrastruktur zu gewährleisten und die Rechenressourcen effizienter zu nutzen. Durch die Anpassung an die Arbeit in einer öffentlichen Cloud-Umgebung beeinträchtigt die Lösung die Cloud-Leistung nicht: Sie führt eine zentrale Überprüfung der Dateien und das Herunterladen von Updates durch und verteilt die Last. Das bedeutet, dass einerseits keine aktuellen Bedrohungen, die für die Cloud-Infrastruktur relevant sind, übersehen werden, und andererseits die Anforderungen an die Ressourcen der virtuellen Maschinen im Durchschnitt um 25 % im Vergleich zu traditioneller Antiviren-Software gesenkt werden.
In der Funktionalität ähneln sich beide Lösungen stark: unten finden Sie eine vergleichende Tabelle. In der Cloud ist es jedoch, wie die oben genannten Testergebnisse zeigen, optimaler, eine Lösung für virtuelle Umgebungen zu verwenden.
Zur Tarifierung im Rahmen des neuen Ansatzes. Wir haben beschlossen, ein Modell zu verwenden, das die Lizenzierung basierend auf der Anzahl der vCPUs ermöglicht. Das bedeutet, dass die Anzahl der Lizenzen der Anzahl der vCPUs entspricht. Der Antivirus kann getestet werden, indem Sie einen Antrag stellen. .
Im nächsten Artikel zum Thema Cloud werden wir über die Evolution von Cloud-WAFs sprechen und was besser zu wählen ist: Hardware, Software oder Cloud.
Der Text wurde von den Mitarbeitern des Cloud-Anbieters #CloudMTS vorbereitet: Denis Myagkov, leitender Architekt, und Alexey Afanasev, Produktmanager für IT-Sicherheit.
Quelle: habr.com
