Virtualisierung und Security – ein Widerspruch?

Anbieter zum Thema

Rittal GmbH & Co. KG

VON ZUR MÜHLEN'SCHE GmbH

EPS Rechenzentrum Infrastruktur GmbH

Definierte Prozesse geben Sicherheit

Virtuelle Maschinen müssen behandelt werden wie physische Systeme, die über zusätzliche Eigenschaften verfügen. Sie haben den gleichen Betriebsprozessen und Sicherheitsvorgaben zu unterliegen. Manche Systeme, etwa Altsysteme ohne weiteren Herstellersupport, erfüllen diese Prozessvorgaben allerdings nicht. Das kann zu dem Konflikt führen, einerseits Altsysteme hosten zu müssen, jedoch andererseits die Prozessvorgaben nicht erfüllen zu können.

Um diese Konflikte aufzulösen, hilft eine Risikoanalyse und -bewertung. So ließen sich beispielsweise VMs, die an das Internet angeschlossen sind, auf einem gemeinsamen Host unterbringen. Weiterhin kann der isolierende Charakter der Virtualisierungslösungen unterstützt werden, indem virtuellen Maschinen jeweils eigene Hardware-Ressourcen wie eine dedizierte Netzwerkkarte zugewiesen werden. Zudem sollten diese risikobehafteten VMs sowohl untereinander als auch gegen den Rest des Netzwerks mit gängigen Mitteln wie Firewalls, Proxys und VLANs isoliert werden.

Ein durchdachtes Autorisierungskonzept ist ebenso notwendig wie hilfreich. Separation of Duties und Principle of Least Privilege haben auch beim Zugriffs- und Verwaltungsmanagement von VM und Host ihren Sinn. Denn häufig stellt gerade der Administrator eines Virtualisierungs-Hosts eine potentielle Gefahrenquelle dar. Er ist in der Lage, weitreichende Konfigurationsänderungen innerhalb der virtuellen Maschine durchzuführen und dadurch ungewollt Intrahost-Angriffe zu ermöglichen. Mit einem geeigneten Berechtigungskonzept kann diese Möglichkeit entzerrt, erschwert und obendrein auditierbar gemacht werden.

Unautorisierte, nicht überwachte virtuelle Maschinen sollten nicht (mehr) vorkommen. Denn auch diese bergen ein Risikopotential. Zu jeder Zeit sollte eine Übersicht möglich sein über die vorhandenen virtuellen Maschinen, deren Zustand, Funktion und Zuordnung zu den verantwortlichen Personen. Dies setzt jedoch Management- und Monitoring-Lösungen voraus, die neben physischen Systemen auch virtuelle Systeme und deren Hosts integrieren können und auf deren Besonderheiten einzugehen verstehen. Zu diesen Besonderheiten gehören das schnelle Erscheinen und Verschwinden von Systemen ebenso wie das Springen von einem Host zum nächsten.

Gleichzeitig ist auch ein funktionierendes Patch-Management essentiell. Dieses muss nicht nur die virtuelle Maschine und die darin installierten Tools und Treiber des Virtualisierungsprodukts berücksichtigen, sondern ebenso den Host und die Virtualisierungslösung selbst.

Fazit

Es ist unbestritten, dass sich Virtualisierung durch ihre diversen Vorzüge als Sicherheitswerkzeug eignet. Damit ergibt sich also kein Widerspruch. Genauso richtig ist aber auch, dass diese Technologie zusätzliche Herausforderungen sowohl für das operative als auch für das Sicherheitsmanagement bereithält. Zunächst ist zu differenzieren, wo und zu welchem Zweck Virtualisierung eingesetzt wird, und danach sind die notwendigen Maßnahmen zu berücksichtigen. Beim Einsatz von Virtualisierung im produktiven Umfeld sind die oben beschriebenen Maßnahmen angeraten.

Die in der IT-Strategie verankerten Standards und Prozesse sind vorteilhaft und erleichtern auch den Umgang mit virtuellen Maschinen – zumal bei diesen die Lebensdauer kürzer sein kann. Diese hohe Agilität fordert alle IT-Bereiche ganz besonders. Die Forderung, dass neben Stabilität, Performance und Kompatibilität vor allem Wert auf Sicherheit der virtualisierten Systeme in all ihren vielfältigen Aspekten gelegt werden muss, gilt in Fachkreisen als allgemein akzeptiert. Für die Nutzer gilt, dass beim Umgang mit riskantem Code oder geschäftskritischen Anwendungen das notwendige Augenmaß vorhanden sein muss.

Die Autoren

Daniel Kern ist Senior Consultant bei Avanade, Jörg-Oliver Todamm ist CISSP und Associate Principal Consultant bei Avanade, www.avanade.com; Quelle: InfoWeek, www.infoweek.ch

(ID:2021602)