Виртуализация ИТ в силу многоплановых преимуществ завоевала популярность в мире. Наша страна не стала исключением. Однако особенности этой технологии нарушили устоявшиеся принципы построения защиты ИТ-инфраструктуры. О своем видении состояния дел с обеспечением ИБ виртуализированных ИТ-сред в нашей стране директор по развитию компании LETA Александр Бондаренко рассказал научному редактору PC Week/RE Валерию Васильеву.

PC Week: В отчетах мировых ИБ-лидеров за прошедший год нет упоминаний об успешных атаках на виртуальные среды. Означает ли это, что виртуализированные ИТ-ресурсы остаются пока неуязвимой частью ИТ-инфраструктуры?

Александр Бондаренко: Виртуализация привносит в эксплуатацию ИТ-среды специфические риски. Лет пять назад начали появляться публикации результатов исследований потенциальных атак на гипервизор и получения за счет этого контроля над всей виртуализированной инфраструктурой. Однако пока, на мой взгляд, упомянутые изыскания остаются теорией — каких-либо конкретных сведений о взломах или заражениях вредоносным кодом виртуальных сред мне тоже не попадалось. Похоже, что теоретически описанные атаки с возможностью переходов от одного виртуального узла на другой в обход механизмов защиты гипервизора пока практической реализации не получили.

PC Week: К виртуализации серверов и рабочих мест теперь прибавилась виртуализация корпоративных сетей и систем хранения данных. Какова специфика уязвимости и организации защиты этих компонентов виртуальной ИТ-инфраструктуры?

А. Б.: Я считаю, что для этих новых виртуализированных инфраструктурных компонентов остаются те же первоочередные проблемы с защитой, что и у виртуальных узлов, получивших распространение ранее. Кроме того, не стоит забывать, что c виртуализацией связаны риски, присущие и невиртуализированной ИТ-инфраструктуре.

Виртуализация подразумевает, прежде всего, консолидацию ресурсов, поэтому в обеспечении безопасности узлов виртуализации на первом месте стоит правильные выбор и реализация архитектуры — ее следует выбирать с таким расчетом, чтобы сбои в отдельных узлах не приводили к отказам всей инфраструктуры. Как для упомянутых появившихся вновь, так и для известных ранее узлов виртуализации важно обеспечивать отказоустойчивость с помощью хорошо известных подходов: кластерных схем, прямого резервирования.

Виртуализация в силу своей гибкости способна помогать в критических ситуациях ИТ- и ИБ-службам более оперативно реагировать на отказы и сбои, чем на невиртуализированной архитектуре. Например, при выходе из строя физического сервера на восстановление его работоспособности — поиск запасного “железа”, развертывание на нем операционной среды и приложений из резервной копии, тестирование результатов восстановительных работ — требуются часы, в то время как на восстановление состояния виртуальной машины из наиболее свежего снэпшота уходят минуты.

Однако при этом не стоит забывать, что виртуализация тоже имеет “железную” основу, и если не учитывать этого при проектировании архитектуры, ее узлы могут стать точками общих отказов ИТ-инфраструктуры, а не основой гибкой масштабируемости и надежности.

PC Week: Как вы оцениваете нынешнее состояние рынка средств защищенности виртуализированной ИТ-среды?

А. Б.: Из ИБ-продуктов, специализированных под виртуальные среды, сегодня доступны на рынке средства управления доступом к виртуализированным ИТ-ресурсам и инструментам виртуализации, антивирусы, межсетевые экран, системы обнаружения и предотвращения вторжений.

И пользователям, и разработчикам уже понятно, что прежними ИБ-средствами виртуализированную среду не защитить. Например, для контроля администратора виртуальной среды как суперпользователя, имеющего доступ к виртуальной инфраструктуре с черного хода, нужны специальные средства. Разработчики антивирусов, перенося свои решения в виртуальную среду, всячески стараются снизить нагрузку на виртуальную платформу. При этом они идут разными путями — кто-то предлагает для этого специализированные виртуальные аплайенсы, кто-то идет по пути оптимизации антивирусных агентов, устанавливаемых на виртуальных узлах.

PC Week: А есть ли на рынке средства, объединяющие защиту как традиционных, так и виртуализированных ИТ-ресурсов? Каким может быть подход к реализации такой комплексной защиты?

А. Б.: Мне такие средства оркестровки защиты и традиционной, и виртуализированной ИТ-среды не известны. Возможность такой интеграции, скорее всего, зависит не от платформы, а от способа реализации каждого средства защиты. Централизация ИБ-средств преследует в первую очередь сбор и анализ данных об ИТ- и ИБ-инцидентах. Эти задачи сегодня возлагаются на системы класса SIEM — системы управления инцидентами и событиями безопасности. Средств защиты, способных в одном продукте обеспечить комплексное решение проблем ИБ (контроль доступа, защита от вирусов, межсетевое экранирование, обнаружение и предотвращение вторжений, защита от утечек данных, шифрование данных, резервное копирование) для виртуализированных сред, я не знаю. Пока эти системы защиты работают как отдельные, под своей собственной консолью управления и зачастую поставляются разными разработчиками, хотя есть и комбайны, решающие сразу несколько ИБ-задач. Однако средств, объединяющих их в единую систему с общей консолью управления, пока нет. Их технологически сложно реализовать, поскольку эта задача затрагивает вопросы партнерства между вендорами как на стадии разработки, так и на стадии поддержки клиентов. Решение этой задачи требует стандартизации на уровне ИБ-отрасли, а этого еще нет.

В то же время отдельные ИБ-вендоры сделали в этом направлении заметные шаги. Так, компания McAfee в свою консоль управления ИБ-средсвами ePolicy Orchestrator, которая до недавнего времени объединяла только продукты McAfee, теперь активно пытается интегрировать ИБ-средства других производителей. Однако, если говорить про рынок российских ИБ-продуктов, то предлагаемые McAfee средства интеграции далеко не полны. К тому же в национальных реализациях ИБ-продуктов нередко встречаются такие специфические особенности, из-за которых полностью передать управление наружу, просто нельзя. Можно транслировать в центр управления ИБ некоторую статистику, управление некоторым базовым функционалом таких систем, но полностью заменить внутреннюю консоль управления ими удается далеко не всегда. И это относится не только к особенностям использования ИБ-средств в России.

PC Week: Как вы оцениваете проникновение средств виртуализации ИТ-ресурсов в среду российских корпоративных ИТ-пользователей? Можно ли здесь выделить по каким-либо признакам (размерам бизнеса, профилю бизнеса, региональной принадлежности) лидеров и аутсайдеров?

А.Б.: К настоящему времени виртуализацию в России внедрили или внедряют практически все компании и организации. Однако тут есть ряд особенностей. Так, по статистике, накопленной компанией LETA, крупный и средний бизнес внедряет ее на собственной ИТ-инфраструктуре, а малый бизнес явно тяготеет к потреблению ИТ в виде облачных сервисов (в которых виртуализация играет ведущую роль). И хотя темпы движения в сторону облачных сервисов в нашей стране уступают тем, которые отмечаются в Западной Европе и особенно в США, корпоративные облачные сервисы в России — не тренд будущего, а реалии сегодняшнего дня. В стране растет спрос на поставляемые через облака CRM-услуги, бухгалтерский учет, услуги по управлению проектами, по поддержке совместной работы.

PC Week: А есть ли спрос на облачные ИБ-сервисы? Судя по опыту вашей компании, здесь первопроходцами могут быть представители малого бизнеса.

А. Б.: Мне трудно более детально прокомментировать состояние спроса на облачные ИТ- и ИБ-сервисы в нашей стране, поскольку мы не занимается предоставлением облачных сервисов — LETA ведь компания-интегратор. Если же судить по отношению малого бизнеса к обеспечению ИБ в целом, особенно в условиях непрерывно и непредсказуемо меняющегося регулирующего эту область российского законодательства, то не думаю, что в этом направлении есть заметный прогресс. Эта категория компаний предпочитает направлять все средства на поддержку основного бизнеса.

PC Week: Что у нас сильнее всего тормозит распространение виртуализации?

А. Б.: Я как-то не усматриваю очевидных сдерживающих факторов распространения виртуализации в нашей стране. Мне представляется, что использование виртуализации вступило в фазу насыщения и дальнейший рост в этом направлении тормозиться уже некоторыми естественными причинами. Зачем, например, компании менять обычную ИТ-инфраструктуру на виртуализированную, если она удовлетворяет потребностями бизнеса? Вот когда наступит пора модернизации, тогда она и обратится к возможности перехода на виртуальную платформу. Не стоит забывать и о том, что остаются специфические узлы и системы в ИТ, где виртуализация просто не применима. Их в обозримой перспективе по-прежнему будут строить прямо на “железе”.

PC Week: А как вы оцениваете готовность российской регулятивной базы к применению виртуализации ИТ? Она не тормозит распространение виртуализации?

А. Б.: Задачи легитимности применения виртуализации сильно осложнены неготовностью российских законов к регулированию этой области. Вместе с тем радует то, что регуляторы хотя бы признают, что те требования, которые они предъявляют к области ИБ, сложно реализуемы в виртуальной среде, и обещают адаптировать их к специфике технологии виртуализации. Можно ожидать, что в следующем году Банк России и ФСТЭК выпустят соответствующие документы.

Что же касается практического воздействия регулятивной базы в нынешнем ее состоянии на распространение виртуализации, то, как мне кажется, она не тормозит этот процесс. Преимущества виртуализации столь очевидны и существенны, что бизнес не отказывается о них, несмотря на возможные санкции со стороны регуляторов. К тому же требования, например, закона “О персональных данных” и связанных с ним подзаконных актов к использованию различных технологий и, в частности, виртуализации остаются настолько неопределенными, что опасаться санкций за внедрение виртуализации пока не стоит.

PC Week: Как обстоят в России дела с проектами по защите виртуализированных сред? Много их было за прошлый год? Какова динамика?

А. Б.: Число таких проектов явно растет. Наша компания за прошедший год выполнила более десятка проектов. Российские компании в основной массе завершили переход на виртуальную ИТ-инфраструктуру и теперь приходят к осознанию, что в виртуальной ИТ-среде посеять хаос гораздо проще, чем в невиртуальной, и озадачиваются проблемами безопасности использования виртуальных ИТ-ресурсов. По моим прикидкам, около 20% российских компаний к сегодняшнему дню реализовали у себя в той или иной форме определенные механизмы защиты виртуальной инфраструктуры.

PC Week: Какие значимые технологические новации в области обеспечения защиты виртуальной ИТ-среды могут, на ваш взгляд, появиться в ближайшее время?

А.Б.: Я бы на них не рассчитывал, потому что виртуализация, на мой взгляд, находится в стадии зрелости и ее развитие, в том числе и обеспечение безопасности, эволюционирует путем улучшения уже известных компонентов.

Во всем мире выполнение требований законодательства является драйвером областей ИТ и ИБ. Поэтому и нам для очередного подъема в сегменте виртуализации следует ждать соответствующих нормативных документов регуляторов. На этой волне можно ожидать расширения ассортимента средств защиты виртуальных сред, прежде всего связанных с шифрованием данных, мониторингом уязвимостей, контролем конфигураций виртуальных узлов.

PC Week: Благодарю за беседу.