Актуализация 3
Список сокращений 4
1. Введение в технологию полной виртуализации 5
1.2 Формы реализации технологии полной виртуализации 6
1.3 Виртуализированное аппаратное обеспечение 7
1.3.1 Виртуализированное сетевое взаимодействие 7
1.3.2 Образы гостевых ОС 8
1.4 Варианты использования полной виртуализации 9
1.4.1 Виртуализация сервера 9
1.4.2 Виртуализация настольных систем 10
2. Обзор безопасности виртуализации 11
2.1 Изоляция гостевых ОС 11
2.2 Мониторинг гостевых ОС 12
2.3 Управление образами и снимками 13
3. Рекомендации по защите компонентов виртуализации 15
3.1 Защита гипервизора 15
3.2 Защита гостевых ОС 17
3.3 Защита виртуализированной инфраструктуры 18
3.4 Защита виртуализации настольных систем 18
4. Планирование и внедрение защищенной виртуализации 20
4.1 Инициирование 21
4.2 Планирование и проектирование 22
4.3 Реализация 23
4.4 Работа и Обслуживание 24
4.5 Удаление 25
На фоне общей тенденции сегодняшней ИТ-индустрии перехода к виртуализированной инфраструктуре и облачным вычислениям, перед предприятиями остро встает вопрос о безопасности такого перехода. Основными причинами некоторой неопределенности в этом вопросе для российских ИТ-специалистов и специалистов по безопасности – это небольшой опыт работы с данными технологиями и, главное, отсутствие руководящих документов и стандартов уполномоченных государственных органов. На запрос в ФСТЭК РФ, когда следует ожидать подобные документы, был получен следующий ответ:
«…В период с января по май 2013 г. годовым планом работ технического комитета по стандартизации «Защита информации» (ТК362),
функционирующего на базе федерального автономного учреждения
«Государственный научно-исследовательский испытательный институт
проблем технической защиты информации Федеральной службы по
техническому и экспортному контролю» (г. Воронеж), предусмотрена разработка проекта национального стандарта ГОСТ Р «Защита информации. Требования по защите информации в информационных системах, построенных с использованием технологии виртуализации. Общие положения». Проведение публичного обсуждения первой редакции указанного национального стандарта планируется провести в период с мая по июнь 2013 г…».
Т.е., получается, что ближайший год принятия завершенного стандарта ожидать не приходится. В связи с этим, особую важность приобретают иностранные рекомендации, где опыт внедрения решений по виртуализации значительно шире.
Помимо рекомендаций самих производителей ПО виртуализации ([1], [2], [3]) существуют документы американского национального института по стандартизации (NIST), Cloud Security Alliance, центра интернет-безопасности (Center of Internet Security – CIS) и др, с той или иной степенью углубления освещающие аспекты защиты виртуализированных сред. Один из таких документов – NIST Special Publication 800-125: Guide to Security for Full Virtualization Technologies [4]. В нем приводятся наиболее общие рекомендации, на основе которых организациям можно и нужно разрабатывать свои политики безопасности. Как свидетельствует название, публикация посвящена наиболее используемой на данный момент технологии полной виртуализации и содержит, помимо всего прочего, довольно подробную теоретическую базу.
Данная работа – свободный перевод документа NIST SP 800-125.
