понедельник, 26 октября 2009 г.

Использование non-persistent дисков

Проблемы безопасности, связанные с использованием непостоянных (non-persistent) дисков, заключаются в том, что злоумышленник может откатить выполненные действия или скрыть следы своего присутствия простым выключением машины. При этом уязвимость обнаруженная злоумышленником в виртуальной машине останется и может быть использована повторно в произвольный момент времени по его усмотрению. Угроза же заключается в том, что администратор может и не узнать, что машина попала под контроль злоумышленника.

Использование виртуальных машин с этим типом дисков может привести к затруднению проведения расследований инцидентов в следующих случаях:
1. Ошибочные или некомпетентные действия пользователя в процессе эксплуатации виртуальной машины (не носящие злого умысла).
2. Проникновение на виртуальную машину вредоносного кода, не детектируемого средствами антивирусной защиты вследствие его новизны или заказного характера, с последующим выполнением вредоносной активности.
3. Умышленные злонамеренные действия пользователей, возможно, не обладающих достаточным уровнем для уничтожения всех следов своей деятельности в случае использования обычных дисков (persistent, по умолчанию).

Во всех случаях реализации угрозы после выключения виртуальной машины, использующей диски без сохранения состояния, признаки и следы вредоносного воздействия на саму виртуальную машину и/или информационную среду, на которую осуществлялись атаки с этой машины (за исключением аномалий, обнаруженных сетевыми и хостовыми IPS), будут безвозвратно уничтожены, что затруднит анализ событий и предотвращение их повторения в будущем.

Поэтому рекомендуется полный отказ от использования непостоянных дисков, или использование их только в тестовых средах или средах разработки (эта мера так же рекомендована вендором - стр 6. VMware Security Hardening).

7 комментариев:

  1. А как же мы без неперсистентных дисков в концепции виртуализации настольных ПК для Call-центров? Типа поработал - откатись взад.

    ОтветитьУдалить
  2. Безопасноть реальная всегда баланс между безопасностью идеальной и удобством использования.

    Как известно, самый защищенный сервер находится под 10 метровым слоем бетона на дне Марианской впадины и выключен. Но работать с ним невозможно.

    Этот пост - информация к раздумью, а не руководство к действию.

    ОтветитьУдалить
  3. Мда...вот и ответ(

    ОтветитьУдалить
  4. Уважаемый Аноним, в том случае если использование этого типа дисков требуется проектом непосредственно, то необходимо понимать, что избежать полностью этих рисков у вас не получится, но можно их минимизировать, это потребует введения дополнительных стороних элементов защиты.

    ОтветитьУдалить
  5. Так какие дополнительные элементы защиты можно использовать в этом случае?

    ОтветитьУдалить
  6. Как минимум в целом для инфраструктуры использовать, сетевые и хостовые IPS, возможно даже с собственными сигнатурами + FW + проксирование для всех интерфейсов доступа + расширенные возможности по сбору и анализу лог-файлов + грамотная настройка View Manager...а по хорошему, необходимо реально оценивать риски, в каждом конкретном случае с учетом модели нарушителя и модели угроз.
    Золотое правило будет выглядеть следующим образом: внутренние стандарты\политики + рекомендации производителя + специализированные решения!

    ОтветитьУдалить