Sempre più utenti trasferiscono tutta la propria infrastruttura IT nel cloud pubblico. Tuttavia, in caso di insufficiente controllo antivirus nell'infrastruttura del cliente, si presentano gravi rischi informatici. La pratica dimostra che fino all'80% dei virus esistenti si trova a proprio agio in un ambiente virtuale. In questo post parleremo di come proteggere le risorse IT nel cloud pubblico e perché i tradizionali antivirus non sono del tutto adatti a questi scopi.
Per iniziare, parleremo di come siamo giunti alla conclusione che gli strumenti antivirus tradizionali non sono adatti per il cloud pubblico e che sono necessarie altre strategie per proteggere le risorse.
In primo luogo, i fornitori solitamente adottano misure necessarie per garantire un alto livello di protezione delle proprie piattaforme cloud. Ad esempio, noi di #CloudMTS analizziamo tutto il traffico di rete, monitoriamo i log dei sistemi di sicurezza del nostro cloud e realizziamo regolarmente test di penetrazione. I segmenti del cloud assegnati a singoli clienti devono essere anch'essi protetti in modo efficace.
In secondo luogo, la soluzione tradizionale per combattere i cyber rischi prevede l'installazione di antivirus e strumenti di gestione su ogni macchina virtuale. Tuttavia, con un numero elevato di macchine virtuali, questa pratica può rivelarsi inefficace e richiedere significative risorse computazionali, aumentando ulteriormente il carico sull'infrastruttura del cliente e riducendo la prestazione complessiva del cloud. Questo è diventato un motivo chiave per cercare nuovi approcci nella costruzione di una protezione antivirus efficace per le macchine virtuali dei clienti.
Inoltre, la maggior parte delle soluzioni antivirus attualmente disponibili sul mercato non è adattata per proteggere le risorse IT in un ambiente cloud pubblico. Di solito, si tratta di pesanti soluzioni EPP (Endpoint Protection Platforms) che, tra l'altro, non offrono la necessaria possibilità di personalizzazione da parte dei clienti del fornitore di cloud.
Diventa chiaro che le soluzioni antivirus tradizionali non sono adatte per l'uso nel cloud, poiché gravano significativamente sull'infrastruttura virtuale durante gli aggiornamenti e le scansioni, e mancano dei necessari livelli di controllo degli accessi e configurazioni. Analizziamo ora più nel dettaglio le ragioni per cui il cloud richiede nuovi approcci per la protezione antivirus.
Cosa deve sapere un antivirus in un cloud pubblico
Quindi, prestiamo attenzione alle specificità del lavoro in un ambiente virtuale:
L'efficacia negli aggiornamenti e nei controlli di massa programmati. Se un numero significativo di macchine virtuali che utilizzano un antivirus tradizionale avvia un aggiornamento contemporaneamente, si verificherà una cosiddetta "tempesta" di aggiornamenti nel cloud. Le risorse dell'host ESXi, su cui sono allocate diverse macchine virtuali, potrebbero non essere sufficienti per gestire l'ondata di richieste simili avviate per impostazione predefinita. Dal punto di vista del fornitore di servizi cloud, questo problema potrebbe comportare un carico aggiuntivo su diversi host ESXi, portando infine a una riduzione delle prestazioni dell'infrastruttura virtuale del cloud. Questo potrebbe influire, tra l'altro, sulle prestazioni delle macchine virtuali di altri clienti del cloud. Una situazione simile può verificarsi anche durante l'esecuzione di una scansione massiccia: l'elaborazione simultanea da parte del sistema di archiviazione di molte richieste simili da utenti diversi influenzerà negativamente le prestazioni dell'intero cloud. Con un'alta probabilità, la riduzione dell'efficienza della SAN si rifletterà su tutti i clienti. I picchi di carico non sono graditi né al fornitore né ai suoi clienti, poiché influenzano i "vicini" nel cloud. Da questo punto di vista, un antivirus tradizionale può rappresentare un grande problema.
Quarantena sicura. Se un file o un documento potenzialmente infetto viene rilevato nel sistema, viene inviato in quarantena. Certo, il file infetto può essere eliminato immediatamente, ma ciò è spesso inaccettabile per la maggior parte delle aziende. Gli antivirus aziendali, che non sono adattati per funzionare nel cloud del provider, tendono, in genere, ad avere un'area di quarantena comune: qui finiscono tutti gli oggetti infetti. Ad esempio, quelli rilevati sui computer degli utenti aziendali. I clienti del provider cloud "vivono" nei propri segmenti (o tenant). Questi segmenti sono opachi e isolati: i clienti non sanno nulla l'uno dell'altro e, ovviamente, non possono vedere cosa caricano nel cloud gli altri. È chiaro che in una quarantena comune, a cui accederanno tutti gli utenti dell'antivirus nel cloud, potrebbe potenzialmente finire un documento contenente informazioni riservate o segreti commerciali. Questo è inaccettabile per il provider e i suoi clienti. Pertanto, l'unica soluzione possibile è una quarantena personale per ciascun cliente nel proprio segmento, a cui né il provider né altri clienti hanno accesso.
Politiche di sicurezza personalizzate. Ogni cliente nel cloud è un'azienda separata, il cui reparto IT stabilisce le proprie politiche di sicurezza. Ad esempio, gli amministratori definiscono le regole di scansione e il programma delle verifiche antivirus. Di conseguenza, ogni organizzazione deve avere il proprio centro di controllo per configurare le politiche antivirus. Le impostazioni definite non devono influenzare gli altri clienti nel cloud, e il provider deve essere in grado di garantire che, ad esempio, gli aggiornamenti antivirus vengano eseguiti regolarmente per tutte le macchine virtuali del cliente.
Organizzazione della fatturazione e licenze. Il modello cloud è caratterizzato dalla flessibilità e prevede il pagamento solo per la quantità di risorse IT utilizzate dal cliente. Se necessario, ad esempio a causa di fattori stagionali, è possibile aumentare o ridurre rapidamente la quantità di risorse, tutto in base alle attuali esigenze di capacità di calcolo. L'antivirus tradizionale non è così flessibile: in genere, il cliente acquista una licenza annuale per un numero di risorse prestabilito. server o workstation. Gli utenti del cloud frequentemente disattivano e riattivano macchine virtuali aggiuntive in base alle loro esigenze attuali; di conseguenza, le licenze antivirus devono supportare lo stesso modello.
La seconda questione riguarda l'ambito di applicazione della licenza. Un antivirus tradizionale è licenziato in base al numero di server o workstation. Le licenze basate sul numero di macchine virtuali protette non si adattano bene al modello cloud. Il cliente può creare un numero a sua scelta di macchine virtuali, come cinque o dieci. Questo numero varia frequentemente, e monitorarne le modifiche non è possibile per noi come provider. Non vi è alcuna possibilità tecnica di licenziare per CPU: i clienti ricevono processori virtuali (vCPU), che dovrebbero essere la base per la licenza. Pertanto, il nuovo modello di protezione antivirus dovrebbe prevedere la possibilità di definire da parte del cliente il numero necessario di vCPU per le quali riceverà le licenze antivirus.
Conformità alla legislazione. Questo è un punto cruciale, poiché le soluzioni adottate devono garantire il rispetto dei requisiti normativi. Ad esempio, spesso gli "inquilini" del cloud operano con dati personali. In tal caso, il fornitore deve disporre di un segmento di cloud certificato, che rispetti completamente i requisiti della legge sulla protezione dei dati personali. Questo consente alle aziende di non dover "costruire" autonomamente l'intero sistema per gestire i dati personali: non devono acquistare attrezzature certificate, collegarle e configurarle, né passare attraverso il processo di certificazione. Per la sicurezza informatica dei dati personali, anche l'antivirus deve rispettare i requisiti della legislazione russa e possedere un certificato dell'FSTEC.
Abbiamo esaminato i criteri obbligatori che la protezione antivirus deve soddisfare nel cloud pubblico. In seguito, condivideremo la nostra esperienza nell'adattamento della soluzione antivirus per il funzionamento nel cloud del fornitore.
Come integrare antivirus e cloud
Secondo la nostra esperienza, scegliere una soluzione basata su descrizioni e documentazione è una cosa, ma implementarla in una reale infrastruttura cloud già operativa è un'altra questione per livello di complessità. Vi racconteremo cosa abbiamo fatto in pratica e come abbiamo adattato l'antivirus per funzionare nel cloud pubblico di un provider. Il vendor della soluzione antivirus è stato Kaspersky, che ha nel suo portafoglio soluzioni di protezione antivirus per ambienti cloud. Abbiamo scelto "Kaspersky Security per ambienti virtuali" (Agente leggero).
Essa comprende un'unica console Kaspersky Security Center. Agente leggero e macchine virtuali di sicurezza (SVM, Security Virtual Machine) e server di integrazione KSC.
Dopo aver esaminato l'architettura della soluzione Kaspersky e aver effettuato i primi test insieme agli ingegneri del fornitore, è sorto il tema dell'integrazione del servizio nel cloud. La prima implementazione è stata effettuata congiuntamente presso la piattaforma cloud di Mosca. Ecco cosa abbiamo compreso.
Per minimizzare il traffico di rete, è stata presa la decisione di posizionare SVM su ciascun host ESXi e "collegare" SVM agli host ESXi. In questo modo, leggeri agenti delle macchine virtuali protette si collegano a SVM dello stesso host ESXi su cui sono in esecuzione. Per il KSC principale è stato scelto un tenant amministrativo separato. Di conseguenza, i KSC subordinati si trovano nei tenant di ciascun cliente e si collegano al KSC superiore, che si trova nel segmento di gestione. Questo schema consente di risolvere rapidamente i problemi che sorgono nei tenant dei clienti.
Oltre alle problematiche relative all'innalzamento dei componenti della soluzione antivirus, ci siamo trovati di fronte alla sfida di organizzare l'interazione di rete tramite la creazione di ulteriori VxLAN. Anche se la soluzione era inizialmente destinata a clienti enterprise con cloud privati, grazie all'ingegnosità ingegneristica e alla flessibilità tecnologica di NSX Edge siamo riusciti a risolvere tutte le sfide legate alla separazione dei tenant e alla licenza.
Abbiamo lavorato a stretto contatto con gli ingegneri Kaspersky. Durante l'analisi dell'architettura della soluzione riguardante l'interazione di rete tra i componenti del sistema, è emerso che, oltre all'accesso dei leggeri agenti al SVM, è necessaria anche una comunicazione inversa – dal SVM ai leggeri agenti. Questa connettività di rete non è possibile in un ambiente multitenant a causa della possibilità di avere configurazioni di rete identiche per le macchine virtuali in diversi tenant del cloud. Pertanto, su nostra richiesta, i colleghi del fornitore hanno rielaborato il meccanismo di interazione di rete tra il leggero agente e il SVM per escludere la necessità di connettività da SVM ai leggeri agenti.
Dopo che la soluzione è stata implementata e testata nel sito cloud di Mosca, l'abbiamo replicata in altri siti, compreso il segmento cloud certificato. Attualmente, il servizio è disponibile in tutte le regioni del paese.
Architettura della soluzione di sicurezza informatica nel nuovo approccio
Lo schema generale di funzionamento della soluzione antivirus in un ambiente cloud pubblico è il seguente:
Schema di funzionamento della soluzione antivirus in un ambiente cloud pubblico #CloudMTS
Descriviamo le caratteristiche di funzionamento dei singoli elementi della soluzione cloud:
• Un'unica console che consente ai clienti di gestire centralmente il sistema di protezione: eseguire controlli, monitorare aggiornamenti e osservare le zone di quarantena. È possibile configurare politiche di sicurezza personalizzate all'interno del proprio segmento.
Va notato che, sebbene siamo fornitori del servizio, non interveniamo nelle impostazioni stabilite dai clienti. L'unica cosa che possiamo fare è ripristinare le politiche di sicurezza agli standard nel caso sia necessaria una riconfigurazione. Ad esempio, questo può essere necessario se un cliente ha inavvertitamente inasprito o allentato notevolmente tali politiche. L'azienda può sempre accedere a un centro di gestione con le politiche di default, che poi può configurare autonomamente. Un limite di Kaspersky Security Center è che attualmente la piattaforma è disponibile solo per il sistema operativo Microsoft. Tuttavia, gli agenti leggeri possono funzionare sia su macchine Windows che Linux. Tuttavia, nella "Laboratorio Kaspersky" promettono che a breve KSC sarà operativo anche su OS Linux. Una delle funzionalità importanti di KSC è la possibilità di gestire la quarantena. Ogni azienda cliente nel nostro cloud ha la propria quarantena personalizzata. Questo approccio elimina situazioni in cui un documento infetto da virus potrebbe accidentalmente diventare di pubblico dominio, come potrebbe accadere con un antivirus aziendale classico dotato di quarantena comune.
• Agenti leggeri. Nel nuovo modello, viene installato un agente leggero di Kaspersky Security su ciascuna macchina virtuale. Questo consente di non conservare il database antivirus su ogni VM, riducendo lo spazio su disco occupato. Il servizio è integrato con l'infrastruttura cloud e opera tramite SVM, il che aumenta la densità delle macchine virtuali sull'host ESXi e le prestazioni dell'intero sistema cloud. L'agente leggero crea una coda di compiti per ogni macchina virtuale: controllare il file system, la memoria, ecc. Tuttavia, l'esecuzione di queste operazioni è responsabilità di SVM, di cui parleremo in seguito. Inoltre, l'agente svolge funzioni di firewall, controlla le politiche di sicurezza, invia file infetti in quarantena e monitora la "salute" generale del sistema operativo su cui è installato. Tutto ciò può essere gestito tramite la già citata console unica.
• Macchina Virtuale di Sicurezza. Tutte le attività intensive (come gli aggiornamenti delle definizioni antivirus e le scansioni programmate) sono gestite da una specifica Macchina Virtuale di Sicurezza (SVM). Essa è responsabile del funzionamento di un motore antivirus completo e delle relative definizioni. L'infrastruttura IT dell'azienda può includere più SVM. Questo approccio aumenta l'affidabilità del sistema: se una macchina si guasta e non risponde per trenta secondi, gli agenti iniziano automaticamente a cercare un'altra.
• Server di Integrazione KSC. Uno dei componenti principali del KSC, che assegna le proprie SVM agli agenti leggeri in base all'algoritmo definito nelle sue impostazioni, e monitora la disponibilità delle SVM. In questo modo, questo modulo software garantisce il bilanciamento del carico su tutte le SVM dell'infrastruttura cloud.
Algoritmo operativo nel cloud: riduzione del carico sull'infrastruttura
In generale, l'algoritmo di funzionamento dell'antivirus può essere rappresentato come segue. L'agente accede a un file sulla macchina virtuale e lo controlla. Il risultato della verifica viene memorizzato in un'unica base di dati centralizzata di giudizi SVM (chiamata Shared Cache), dove ogni registrazione identifica un campione unico di file. Questo approccio consente di monitorare che lo stesso file non venga controllato più volte di seguito (ad esempio, se viene aperto su diverse macchine virtuali). Il file viene riesaminato solo se apportate modifiche o se la verifica è stata avviata manualmente.
Implementazione della soluzione antivirus nel cloud del provider
L'immagine mostra uno schema complessivo dell'implementazione della soluzione nel cloud. Nella zona di controllo del cloud è stato distribuito il principale Kaspersky Security Center, mentre su ogni host ESXi è stata distribuita un'unità SVM individuale tramite il server di integrazione KSC (ogni host ESXi ha il proprio SVM associato con impostazioni speciali su VMware vCenter Server). I clienti operano nei loro segmenti di cloud, dove sono collocate macchine virtuali con agenti. Queste vengono gestite tramite server KSC individuali, subordinate al principale KSC. In caso di necessità di protezione per un numero limitato di macchine virtuali (fino a 5), il cliente può ricevere accesso alla console virtuale di un server KSC dedicato. L'interazione di rete tra i KSC dei clienti e il principale KSC, così come tra gli agenti leggeri e l'SVM, avviene tramite NAT attraverso i router virtuali EdgeGW dei clienti.
Secondo le nostre stime e ai risultati dei test dei colleghi del fornitore, il Lightweight Agent riduce il carico sull'infrastruttura virtuale dei clienti di circa il 25% (rispetto a un sistema che utilizza tradizionali software antivirus). In particolare, l'antivirus standard Kaspersky Endpoint Security (KES) per ambienti fisici consuma quasi il doppio del tempo di CPU del server (2,95%) rispetto alla soluzione di virtualizzazione basata su agenti leggeri (1,67%).
Grafico di confronto del carico della CPU
Una situazione simile si osserva con la frequenza degli accessi al disco in scrittura: per l'antivirus classico è di 1011 IOPS, per l'antivirus cloud è di 671 IOPS.
Grafico di confronto della frequenza degli accessi al disco
Il miglioramento delle prestazioni consente di mantenere la stabilità dell'infrastruttura e di utilizzare in modo più efficiente le risorse di calcolo. Grazie all'adattamento per funzionare in un ambiente cloud pubblico, la soluzione non compromette le prestazioni del cloud: effettua un controllo centralizzato dei file e un caricamento degli aggiornamenti, distribuendo il carico. Ciò significa che, da un lato, non verranno trascurate le minacce attuali per l'infrastruttura cloud e, dall'altro, le richieste di risorse delle macchine virtuali si ridurranno mediamente del 25% rispetto ai tradizionali antivirus.
In termini di funzionalità, entrambe le soluzioni si somigliano molto: di seguito è riportata una tabella comparativa. Tuttavia, nel cloud, come dimostrano i risultati dei test sopra menzionati, è comunque più ottimale utilizzare la soluzione per ambienti virtuali.
Informazioni sulla fatturazione nell'ambito del nuovo approccio. Abbiamo deciso di utilizzare un modello che consente di ottenere licenze in base al numero di vCPU. Ciò significa che il numero di licenze sarà equivalente al numero di vCPU. È possibile testare l'antivirus facendo una richiesta. .
Nel seguente articolo sul cloud parleremo dell'evoluzione dei WAF cloud e di cosa sia meglio scegliere: hardware, software o cloud.
Il testo è stato preparato dai membri del fornitore di servizi cloud #CloudMTS: Denis Myagkov, architetto leader, e Aleksey Afanasyev, manager dello sviluppo prodotti di sicurezza informatica.
Fonte: habr.com
