Ruch w kierunku wirtualizacji centrów danych skłania do ważnego pytania o bezpieczeństwo sieci. Czy zabezpieczenia będę częścią jednej wirtualnej infrastruktury czy raczej wyłoni się model, w którym zabezpieczenia będę zwirtualizowane we własnej chmurze, fizycznie odseparowanej od aplikacji?
Zabezpieczenie ruchu sieciowego w wirtualnym środowisku jest bardzo trudne dla działów IT, ponieważ zwirtualizowane aplikacje komunikują się, często przekraczając granice stref bezpieczeństwa. Aby wymusić stosowanie reguł zabezpieczeń w komunikacji między zwirtualizowanymi aplikacjami, administratorzy muszą przede wszystkim określić restrykcyjne reguły tworzenia nowych wirtualnych maszyn. Ma to zapobiec szybkiemu zwiększaniu się liczby wirtualnych maszyn (zjawisko to określa się mianem server sprawl), które podlegają różnym regułom zabezpieczeń, a działają na jednym serwerze, co grozi zwiększeniem ryzyka dla firmy, jak również negatywnie wpływa na wydajność.
Podczas gdy wielu producentów oprogramowania szuka sposobu rozwiązania tego problemu, warto zastanowić się nad zupełnie innym podejściem: totalnym odseparowaniem zabezpieczeń sieci od infrastruktury serwerów aplikacyjnych. Przeznaczenie i charakterystyka infrastruktury obsługującej aplikacje jest zupełnie inna niż ta obsługującej zabezpieczenia sieci. W celu utrzymania stref bezpieczeństwa pomiędzy zwirtualizowanymi aplikacjami, zabezpieczenia powinny być fizycznie oddzielone, co zapewni krótkie opóźnienia i wysoką wydajność, a jednocześnie zabezpieczenia będą mogły być zwirtualizowane, a dzięki temu dostarczane elastycznie i dopasowane do potrzeb.
Środowisko składające się z dwóch chmur oferuje unikalny, hybrydowy model, z którego dział IT może czerpać korzyści z wirtualizacji zasobów bez narażania się na zwiększenie ryzyka i problemy z wydajnością. Aby zrozumieć, dlaczego hybrydowe podejście do wirtualizacji może najlepiej spełnić firmowe wymogi bezpieczeństwa, należy najpierw zrozumieć tradycyjne podejście do bezpieczeństwa.
Przenoszenie stref bezpieczeństwa do wirtualnego środowiska
W przeszłości schemat zabezpieczeń miał chronić przed atakami oraz wprowadzał podział środowiska na strefy bezpieczeństwa, które były definiowane na podstawie poziomu zagrożenia atakiem. Usługi internetowe, aplikacje biznesowe i bazy danych były fizycznie oddzielone i działały w swoich strefach. Od tego czasu wiele firm i operatorów wprowadziło dalszą segmentację bazującą na działach biznesowych, usługach lub kryteriach mających zwiększyć bezpieczeństwo, mobilność czy możliwości współpracy.
W dużych, niezwirtualizowanych centrach danych środowisko jest podzielone na odseparowane fizycznie warstwy: DMZ, aplikacji i baz danych. Zabezpieczenia, często w formie gotowych do wykorzystania urządzeń, są wdrażane na obrzeżach serwerowni lub pomiędzy strefą DMZ a strefą aplikacji. Takie podejście sprawia, że komunikacja między strefami (DMZ, aplikacji i baz danych) odbywa się za pośrednictwem urządzeń ochronnych. To pozwala administratorom wymuszać ograniczenia stref zgodnie z firmową polityką bezpieczeństwa. Zasadniczą wadą tego podejścia jest szybki przyrost liczby zabezpieczeń, które są wdrażane w celu ochrony rozrastającej się sieci. W dużych korporacjach i u dostawców usług wiąże się to z gwałtownych wzrostem kosztów i problemami z zarządzaniem.
Wirtualizacja umożliwia lepsze wykorzystanie zasobów serwerów, ogranicza zużycie energii i wprowadza większą elastyczność w serwerowni. Jednak po wdrożeniu wirtualizacji dział IT może odczuć trudności związane z egzekwowaniem reguł zabezpieczeń i ograniczaniem ruchu pomiędzy strefami bezpieczeństwa. Poziom zagrożenia zmienia się, ponieważ dane przechodzą przez różne strefy, a aplikacje komunikują się między sobą, niezależnie od fizycznych serwerów, na których działają. Gdy ma to miejsce, ruch sieciowy powinien być przekazany do odpowiedniego zabezpieczenia i w odpowiedniej kolejności (np. łańcuchu usług) przesłany do docelowej strefy. Dlatego rozwiązania ochronne muszą cechować się elastycznymi możliwościami, żeby móc zabezpieczyć komunikację sieciową wraz z następującymi zmianami granic między strefami, przy zachowaniu wysokiej przepustowości, dużej liczby połączeń i krótkich opóźnieniach.
Jedna chmura i eksplozja liczby wirtualnych maszyn
Jednym ze sposób rozwiązania problemu przekraczania granic między strefami bezpieczeństwa jest wdrożenie zwirtualizowanych mechanizmów zabezpieczeń (security virtual appliances). Jednakże mieszanka stref bezpieczeństwa sprawia szereg problemów związanych z zarządzaniem przekraczania granic stref w wielu miejscach na każdym serwerze fizycznym. Chociaż wykorzystywane technologie sprawdziły się w praktyce, złożoność zarządzania konfiguracjami, które są coraz bardziej abstrakcyjne w wyniku wirtualizacji sprawia, że wystąpienie błędu ludzkiego staje się bardzo prawdopodobne. Ponieważ tworzenie nowych wirtualnych maszyn jest dużo łatwiejsze niż rekonfigurowanie istniejących, ta metoda może szybko doprowadzić do dużego przyrostu liczby wirtualnych maszyn.
Z pojedynczą chmurą obliczeniową jest jeszcze jeden problem – zasadnicze różnice między infrastrukturą aplikacji i infrastrukturą zabezpieczeń. W dużych sieciach i centrach danych urządzenia ochronne muszą być odpowiednio wyskalowane, żeby oferować bardzo dużą wydajność i przetwarzać dane z krótkimi opóźnieniami, żeby z kolei nie spowalniać całej infrastruktury. Odwrotna sytuacja ma miejsce w obszarze infrastruktury obsługującej aplikacje, gdzie wykorzystanie zasobów jest stosunkowo niskie, a opóźnienia znaczące. Jeśli chodzi o infrastrukturę zabezpieczeń, wydajność jest zawsze bardzo istotna – wiele firm wymienia urządzenia ochronne w 18-miesięcznym cyklu, żeby nadążyć za rozbudową sieci i serwerowni. W szybkich sieciach pojawia się problem zapewnienia odpowiedniej przepustowości i krótkich opóźnień aplikacji ochronnych, które działają w wirtualnych maszynach na tradycyjnych serwerach.
W dużych instalacjach z setkami serwerów jedno środowisko wirtualne, w którym działają aplikacje i zabezpieczenia, stwarza wiele problemów (głównie z zarządzaniem), które mają wszelki potencjał do zakończenia się katastrofą.
Oddzielenie zabezpieczeń
Drugie spojrzenie na zabezpieczenie wirtualnego środowiska zakłada wykorzystanie infrastruktury, która konsoliduje wiele zwirtualizowanych aplikacji ochronnych w jeden system, który jest w stanie zabezpieczać sieć z wykorzystaniem dowolnej kombinacji zabezpieczeń i zgodnie z firmową polityką bezpieczeństwa. W tym przypadku zabezpieczenia działają w drugiej chmurze poza środowiskiem aplikacji. Natomiast reguły zabezpieczeń są wdrażane bez narażania się na szybki przyrost liczby wirtualnych maszyn. Ta metoda stworzenie oddzielnego środowiska zabezpieczeń pozwala skonsolidować zabezpieczenia i umieścić je za jednym razem między strefami. Takie podejście ma fundamentalną zaletę – nie ma problemu z nadmiernym wykorzystaniem zasobów przez dodatkowe wirtualne maszyny z aplikacjami ochronnymi. Utrzymywanie dwóch chmur znacznie poprawia bezpieczeństwo sieci.
Żeby aplikacje i zabezpieczenia mogły spełniać swoje zadania, trzeba zbudować infrastrukturę, która:
- ogranicza złożoność granic między strefami, zapewniając jednocześnie elastyczność wirtualnej infrastruktury;
- podąża za wirtualnymi maszynami, które migrują pomiędzy serwerami.
Na rynku jest już nowa generacja bardzo wydajnych zabezpieczeń, które umożliwiają wykorzystanie zalet zwirtualizowanego bezpieczeństwa. Te rozwiązania konsolidują i wirtualizują wiele rozwiązań ochronnych w jedną platformę, która wymusza przepuszczanie ruchu przechodzącego między strefami przez fizycznie odseparowaną architekturę zabezpieczeń. Te rozwiązania oferują również wiele form zabezpieczeń, które mogą być wykorzystywane w dowolnych kombinacjach w zależności od bieżących wymagań – a to wszystko przy zachowaniu wysokiej wydajności i krótkich opóźnieniach.
Zalety dwóch chmur
Zalety fizycznego oddzielenia aplikacji od zabezpieczenie są bardzo duże. Po pierwsze, rozdzielając DMZ, aplikacje i bazy danych w zwirtualizowane strefy bezpieczeństwa, znacznie spada prawdopodobieństwo naruszenia zabezpieczeń w skutek błędu ludzkiego. Oddzielne wirtualne środowiska upraszczają strukturę VLAN’ów w strefie aplikacji. Poza tym reguły zabezpieczeń regulujące komunikację między strefami są zarządzane przez oprogramowanie, a to pozwala aktywować w odpowiedniej kolejności zabezpieczenia filtrujące przepływające dane.
Wirtualne środowisko zabezpieczeń pozwala także zmieniać reguły zabezpieczeń bez konieczności zmian i rekonfiguracji stref bezpieczeństwa. Na koniec, segmentacja stref bezpieczeństwa ma bezpośredni wpływ na wydajność aplikacji, ponieważ maszyny wirtualne są bardziej wydajne (o 30-40%), jeśli obsługują ten sam typ aplikacji. Takie podejście przynosi największe korzyści w dużych firmach, gdzie wymagane jest zapewnienie niezawodnego i wydajnego działania najważniejszych aplikacji.
