Sempre più utenti stanno spostando l'intera infrastruttura IT nel cloud pubblico. Tuttavia, in caso di insufficienza del controllo antivirus nell'infrastruttura del cliente, sorgono seri rischi informatici. Le esperienze dimostrano che fino all'80% dei virus esistenti prosperano bene in un ambiente virtuale. In questo articolo parleremo di come proteggere le risorse IT nel cloud pubblico e perché i tradizionali antivirus non siano del tutto adatti a questo scopo.
Per iniziare, spiegheremo come siamo arrivati alla conclusione che gli strumenti di protezione antivirus comuni non siano adatti per il cloud pubblico e che siano necessari approcci diversi per la protezione delle risorse.
In primo luogo, generalmente i fornitori garantiscono le misure necessarie per assicurare un elevato livello di sicurezza delle proprie piattaforme cloud. Ad esempio, noi di #CloudMTS analizziamo tutto il traffico di rete, monitoriamo i log dei sistemi di sicurezza del nostro cloud e eseguiamo regolarmente test di penetrazione. I segmenti di cloud assegnati a clienti specifici devono anche essere protetti in modo affidabile.
In secondo luogo, il metodo classico di lotta contro i rischi informatici prevede l'installazione di antivirus e strumenti di gestione su ogni macchina virtuale. Tuttavia, con un numero elevato di macchine virtuali, questa pratica può risultare inefficace e richiedere notevoli risorse computazionali, aggravando ulteriormente l'infrastruttura del cliente e riducendo le prestazioni complessive del cloud. Questo è stato il presupposto chiave per la ricerca di nuovi approcci alla costruzione di una protezione antivirus efficace per le macchine virtuali dei clienti.
Inoltre, la maggior parte delle soluzioni antivirus disponibili sul mercato non è adattata a risolvere le problematiche di protezione delle risorse IT nell'ambiente cloud pubblico. Generalmente, si tratta di pesanti soluzioni EPP (Endpoint Protection Platforms) che, tra l'altro, non offrono la necessaria possibilità di personalizzazione da parte dei clienti del fornitore di cloud.
Diventa evidente che le soluzioni antivirus tradizionali non siano adatte per il lavoro nel cloud, poiché sovraccaricano seriamente l'infrastruttura virtuale durante gli aggiornamenti e le scansioni, e mancano dei necessari livelli di controllo basati sui ruoli e impostazioni. In seguito analizzeremo dettagliatamente le ragioni per cui il cloud ha bisogno di nuovi approcci alla protezione antivirus.
Cosa deve saper fare un antivirus nel cloud pubblico
Quindi, prestiamo attenzione alle specificità del lavoro in un ambiente virtuale:
Efficacia nell'esecuzione di aggiornamenti e verifiche di massa programmate. Se un numero significativo di macchine virtuali che utilizzano antivirus tradizionale avvia contemporaneamente un aggiornamento, nel cloud si verificherà quella che viene chiamata una "tempesta" di aggiornamenti. Le risorse dell'host ESXi, su cui sono ospitate diverse macchine virtuali, potrebbero non essere sufficienti ad affrontare l'ondata di compiti simili avviati per impostazione predefinita. Dal punto di vista del fornitore di cloud, questo problema può portare a un carico aggiuntivo su un certo numero di host ESXi, che alla fine porterà a una diminuzione delle prestazioni dell'infrastruttura virtuale del cloud. Ciò può riflettersi, tra l'altro, sulle prestazioni delle macchine virtuali di altri clienti del cloud. Una situazione simile può sorgere durante l'avvio della scansione di massa: l'elaborazione simultanea da parte del sistema di archiviazione di numerose richieste simili da diversi utenti influenzerà negativamente le prestazioni dell'intero cloud. Con un'alta probabilità, la riduzione della funzionalità dello storage rifletterà su tutti i clienti. Questi carichi improvvisi non sono graditi né al fornitore né ai suoi clienti, poiché influiscono sui "vicini" nel cloud. Da questo punto di vista, un antivirus tradizionale può rappresentare un grande problema.
Quarantena sicura. Se nel sistema viene rilevato un file o un documento potenzialmente infetto da un virus, viene inviato in quarantena. Certamente, il file infetto può essere eliminato immediatamente, ma questo non è spesso accettabile per la maggior parte delle aziende. Gli antivirus aziendali enterprise, che non sono progettati per funzionare nel cloud del fornitore, tendono ad avere un'area di quarantena comune: tutti gli oggetti infetti vi confluiscono. Ad esempio, quelli trovati sui computer degli utenti aziendali. I clienti del fornitore cloud 'vivono' nei propri segmenti (o tenant). Questi segmenti sono opachi e isolati: i clienti non conoscono l'uno dell'altro e, naturalmente, non vedono cosa caricano nel cloud gli altri. È chiaro che nella quarantena comune, a cui possono accedere tutti gli utenti dell'antivirus nel cloud, potrebbe finire un documento contenente informazioni riservate o segreti commerciali. Questo è inaccettabile per il fornitore e per i suoi clienti. Pertanto, l'unica soluzione è avere una quarantena personale per ogni cliente nel suo segmento, a cui né il fornitore né gli altri clienti possono accedere.
Politiche di sicurezza individuali. Ogni cliente nel cloud è un'azienda separata, il cui dipartimento IT stabilisce le proprie politiche di sicurezza. Ad esempio, gli amministratori definiscono le regole di scansione e il programma delle verifiche antivirus. Di conseguenza, ogni organizzazione deve avere il proprio centro di gestione per configurare le politiche antivirus. Le configurazioni impostate non devono influenzare gli altri clienti del cloud e il fornitore deve avere la possibilità di assicurarsi che, ad esempio, gli aggiornamenti dell'antivirus avvengano regolarmente per tutte le macchine virtuali del cliente.
Organizzazione della fatturazione e licensing. Il modello cloud si caratterizza per la flessibilità e prevede il pagamento solo per la quantità di risorse IT effettivamente utilizzate dal cliente. Se necessario, ad esempio a causa di fattori stagionali, il volume delle risorse può essere rapidamente aumentato o ridotto, tutto in base alle attuali esigenze di potenza di calcolo. Un antivirus tradizionale non è così flessibile: di solito, il cliente acquista una licenza annuale per un numero prestabilito. server o delle stazioni di lavoro. Gli utenti del cloud disconnettono e riconnettono regolarmente macchine virtuali aggiuntive in base alle loro necessità attuali — di conseguenza, le licenze antivirus devono sostenere lo stesso modello.
La seconda questione riguarda cosa esattamente coprirà la licenza. L'antivirus tradizionale è licenziato in base al numero di server o stazioni di lavoro. Le licenze basate sul numero di macchine virtuali protette non sono del tutto appropriate per il modello cloud. Il cliente può creare qualsiasi numero di macchine virtuali comode tra le risorse disponibili, ad esempio cinque o dieci macchine. Questo numero non è costante per la maggior parte dei clienti e monitorarlo non è possibile per noi come provider. Non c'è la possibilità tecnica di licenziare per CPU: i clienti ricevono processori virtuali (vCPU), su cui deve essere effettuata la licenza. Pertanto, il nuovo modello di protezione antivirus deve prevedere la possibilità per il cliente di definire il numero necessario di vCPU, per i quali riceverà le licenze antivirus.
Conformità legislativa. Un punto importante, poiché le soluzioni adottate devono garantire il rispetto dei requisiti normativi. Ad esempio, spesso gli 'abitanti' del cloud lavorano con dati personali. In tal caso, il provider deve disporre di un segmento di cloud certificato che sia pienamente conforme ai requisiti della legge sulla 'Protezione dei dati personali'. Così le aziende non devono 'costruire' autonomamente l'intero sistema per lavorare con i dati personali: acquistare attrezzature certificate, collegarle e configurarle, superare la certificazione. Per la sicurezza informatica dei dati personali, l'antivirus per tali clienti deve anche rispettare i requisiti della legislazione russa e avere il certificato FSTEC.
Abbiamo esaminato i criteri obbligatori che la protezione antivirus deve soddisfare nel cloud pubblico. In seguito condivideremo la nostra esperienza nell'adattare la soluzione antivirus per lavorare nel cloud del provider.
Come è possibile mettere d'accordo antivirus e cloud
Come dimostrato dalla nostra esperienza, scegliere una soluzione in base alla descrizione e alla documentazione è una cosa, mentre implementarla nella pratica in un ambiente cloud esistente è un compito completamente diverso per livello di complessità. Racconteremo cosa abbiamo fatto nella pratica e come abbiamo adattato l'antivirus per lavorare nel cloud pubblico del provider. Il vendor della soluzione antivirus è diventato Kaspersky, che ha nel suo portafoglio soluzioni per la protezione antivirus per ambienti cloud. Abbiamo optato per "Kaspersky Security per ambienti virtuali" (Agente leggero).
Essa include la console unica Kaspersky Security Center. Agente leggero e macchine virtuali di sicurezza (SVM, Security Virtual Machine) e server di integrazione KSC.
Dopo aver studiato l'architettura della soluzione Kaspersky e condotto i primi test insieme agli ingegneri del vendor, si è posto il problema dell'integrazione del servizio nel cloud. Il primo intervento è stato realizzato congiuntamente presso il sito cloud di Mosca. Ecco cosa abbiamo capito.
Per minimizzare il traffico di rete, è stata presa la decisione di posizionare SVM su ciascun host ESXi e "legare" SVM agli host ESXi. In questo caso, gli agenti leggeri delle macchine virtuali protette si rivolgono a SVM dello stesso host ESXi su cui sono in esecuzione. Per il principale KSC è stata scelta una tenant amministrativa separata. Di conseguenza, i KSC subordinati si trovano nelle tenant di ogni singolo cliente e si rivolgono al KSC superiore situato nel segmento di gestione. Questo schema consente di risolvere rapidamente i problemi che si presentano nelle tenant dei clienti.
Oltre alle questioni relative all'implementazione dei componenti della soluzione antivirus stessa, ci siamo trovati di fronte alla sfida di organizzare l'interazione di rete creando VxLAN aggiuntivi. E sebbene la soluzione fosse inizialmente destinata a clienti enterprise con cloud privati, con l'ingegneria creativa e la flessibilità tecnologica di NSX Edge siamo riusciti a risolvere tutte le problematiche legate alla separazione delle tenant e alla licenza.
Abbiamo lavorato a stretto contatto con gli ingegneri di Kaspersky. Durante l'analisi dell'architettura della soluzione per quanto riguarda l'interazione di rete tra i componenti del sistema, è emerso che, oltre all'accesso da parte di agenti leggeri al SVM, è necessaria anche una comunicazione di ritorno – dal SVM agli agenti leggeri. Questa connettività di rete non è possibile in un ambiente multitenant a causa della possibilità di avere impostazioni di rete identiche per macchine virtuali in diversi tenant del cloud. Pertanto, su nostra richiesta, i colleghi del fornitore hanno riprogettato il meccanismo di interazione di rete tra l'agente leggero e il SVM per escludere la necessità di connettività di rete dal SVM agli agenti leggeri.
Dopo che la soluzione è stata distribuita e testata sulla piattaforma cloud di Mosca, l'abbiamo replicata su altre piattaforme, incluso il segmento cloud certificato. Ora il servizio è disponibile in tutte le regioni del paese.
Architettura della soluzione di sicurezza informatica nel nuovo approccio
Lo schema generale di funzionamento della soluzione antivirus nell'ambiente cloud pubblico è il seguente:
Schema di funzionamento della soluzione antivirus nell'ambiente cloud pubblico #CloudMTS
Descriviamo le caratteristiche del funzionamento dei singoli elementi della soluzione nel cloud:
• Un'unica console che consente ai clienti di gestire centralmente il sistema di protezione: avviare controlli, monitorare gli aggiornamenti e osservare le zone di quarantena. È possibile configurare politiche di sicurezza individuali all'interno del proprio segmento.
È importante sottolineare che, sebbene siamo un fornitore di servizi, non interferiamo con le impostazioni stabilite dai clienti. L'unica cosa che possiamo fare è ripristinare le politiche di sicurezza ai valori di default in caso di necessità di riconfigurazione. Ad esempio, questo può essere necessario se il cliente ha inavvertitamente inasprito o allentato notevolmente tali politiche. Ogni azienda può sempre ottenere un centro di gestione con le politiche predefinite, che può poi configurare autonomamente. Un punto negativo di Kaspersky Security Center è che attualmente la piattaforma è disponibile solo per il sistema operativo Microsoft. Tuttavia, agenti leggeri possono funzionare sia su macchine Windows che Linux. Tuttavia, in 'Kaspersky Lab' promettono che KSC funzionerà anche su sistemi operativi Linux nei prossimi tempi. Una delle funzioni importanti di KSC è la possibilità di gestire la quarantena. Ogni azienda cliente nel nostro cloud ha una quarantena personale. Questo approccio esclude situazioni in cui un documento infetto da virus possa accidentalmente essere reso accessibile al pubblico, come potrebbe accadere con un tradizionale antivirus aziendale con quarantena condivisa.
• Agenti leggeri. Nell'ambito del nuovo modello, viene installato un agente leggero Kaspersky Security su ogni macchina virtuale. Questo permette di non memorizzare il database antivirus su ogni VM, riducendo lo spazio su disco occupato. Il servizio è integrato con l'infrastruttura cloud e opera tramite SVM, aumentando la densità delle macchine virtuali sull'host ESXi e le prestazioni dell'intero sistema cloud. L'agente leggero costruisce una coda di operazioni per ogni macchina virtuale: controllare il file system, la memoria, ecc. Tuttavia, l'esecuzione di queste operazioni è responsabilità di SVM, di cui parleremo in seguito. Inoltre, l'agente svolge funzioni di firewall, controlla le politiche di sicurezza, invia file infetti in quarantena e monitora la 'salute' generale del sistema operativo su cui è installato. Tutto ciò può essere gestito tramite l'unica console già menzionata.
• Macchina virtuale di sicurezza. Tutte le attività ad alta intensità di risorse (come gli aggiornamenti delle basi antivirus e la scansione programmata) sono gestite da una macchina virtuale di sicurezza (SVM) separata. Essa è responsabile del funzionamento di un motore antivirus completo e delle relative basi. L'infrastruttura IT di un'azienda può includere diverse SVM. Questo approccio aumenta l'affidabilità del sistema: se una macchina smette di funzionare e non risponde per trenta secondi, gli agenti iniziano automaticamente a cercarne un'altra.
• Server di integrazione KSC. Uno dei componenti principali del KSC, che assegna alle SVM i suoi agenti leggeri secondo l'algoritmo impostato nelle sue configurazioni e monitora la disponibilità delle SVM. In questo modo, questo modulo software garantisce il bilanciamento del carico su tutte le SVM dell'infrastruttura cloud.
Algoritmo di funzionamento nel cloud: riduzione del carico sull'infrastruttura
In generale, l'algoritmo di funzionamento dell'antivirus può essere rappresentato nel seguente modo. L'agente accede a un file sulla macchina virtuale e lo controlla. Il risultato della scansione è salvato in un database centralizzato dei verdetti SVM (denominato Shared Cache), in cui ogni record identifica un campione unico del file. Questo approccio consente di garantire che lo stesso file non venga controllato più volte di seguito (ad esempio, se viene aperto su diverse macchine virtuali). Il file viene riscanalizzato solo se subisce modifiche o se la scansione è stata avviata manualmente.
Implementazione della soluzione antivirus nel cloud del fornitore
L'immagine mostra lo schema generale di implementazione della soluzione nel cloud. Nella zona di gestione del cloud è stato distribuito il principale Kaspersky Security Center, mentre su ciascun host ESXi, tramite il server di integrazione KSC, è stata distribuita una SVM individuale (ogni SVM è legata a un host ESXi specifico con impostazioni personali su VMware vCenter Server). I clienti operano nei propri segmenti di cloud, dove vengono ospitate macchine virtuali con agenti. Queste sono gestite attraverso server KSC individuali subordinati al principale KSC. In caso di necessità di proteggere un numero ridotto di macchine virtuali (fino a 5), al cliente può essere fornito accesso alla console virtuale di un server KSC dedicato. L'interazione di rete tra i KSC client e il principale KSC, così come tra gli agenti leggeri e la SVM, avviene tramite NAT attraverso i router virtuali EdgeGW.
Secondo le nostre stime e i risultati dei test condotti dai colleghi nel fornitore, l'agente leggero riduce il carico sulla infrastruttura virtuale dei clienti di circa il 25% (rispetto a un sistema che utilizza software antivirus tradizionale). In particolare, l'antivirus standard Kaspersky Endpoint Security (KES) per ambienti fisici consuma quasi il doppio del tempo di CPU del server (2,95%) rispetto alla soluzione di virtualizzazione basata su agenti leggeri (1,67%).
Grafico di confronto del carico sulla CPU
Situazione simile si osserva con la frequenza di accesso al disco in scrittura: per l'antivirus tradizionale è di 1011 IOPS, mentre per l'antivirus cloud è di 671 IOPS.
Grafico di confronto della frequenza di accesso al disco
Il guadagno in prestazioni consente di mantenere la stabilità dell'infrastruttura e di utilizzare più efficientemente le risorse computazionali. Grazie all'adattamento per funzionare in un ambiente cloud pubblico, la soluzione non riduce le prestazioni del cloud: essa esegue controlli centralizzati dei file e carica aggiornamenti, distribuendo il carico. Ciò significa che, da un lato, non verranno trascurate le minacce attuali per l'infrastruttura cloud, e dall'altro, le richieste di risorse per le macchine virtuali diminuiranno in media del 25% rispetto a un antivirus tradizionale.
Per funzionalità, entrambe le soluzioni sono molto simili: di seguito è riportata una tabella comparativa. Tuttavia, nel cloud, come mostrano i risultati dei test sopra, è comunque più ottimale utilizzare una soluzione per ambienti virtuali.
Informazioni sulla tariffazione nel nuovo approccio. Abbiamo deciso di utilizzare un modello che consente di ottenere licenze in base al numero di vCPU. Ciò significa che il numero di licenze sarà pari al numero di vCPU. È possibile testare l'antivirus richiedendo una prova. .
Nel prossimo articolo sulla tematica cloud parleremo dell'evoluzione dei WAF nel cloud e di cosa sia meglio scegliere: hardware, software o cloud.
Il testo è stato preparato dai dipendenti del fornitore cloud #CloudMTS: Denis Myagkov, architetto principale, e Alexey Afanasyev, manager dello sviluppo dei prodotti di sicurezza delle informazioni.
Fonte: habr.com
