SlideShare ist ein Scribd-Unternehmen logo
1 von 90
Downloaden Sie, um offline zu lesen
Sator Arepo Tenet Opera Rotas




Защита виртуальных
инфраструктур VMware при
помощи технологии
Код Безопасности vGate
Михаил Козлов
Консультант по развитию
http://devbusiness.ru/mkozloff
                                                      …
Sator Arepo Tenet Opera Rotas




Михаил Козлов

Консультант по развитию бизнеса и продаже решений на
основе бизнес-ценности (ROI)

20 лет в ИТ и консалтинге

VDEL, Trend Micro, VMware, Microsoft, V6, CARANA,
Cognitive Technologies…
                                                                …
Sator Arepo Tenet Opera Rotas



Сокращения
АИБ (АВИ) – администраторинформационной безопасности (виртуальной инфраструктуры)

ВИ/ВС – виртуальная инфраструктура/среда

ВМ – виртуальная машина (англ. VM)

ИБ – информационная безопасность

ИС – информационная система

НСД – несанкционированный доступ

ПДн – персональные данные

СВТ – средствавычислительной техники

СЗИ – средство защиты информации

СХД – система хранения данных (Storage) или сеть хранения данных (SAN)



                                                                                              …3
Sator Arepo Tenet Opera Rotas



Содержание
                  • Виртуализация стала мейнстримом
 ИБ: итоги 2010   • Новые виды информационных угроз


Виртуализация,    • Ключевые риски
   облака и       • Кто контролирует администратора?
 безопасность     • Лучшие практики по защите


                  • Ключевые возможности
   vGate для      • Соответствие требованиям регуляторов
    VMware        • Расчет ROI

                                                                …4
Sator Arepo Tenet Opera Rotas



vGate для виртуальной инфраструктуры VMware


  Ситуация                 Последствия               Решение
   Новых виртуальных
  серверов поставляется                                vGate позволяет
 больше чем физических                                    разделить
                                                    ответственность между
                            Утечка секретов через         АИБ и АВИ
                              администраторов –
     Администратор в
                              самый дорогой тип
 виртуальной среде имеет
                                  нарушения
   полный доступ к ВМ
                               информационной
                                 безопасности           vGate позволяет
                                                     использовать vSphere
   vSphere в России не                                при работе с любыми
 может использоваться в                             персональными данными
       ИСПДн К1


                                                                           …5
Sator Arepo Tenet Opera Rotas




2010: новые виды
информационных угроз

                                            …6
Sator Arepo Tenet Opera Rotas



  Изменение парадигмы




Облачно с вероятностью осадков
―Тревога о безопасности сдерживает ИТ менеджеров от ухода в облака.‖

                                                 -The Economist, March 5, 2010
                                                                           …7
Sator Arepo Tenet Opera Rotas



4 ключевых проблемы ИБ 2010
  Aurora    • Направленная атака
            • 0-day уязвимости



  Stuxnet   • Супер зловред
            • Кибер оружие



  Android   • Широкое распространение
            • Открытый большой код



   64 bit   • 64 битные зловреды
            • Современные CPUs
                                                                  …
                                   Источник: Лаборатория Касперского 8
Sator Arepo Tenet Opera Rotas



Aurora vs. Google
 «Google объявила во вторник, что она стала целю
 "очень сложной и скоординированной
 атаки против ее корпоративной сети. Она
 сообщила, что хакеры украли интеллектуальную
 собственность и искали доступ к учетным записям
 Gmail ряда правозащитников. Нападение
 произошло из Китая, говорится в сообщении
 компании».
                                       Wired.com
                                                          …9
Sator Arepo Tenet Opera Rotas



 Stuxnet




                     … 10
Sator Arepo Tenet Opera Rotas


Схема
распространения
Stuxnet
Dimona tested
the effectiveness
of the Stuxnet
computer worm,
a destructive
program that
appears to have
wiped out roughly
a fifth of Iran’s
nuclear
centrifuges and
helped delay,
though not
destroy, Tehran’s
ability to make its
first nuclear arms.                        … 11
Sator Arepo Tenet Opera Rotas




                     … 12
Sator Arepo Tenet Opera Rotas



StuxNet вывел из строя иранские
центрифуги для обогащения урана




  «The target of the attack was to modify the operation of high-
  frequency power drives made by Vacon and Fararo Paya.
  These drives were controlling the centrifuges that were enriching
  uranium».
                                                           F-Secure
                                                                           … 13
Sator Arepo Tenet Opera Rotas



Атака «человек в середине»
 ―While Stuxnet is doing malicious modifications to
 the system, it uses a man-in-the-middle attack to
 fool the operators into thinking everything is
 normal‖
                                              F-Secure




                                                               … 14
Sator Arepo Tenet Opera Rotas



Новости 2011
Oddjob
Крадет деньги со
счета даже после того
как пользователь он-
лайн банка вышел из
системы




                                             … 15
Sator Arepo Tenet Opera Rotas



2010, безопасность и виртуализация
Появились новые                   Приоритеты клиентской
изощренные виды                    виртуализации 2011
монетизации киберугроз

Виртуализация
инфраструктуры – ключевой
тренд в корпоративных ИТ
•VDI
•Облака

Как обстоят дела с
безопасностью виртуальных
инфраструктур?
                            Источник: http://www.enterprisemanagement.com/

                                                                     …
Sator Arepo Tenet Opera Rotas



Виртуализация и риски ИБ
Специалисты ИБ не участвует в проекте по виртуализации


Взлом слоя виртуализации может привести к взлому всех ВМ


Виртуальные ВМ-ВМ сети плохо контролируемы

ВМ с разным уровнем ИБ размещены на одном физическом
хосте

Отсутствие контроля за действиями администратора

                                                                     Источник:
Потеря разделения ответственности за сеть и ИБ                      Gartner, 2010

                                                                                … 17
Sator Arepo Tenet Opera Rotas



Стоимость потери информации
 285М взломанных записей в 2008 г. (Verizon
 Business RISK Team)
 В 2008 в США потеря каждой записи стоила $202,
 включая $152 косвенного ущерба (Ponemon
 Institute)




              True Cost of Compliance Report, Ponemon Institute LLC, January 2011      … 18
Sator Arepo Tenet Opera Rotas



Типы и стоимость инцидентов с ИБ




                                               … 19
Sator Arepo Tenet Opera Rotas


Потеря данных через администратора – самый
дорогой тип инцидента в ИБ
  В виртуальной среде нет проактивных средств
  контроля действий администратора
  Зловредное ПО с правами администратора может
  получить контроль над ВМ в обход гипервизора



                                                              The Value Of Corporate Secrets
                        How Compliance And Collaboration Affect Enterprise Perceptions Of Risk
                                                                         March 2010, Forrester


                                                                                   … 20
Sator Arepo Tenet Opera Rotas



Что делать?


              Разделить полномочия
                и ответственность
                администраторов
                     ВИ и ИБ


                                                   … 21
Sator Arepo Tenet Opera Rotas




Лучшие практики информационной безопасности

БЕЗОПАСНАЯ ВИРТУАЛИЗАЦИЯ

                                                            … 22
Sator Arepo Tenet Opera Rotas



Виртуализация и безопасность
                           Люди
                           • Обучение
              Технологии
                           • Разделение ответственности
                           Процессы
   Процессы                • Лучшие практики
                           • Требования регуляторов
                           Технологии
                           • Платформа
                           • Наложенные средства
                                                              … 23
Sator Arepo Tenet Opera Rotas



Ключевые процессы
                                   Тестовая            Обновления
  Управление    Гипервизор =
                                    среда:                 ПО и
                 виртуальное
 изменениями       железо
                                 тестирование          утверждения
                                 безопасности           изменений


 Управление и                       Контроль
  мониторинг      Ввод ВМ в         внешних              Сетевая
 виртуальных    эксплуатацию      виртуальных          безопасность
                                 устройств (ВУ)
   активов

    Лучшие
 практики ИБ    Virtualization
                   Security         PCI DSS                 CIS
 и требования    Hardening
 регуляторов
                                                                       … 24
Sator Arepo Tenet Opera Rotas



ИБ виртуализации. Постулаты

Виртуальные машины подвержены тем же угрозам,
что и реальные компьютеры

Виртуализация дает эффективные методы борьбы с
некоторыми видами угроз (например, Sandboxing)

Но приносит новые угрозы и проблемы, требующие
новых решений…


                                                         … 25
Sator Arepo Tenet Opera Rotas


Традиционные средства защиты в виртуальной
среду не эффективны
  Firewall, VPN     М.б. неприменимы или снижать
                      производительность среды
  Антивирусы
  DLP
  IDS/IPS
  Другие средства
  защиты                010110
                        100101
                        000101
                                  010110
                                  100101
                                  000101
                                                     010110
                                                     100101
                                                     000101




                                                         …
Sator Arepo Tenet Opera Rotas



Безопасность гипервизора
Пока не обнародовано ни                              Сервер виртуализации

одного случая взлома                            Console
гипервизоров или нарушения                        OS

изоляции ВМ
                                    Средства
                                  управления
Возможности Blue Pill & Red      виртуальной
                              инфраструктурой
Pill пока не доказывают
наличие угрозы для
                                                          Гипервизор
гипервизоров


Можно получить доступ к
гипервизору через средства
управления, но

                                                                        …
Sator Arepo Tenet Opera Rotas



Матрица и безопасность
виртуальной среды



 Red Pill – способ обнаружения          Blue Pill – зловредный
 присутствия на физическом             гипервизор, незаметно
 хосте работающей виртуальной      превращающий ОС в ВМ и
 машины                          перехватывающий ее трафик
                                                                   … 28
Sator Arepo Tenet Opera Rotas



Ядро (kernel) гипервизора
ESX – самое маленькое ядро на рынке

VMware VMsafe – API к ядру гипервизора: позволяет «видеть» идущий
через него трафик


                                                     ВМ ИБ:
   App         App          App                      • МЭ
                                                     • IDS / IPS
   OS          OS          OS                        • Антивирус
                                                     • Мониторинг
                                                       целостности

  ESX Server                VMsafe APIs                               … 30
Sator Arepo Tenet Opera Rotas



Средства платформы: vShield Endpoint
Антивирусная зашита гостевых ВМ




        Позволяет
       использовать
       специальную
   антивирусную ВМ без
       А/В агентов в
       гостевых ВМ


                                                       …
Sator Arepo Tenet Opera Rotas



ОС в консоли управления

По слухам для vSphere 5 будет упразднена

Для VI 3 и vSphere 4 (Linux based)
 • Подвержена обычным угрозам для ОС
 • Используйте рекомендации «VMware Security
   Hardening Guide»
 • Трудоемкая ручная настройка автоматизируется с
   vGate


                                                               … 32
Sator Arepo Tenet Opera Rotas



Виртуализация меняет свойства сетей
Стандартные МЭ становятся
не везде применимы           Сервер виртуализации         Сервер виртуализации




Угроза DoS атаки: ВМ может
занять весь трафик

• Мониторинг и ограничение
                               Гипервизор                   Гипервизор
  ресурсов

Трудоемкая ручная
настройка автоматизируется
с vGate
                                                                           …
Sator Arepo Tenet Opera Rotas



Сетевая безопасность – приоритет №1




                                                  … 34
Sator Arepo Tenet Opera Rotas



VMware vShield: балансировка нагрузки, МЭ,
VPN, зоны безопасности
Load
 balancer
Firewall
VPN
                    vShield
                    Virtual

Etc…
                   Appliance




 МЭ
            VPN
                               Проблема для России: низкий
  Балансировщик нагрузки          уровень сертификации
                                                                 … 35
Sator Arepo Tenet Opera Rotas



Сетевой трафик для vMotion
Синхронизация памяти по Сети ХД без
шифрования

Должна использоваться защищенная сеть, но:

Любой ввод/вывод (LAN,RAM, HDD)
чувствителен к угрозам типа Man in The Middle

                                                       … 36
Sator Arepo Tenet Opera Rotas




ПРИМЕР ОБХОДА CAPTCHA В СТИЛЕ
MAN IN THE MIDDLE

                                                     … 37
Sator Arepo Tenet Opera Rotas


Koobface

Пример сложного
социального
зловреда,
использующего
технику MitM




                                       … 38
Sator Arepo Tenet Opera Rotas




CAPTCHA передается на
зараженную машину и
пользователь превращает ее в
текст
                                    … 39
Sator Arepo Tenet Opera Rotas



Защита от атак «Man in the Middle»
                       Сервер виртуализации


 Перед вводом в
 эксплуатацию все
 самоподписанные SSL
 сертификаты
 необходимо заменить   Man in The
                        Middle

 на доверенные
 сертификаты 3-х
 сторон
                          Гипервизор

                                                         …
Sator Arepo Tenet Opera Rotas


Гипервизор и спящие (выключенные) ВМ

                          Сервер виртуализации
Гипервизор может читать
и изменять данные ВМ,
когда они не работают
                                    OFF
У проснувшейся ВМ
устареют настройки
безопасности                Гипервизор


                                                                 … 41
Sator Arepo Tenet Opera Rotas



Аппаратные средства защиты в
виртуальной среде

Могут не работать в ВС
 • Традиционные средства доверенной загрузки.
 • Во многих случаях аппаратное средство
   нельзя «пробросить» в виртуальную машину


                                                        … 42
Sator Arepo Tenet Opera Rotas



Используйте стандартный образ ВМ с
максимальными настройками ИБ

   Заблокированный
                            App
  стандартный образ
     ВМ позволит
   избежать ошибок          OS
     настройки ИБ

                                                  …
Sator Arepo Tenet Opera Rotas



Технологии ИБ vGate для ВС VMware

  Управление     Управление    Защита данных на
                                                   Аудиторский след    Производительность
конфигурациями    доступом    СХД и при передаче


                                       СХД
                                Шифрование
                                 и защита
                                  данных
                 Защита от                           Интеграция
Настройки ИБ                                                              Безопасность
                 пользова-                          средств ВИ с
 гипервизора                                                                   vs.
                  телей и                             SNMP или
для защиты от                                                              Производи-
                  админи-                            WMI уведо-
     НСД                          Защита от                                 тельность
                 страторов                            млениями
                                    атак на
                                 файлы ВМ и
                                   сетевого
                                   трафика
                                       TM, VMW                                   TM, …
                                                                                     VMW
                                                                                       44
Sator Arepo Tenet Opera Rotas



Инструменты
                                         Защита от
                                         внешних угроз:
                                         сетевых атак,
                                         вредоносного          Контроль ИБ
   Firewall,                             ПО, уязвимостей         трафика
    зоны             Средства ИБ в
безопасности    составе платформы
балансировка         виртуализации
                                                                Контроль
нагрузки, API                                                 настроек ИБ,
                                        Защита среды          целостности и
                                       гипервизора от
                                       НСД, контроль
                                                              прав доступа
                                     ролей и настроек


                                                                                …
Sator Arepo Tenet Opera Rotas



 VMware vShield – базовые возможности ИБ

   Ясное      Сетевой администратор
разделение
              Администратор ИБ        Политики
ответствен-
   ности
              Администратор ВИ




 Простая
настройка
 vShield



                                                                … 46
Sator Arepo Tenet Opera Rotas



Trend Micro Deep Security for VMware

                                              vNIC   vNIC             vNIC     vNIC




                                                            vSwitch

• Специальная гостевая виртуальная машина на гипервизоре
• Защищает все VM снаружи, без изменения VM
• FW, IDS/IPS и антивирусное сканирование на уровне гипервизора
                                                                                              … 47
Sator Arepo Tenet Opera Rotas


Лучшие практики ИБ для виртуальных сред

  PCI DSS 2.0
  CIS VMware ESX Server Benchmarks
  VMware Security Hardening Best Practices




                                                              … 48
Sator Arepo Tenet Opera Rotas


Лучшие практики ИБ для виртуальных сред

                 В каждом документе более 100
                 страниц настроек параметров
                 безопасности




                                                        … 49
Sator Arepo Tenet Opera Rotas



Как использовать лучшие практики ИБ?
Ручная настройка

 • или

автоматизация с vGate: поставляется с шаблонами
настройки для соответствия лучшим практикам ИБ


        Как узнать
     правильность
    моих настроек?

                                                               … 50
Sator Arepo Tenet Opera Rotas




Безопасность виртуальной инфраструктуры в облаках

ОБЛАКА И БЕЗОПАСНОСТЬ

                                                              … 51
Sator Arepo Tenet Opera Rotas



#1 опасение при переходе к облакам
                Source: Saugatuck Technology Inc., 2009 Cloud Infrastructure Survey (Julne09), WW N=670




                                                                                                  … 52
Sator Arepo Tenet Opera Rotas



Cloud Security Alliance – лучшие практики
ИБ для критически важных элементов
облачных вычислений




                                                       … 53
                        http://www.cloudsecurityalliance.org/
Sator Arepo Tenet Opera Rotas



Консолидация = централизация рисков

• «В облачной среде наименьший общий
  знаменатель безопасности будет
  разделен со всеми арендаторами
  виртуального ЦОД.»



            http://www.cloudsecurityalliance.org/csaguide.pdf
                                                                   … 54
Sator Arepo Tenet Opera Rotas



Ключевые угрозы в облаке v1.0
 Угроза   #1:   злоупотребление концепцией
 Угроза   #2:   небезопасные интерфейсы и APIs
 Угроза   #3:   вредоносные инсайдеры
 Угроза   #4:   общее использование старых технологий
 Угроза   #5:   утечки и потери данных
 Угроза   #6:   взлом учетных записей и сервисов
 Угроза   #7:   неизвестные характеристики рисков

                                   Top Threats to Cloud Computing
                                                                    … 55
Sator Arepo Tenet Opera Rotas



Угроза #3: инсайдеры



    Поставщик      Администратор          Ущерб
     управляет     имеет доступ ко     репутации,
    доступом и        всем ВМ            убытки,
  настройками ИБ   Может завладеть      снижение
   По 152ФЗ за       данными с       продуктивности
   ПДн отвечает     малым риском         Скоро
     оператор       обнаружения       вступление в
                                          ВТО!
                                                                … 56
Sator Arepo Tenet Opera Rotas



Угроза #5: утечки и потери данных




      Ведут к     Штрафные         Пример:
     прямым и    санкции (PCI    слабый AAA
    косвенным   DSS, 152ФЗ) и     контроль:
   финансовым   судебные иски   authentication,
      потерям                   authorization &
                                     audit

                                                           … 57
Sator Arepo Tenet Opera Rotas


Угроза #6: взлом учетных записей и сервисов


Может иметь
любые последствия

Помним Stuxnet

                                                        … 58
Sator Arepo Tenet Opera Rotas



vGate и облака

               vGate позволяет
               контролировать
               администратора
             облака, снижая риск
                потерь данных


                                                 … 59
Sator Arepo Tenet Opera Rotas




СООТВЕТСТВИЕ ТРЕБОВАНИЯМ
РЕГУЛЯТОРОВ
                                          … 60
Sator Arepo Tenet Opera Rotas



Регулирование и виртуализация
 PCI DSS
 CIS VMware ESX Server Benchmarks
 VMware Security Hardening Best Practices
 152ФЗ
 ЦБ РФ: СТО БР ИББС




                                                             … 61
Sator Arepo Tenet Opera Rotas



 Категории ПДн и классы ИСПДн
                                           В зависимости от объема одновременно обрабатываемых ПДн
                                                     3                       2                     1
Кате-
            Описание категории            менее чем 1000 субъектов   от 1000 до 100 000    более чем 100 000
гория                                      ПДн или ПДн субъектов     субъектов ПДн или     субъектов ПДн или
                   ПДн
 ПДн                                           ПДн в пределах        ПДн субъектов ПДн    ПДн субъектов ПДн в
                                           конкретной организации                         пределах субъекта РФ
                                                                                             или РФ в целом
        Обезличенные и (или)
 4      общедоступные ПДн                          К4                      К4                    К4
        ПДн, позволяющие
 3      идентифицировать субъекта ПДн              К3                      К3                    К2
        ПДн, позволяющие
        идентифицировать субъекта ПДн и
        получить о нем дополнительную
 2      информацию, за исключением                 К3                      К2                    К1
        персональных данных,
        относящихся к категории 1
        ПДн, касающиеся расовой,
        национальной принадлежности,
        политических взглядов,
 1      религиозных и философских                  К1                      К1                    К1
        убеждений, состояния здоровья,
        интимной жизни                                                                                 …
Sator Arepo Tenet Opera Rotas



Требования к наличию
сертифицированных подсистем в СЗПДн
  Управление        Межсетевое       Регистрация и
  доступом          экранирование    учет


  Обеспечение       Антивирусная     Обнаружение
  целостности       защита           вторжений


           Анализа
                             Шифрование
           защищенности
                                                         …
Sator Arepo Tenet Opera Rotas


152ФЗ и VMware – как быть с ПДн?
Ответственность с 1 июля 2011 г.
  VMware vSphere 4.1 в            vSphere 4.х + vGate
  составе:                         Сертификат ФСТЭК для
   ESX 4.0 Update 1 и VMware       использования в ИСПДн до
    vCenter Server 4.0 Update 1     К1 включительно
  Сертификат ФСТЭК для
  использования в ИСПДн до
  К2 включительно




                                                                     …
Sator Arepo Tenet Opera Rotas



Сертификаты vGate for VMware Infrastructure

                                     vGate 2
 vGate 1.0 и 2
                                  (в процессе)

    ФСТЭК СВТ 5 и НДВ 4            ФСТЭК НДВ 2
    • для АС до 1Г включительно    • для АС до 1Б включительно
    • ИСПДн до К1 включительно     • ИСПДн до К1 включительно




                                                                  … 65
Sator Arepo Tenet Opera Rotas



vGate и защита персональных данных


                 vGate – решает
             проблему прохождения
               аттестации ИСПДн,
             использующих VMware


                                                  … 66
Sator Arepo Tenet Opera Rotas



PCI-DSS: штрафы до $500,000




                                               … 67
Sator Arepo Tenet Opera Rotas


PCI DSS 2.0: требования к виртуальной среде
ВМ рассматривается как физический сервер

Одна ключевая функция на ВМ

Запрещено давать сотрудникам доступ к гипервизору

Минимально необходимый уровень прав доступа
 •Например администратор ВМ не может назначить ей другой vSwitch

Разделение функций и сетей с разными уровнями безопасности
 •На vSwitch нельзя использовать VLANs с 802.1Q, если у них разные функции
  или уровни безопасности (п. 2.2.1). Добавьте vSwitch для изоляции трафика
Нельзя совмещать тестовые и производственные среды
                                                                              … 68
Sator Arepo Tenet Opera Rotas



vGate и PCI DSS


            vGate поставляется с
            шаблонами настройки
                 VMware для
            соответствия PCI DSS


                                                 … 69
Sator Arepo Tenet Opera Rotas




VGATE   FOR VMWARE

                                          … 70
Sator Arepo Tenet Opera Rotas


Security Code vGate
for VMware Infrastructure
Повышает безопасность виртуальной инфраструктуры VMware VI 3
и VMware vSphere 4

Позволяет снизить риски ИБ для VMware и облегчить
использование лучших практик

Сертификаты ФСТЭК для использования среды VMware в ИСПДн
до К1




                                                                   … 71
Sator Arepo Tenet Opera Rotas


Security Code vGate for VMware Infrastructure:
основные функции:
Усиленная аутентификация администраторов ВИ и ИБ


Разделение ролей администратора ВИ и ИБ

Разграничение прав администрирования объектов ВИ
(мандатный доступ)

Защита средств управления виртуальной инфраструктурой от
несанкционированного доступа

                                                                … 72
Sator Arepo Tenet Opera Rotas


Security Code vGate for VMware Infrastructure:
основные функции (2):
Контроль целостности конфигурации виртуальных машин и
доверенная загрузка

Разграничение прав ESX-хостов на исполнение ВМ


Регистрация событий ИБ


Централизованное управление и мониторинг

                                                              … 73
Sator Arepo Tenet Opera Rotas


Состав vGate              Администратор               ИБ          Администратор ВИ

                                           vG                        vG
                                                ate                       ate




  Сервер авторизации
  Модули защиты ESX
  и vCenter                                            vG
                                                            ate



  Рабочее место
  администратора
  Консоль управления
                                ate              vCenter                               ate
                           vG                                                     vG


                       ESX-хост                                                 ESX-хост




                  ВМ                  ВМ                              ВМ                      ВМ
                                                                                               … 74
Sator Arepo Tenet Opera Rotas



vGate для АМТ-Банк
«Результаты испытаний продукта
показали, что Security Code VGate for
VMware Infrastucture позволяет построить
эффективную систему безопасности,
ликвидирует угрозы, присущие
виртуальной среде. Во время работы
продукт продемонстрировал
стабильность, не оказав влияния на
производительность среды».

           Петр Курило, Начальник Управления
       информационной безопасности АМТ-Банк
                                                                    … 75
Sator Arepo Tenet Opera Rotas




Демонстрация
vGate


   Клик для просмотра:


                                              … 76
Sator Arepo Tenet Opera Rotas


Security Code vGate for VMware Infrastructure
                                   Администратор          Администратор



  Лицензирование:
    Право на
     использование
     Сервера авторизации                                   ate
     vGate                                            vG

      • количество
        серверов vGate
    Право на
     использование vGate
     для защиты ESX-                            vCenter
     хостов
      • Количество              ESX-хост                              ESX-хост
        сокетов
        на ESX хостах
                           ВМ              ВМ                    ВМ               ВМ
                                                                                 … 77
Sator Arepo Tenet Opera Rotas




VGATE   ROI

                                   … 78
Sator Arepo Tenet Opera Rotas



Исходные данные

Централизованная
                      20 ESX хостов
    установка                              300 ВМ                3 администратора
                         (2CPU)
  vCenter/vGate




                                        Настройки ИБ
                                                                    Годовая з/п
                          Ставка        соответствуют
Горизонт расчета 3                                               администратора с
                     дисконтирования   требованиям PCI
      года                                                       учетом накладных
                           15%         DSS, CIS, VMware
                                                                  расходов = $48к
                                          Hardening




                                                                               … 79
Sator Arepo Tenet Opera Rotas


   vGate ROI: пример без и с учетом рисков ручной
   настройки параметров ИБ VMware
                                         Value           PV (3)        Использование vGate снижает риски
                                                                       ошибок ручной настройки:
Затраты на vGate                         $40 800          $37 503                            Value PV (3)
Стоимость ручной                                                       Положительный ДП vs.
настройки ИБ                             $133 683 $117 004             Ручная настройка ИБ        $266 810 $219 503
Снижение ручных
затрат с vGate   75%                     $100 262         $87 753      Затраты на vGate           $40 800      $37 503
NPV                                                       $50 249      NPV                        $226 010 $182 000
ROI                                                        134%        ROI                                     485%
Выгода в месяц                            $2 785           $2 438      Выгода в месяц              $6 278      $5 056
Период                                                                 Период
окупаемости, мес.                            15              16        окупаемости, мес.              7           8
Данный расчет сделан с vGate ROI Calculator для вымышленной компании                                               … 80
Sator Arepo Tenet Opera Rotas



   Используйте свою модель рисков
                                                                     На основе:
                                                                       Модели угроз ИБ
                                                                       ISO 27005 Information
                                                                       technology — Security
                                                                       techniques — Information
                                                                       security risk management
                                                                       COBIT Security Baseline



The Value Of Corporate Secrets. How Compliance And Collaboration Affect Enterprise Perceptions Of Risk. March 2010, Forrester   … 81
Sator Arepo Tenet Opera Rotas



Источник ROI для vGate
 vGate уменьшает
                      vGate снижает
  время настройки
                     риски ошибок при
 параметров ИБ для
                     ручной настройке
 виртуальной среды




                                                  … 82
Sator Arepo Tenet Opera Rotas



Следующие шаги
 Свяжитесь с                 Б/п проверить настройки
 представителем «Код         ИБ вашей ВИ
 Безопасности»
  Александр Лысенко,
   ведущий консультант
  ООО «Код Безопасности»,
   127018, Россия, Москва,
   а/я 55
  +7 (495) 980–2345
   (многоканальный)


                                                              …
Sator Arepo Tenet Opera Rotas



Зачем вам нужен vGate?
 Ситуация                 Последствия               Решение
   Новых виртуальных
  серверов поставляется                               vGate позволяет
 больше чем физических                                   разделить
                                                   ответственность между
                           Утечка секретов через         АИБ и АВИ
                             администраторов –
    Администратор в
                             самый дорогой тип
виртуальной среде имеет
                                 нарушения
  полный доступ к ВМ
                              информационной
                                безопасности           vGate позволяет
                                                    использовать vSphere
   vSphere в России не                               при работе с любыми
 может использоваться в                            персональными данными
       ИСПДн К1


                                                                          … 84
Sator Arepo Tenet Opera Rotas




www.sanctummovie.com




                              …
Sator Arepo Tenet Opera Rotas



Дополнительная информация
 Подробнее о vGate:
  http://www.securitycode.ru/products/sn_vmware/
 vGate Compliance Checker (free)
  http://www.securitycode.ru/products/sn_vmware/vgtate_ch
   ecker/
 Демо-версия vGate:
  http://www.securitycode.ru/products/demo/




                                                                    … 87
Sator Arepo Tenet Opera Rotas




СПАСИБО ЗА ВНИМАНИЕ!
ВОПРОСЫ?




                                        …
Sator Arepo Tenet Opera Rotas




ТЕХНОЛОГИИ «КОД
БЕЗОПАСНОСТИ»
                                       … 89
Sator Arepo Tenet Opera Rotas



Продукты для ИСПдн
                                                          - ТРЕБУЕТСЯ применение продукта в ИСПДн данного класса;
                                                          - РЕКОМЕНДУЕТСЯ применение продукта в ИСПДн данного класса.
                                                          * - М-506А-XP следует применять при аттестации по линии ФСБ в ИСПДн всех классов,
                                                          либо при аттестации по линии ФСТЭК в ИСПДн 1 класса в многопользовательских
                                                          системах с равными правами доступа.
                                                          ** - защита от вторжений на основе имитации данных.

                                                        ИСПДн класса           ИСПДн класса              ИСПДн класса
Класс СЗИ                  Продукт
                                                            К3                     К2                        К1
Средства защиты            Secret Net
информации от
несанкционированного       vGate
доступа для VMware
                           АПКШ "Континент"
                           TrustAccess
Межсетевые экраны
                           Security Studio Endpoint
                           Protection- ПМЭ
Средства доверенной
                           Электронный замок "Соболь"
загрузки
Средства
                           СКЗИ М-506А-XP*
криптографической защиты
                           Honeypot Manager**
                           Security Studio Endpoint
Защита от вторжений и      Protection- HIPS
антивирусы
                           Security Studio Endpoint
                           Protection- Антивирус
                           "Код Безопасности:
Соответствие стандартам
                           Инвентаризация"                                                                                     … 90
Sator Arepo Tenet Opera Rotas


 СЗИ «Код Безопасности» и классы ИСПДн
                                                                                                       Подсистемы СЗПДн
                Средства защиты




                                                                                                                             антивирусной




                                                                                                                                                                         криптографи-
                                                                                                                                            обнаружения
                                                                               экранирования




                                                                                                                                                          защищенности
                                                                                                             обеспечения
                                                                                               регистрации




                                                                                                             целостности
                                                                  управления




                                                                                                                                             вторжений
                                                                                межсетевого
                    компании




                                                                   доступом




                                                                                                                                защиты
                                                                                                 и учета




                                                                                                                                                             анализа




                                                                                                                                                                            ческая
               "Код Безопасности"
                                 АПКШ "Континент-ЦС" версии 3.4                  К2

  АПКШ "Континент"               АПКШ "Континент-ЦС" версии 3.5                  К1

                                 АПКШ "Континент-АП"                             К2
                          ПАК "Соболь"                              К1                           К2            К2

    Семейство СЗИ                Secret Net 5.1                     К1                           К1            К1
      Secret Net                 М-506                              К1                           К1            К1                                                            +
                                 Secret Net 6.0                     К1                           К1            К1
Security
 Studio
  Suite




                                 Межсетевой экран                                К1                            К1                             К1
             Security Studio
                                 Антивирус                                                                                     К1
           Endpoint Protection
                                 Локальная безопасность
                       Honeypot Manager                                                                                                       К1
                                 vGate                              К1                           К1            К1
                          TrustAccess                               К1           К1              К1
                        Инвентаризация                                                                                                                                   …
Sator Arepo Tenet Opera Rotas


Продукты по классам автоматизированных систем
Классы СЗИ        Продукты              1Д   1Г   1В           1Б
Средства защиты
                  СЗИ Secret Net
информации от
несанкционированн
ого доступа       vGate


                    АПКШ "Континент"
Межсетевые экраны
                    TrustAccess

Средства
                    Электронный замок
доверенной
                    "Соболь"
загрузки
Средства
криптографической   СКЗИ М-506А-XP
защиты
Защита от
                    Honeypot Manager
вторжений
                                                                       … 92

Weitere ähnliche Inhalte

Andere mochten auch

Зачем CIO становится поставщиком облачных услуг
Зачем CIO становится поставщиком облачных услугЗачем CIO становится поставщиком облачных услуг
Зачем CIO становится поставщиком облачных услугMichael Kozloff
 
A Review on Traffic Classification Methods in WSN
A Review on Traffic Classification Methods in WSNA Review on Traffic Classification Methods in WSN
A Review on Traffic Classification Methods in WSNIJARIIT
 
V center configuration manager customer facing technical presentation
V center configuration manager   customer facing technical presentationV center configuration manager   customer facing technical presentation
V center configuration manager customer facing technical presentationsolarisyourep
 
Postroenie kompleksnoj sistemy obespechenija informacionnoj bezopasnosti v vi...
Postroenie kompleksnoj sistemy obespechenija informacionnoj bezopasnosti v vi...Postroenie kompleksnoj sistemy obespechenija informacionnoj bezopasnosti v vi...
Postroenie kompleksnoj sistemy obespechenija informacionnoj bezopasnosti v vi...vGate R2
 
Презентация с Форума ИБ Директоров 16 апреля 2012г. "Безопасность инфраструкт...
Презентация с Форума ИБ Директоров 16 апреля 2012г. "Безопасность инфраструкт...Презентация с Форума ИБ Директоров 16 апреля 2012г. "Безопасность инфраструкт...
Презентация с Форума ИБ Директоров 16 апреля 2012г. "Безопасность инфраструкт...Максим Федотенко
 
Безопасность ЦОД-часть 1
Безопасность ЦОД-часть 1Безопасность ЦОД-часть 1
Безопасность ЦОД-часть 1Cisco Russia
 
Cis critical security controls. контроль 3 безопасная конфигурация устройств
Cis critical security controls. контроль 3   безопасная конфигурация устройствCis critical security controls. контроль 3   безопасная конфигурация устройств
Cis critical security controls. контроль 3 безопасная конфигурация устройствTeymur Kheirkhabarov
 
этичный хакинг и тестирование на проникновение (Publ)
этичный хакинг и тестирование на проникновение (Publ)этичный хакинг и тестирование на проникновение (Publ)
этичный хакинг и тестирование на проникновение (Publ)Teymur Kheirkhabarov
 
Hypervisor and VDI security
Hypervisor and VDI securityHypervisor and VDI security
Hypervisor and VDI securityDenis Gundarev
 
Contribution Of Environmental Factors To The Risk Of Male Infertility
Contribution Of Environmental Factors To The Risk Of Male InfertilityContribution Of Environmental Factors To The Risk Of Male Infertility
Contribution Of Environmental Factors To The Risk Of Male InfertilityBiblioteca Virtual
 
Безопасность облачных вычислений: ключевые угрозы и риски
Безопасность облачных вычислений: ключевые угрозы и рискиБезопасность облачных вычислений: ключевые угрозы и риски
Безопасность облачных вычислений: ключевые угрозы и рискиMichael Kozloff
 
Forever Flowing:The Azure Legacy 2.5b
Forever Flowing:The Azure Legacy 2.5bForever Flowing:The Azure Legacy 2.5b
Forever Flowing:The Azure Legacy 2.5bGeminiasp
 
Greece 1903-1920-photos-gr8
Greece 1903-1920-photos-gr8Greece 1903-1920-photos-gr8
Greece 1903-1920-photos-gr8gjt888
 

Andere mochten auch (20)

Зачем CIO становится поставщиком облачных услуг
Зачем CIO становится поставщиком облачных услугЗачем CIO становится поставщиком облачных услуг
Зачем CIO становится поставщиком облачных услуг
 
A Review on Traffic Classification Methods in WSN
A Review on Traffic Classification Methods in WSNA Review on Traffic Classification Methods in WSN
A Review on Traffic Classification Methods in WSN
 
V center configuration manager customer facing technical presentation
V center configuration manager   customer facing technical presentationV center configuration manager   customer facing technical presentation
V center configuration manager customer facing technical presentation
 
Postroenie kompleksnoj sistemy obespechenija informacionnoj bezopasnosti v vi...
Postroenie kompleksnoj sistemy obespechenija informacionnoj bezopasnosti v vi...Postroenie kompleksnoj sistemy obespechenija informacionnoj bezopasnosti v vi...
Postroenie kompleksnoj sistemy obespechenija informacionnoj bezopasnosti v vi...
 
Automation Compliance Checks
Automation Compliance ChecksAutomation Compliance Checks
Automation Compliance Checks
 
VMware vSphere 4.1 Security Hardening Guide Revision A
VMware vSphere 4.1 Security Hardening Guide Revision AVMware vSphere 4.1 Security Hardening Guide Revision A
VMware vSphere 4.1 Security Hardening Guide Revision A
 
Презентация с Форума ИБ Директоров 16 апреля 2012г. "Безопасность инфраструкт...
Презентация с Форума ИБ Директоров 16 апреля 2012г. "Безопасность инфраструкт...Презентация с Форума ИБ Директоров 16 апреля 2012г. "Безопасность инфраструкт...
Презентация с Форума ИБ Директоров 16 апреля 2012г. "Безопасность инфраструкт...
 
Безопасность ЦОД-часть 1
Безопасность ЦОД-часть 1Безопасность ЦОД-часть 1
Безопасность ЦОД-часть 1
 
Cis critical security controls. контроль 3 безопасная конфигурация устройств
Cis critical security controls. контроль 3   безопасная конфигурация устройствCis critical security controls. контроль 3   безопасная конфигурация устройств
Cis critical security controls. контроль 3 безопасная конфигурация устройств
 
этичный хакинг и тестирование на проникновение (Publ)
этичный хакинг и тестирование на проникновение (Publ)этичный хакинг и тестирование на проникновение (Publ)
этичный хакинг и тестирование на проникновение (Publ)
 
Hypervisor and VDI security
Hypervisor and VDI securityHypervisor and VDI security
Hypervisor and VDI security
 
Data Centers Security
Data Centers SecurityData Centers Security
Data Centers Security
 
Contribution Of Environmental Factors To The Risk Of Male Infertility
Contribution Of Environmental Factors To The Risk Of Male InfertilityContribution Of Environmental Factors To The Risk Of Male Infertility
Contribution Of Environmental Factors To The Risk Of Male Infertility
 
Trees by Henry Bismuth, Courtesy of Chisholm Gallery, LLC
Trees by Henry Bismuth, Courtesy of Chisholm Gallery, LLCTrees by Henry Bismuth, Courtesy of Chisholm Gallery, LLC
Trees by Henry Bismuth, Courtesy of Chisholm Gallery, LLC
 
Chisholm Gallery/ Steeplechase Series 2
Chisholm Gallery/ Steeplechase Series  2Chisholm Gallery/ Steeplechase Series  2
Chisholm Gallery/ Steeplechase Series 2
 
Безопасность облачных вычислений: ключевые угрозы и риски
Безопасность облачных вычислений: ключевые угрозы и рискиБезопасность облачных вычислений: ключевые угрозы и риски
Безопасность облачных вычислений: ключевые угрозы и риски
 
Skull Series by Henry Bismuth, Courtesy of Chisholm Gallery
Skull Series by Henry Bismuth, Courtesy of Chisholm GallerySkull Series by Henry Bismuth, Courtesy of Chisholm Gallery
Skull Series by Henry Bismuth, Courtesy of Chisholm Gallery
 
WIlliam Ersland's New Paintings, Courtesy of Chisholm Gallery, LLC
WIlliam Ersland's New Paintings, Courtesy of Chisholm Gallery, LLCWIlliam Ersland's New Paintings, Courtesy of Chisholm Gallery, LLC
WIlliam Ersland's New Paintings, Courtesy of Chisholm Gallery, LLC
 
Forever Flowing:The Azure Legacy 2.5b
Forever Flowing:The Azure Legacy 2.5bForever Flowing:The Azure Legacy 2.5b
Forever Flowing:The Azure Legacy 2.5b
 
Greece 1903-1920-photos-gr8
Greece 1903-1920-photos-gr8Greece 1903-1920-photos-gr8
Greece 1903-1920-photos-gr8
 

Ähnlich wie Security Code vGate: Lowering Virtualization Security Risks with ROI 02/03/2011

Ключевые риски и лучшие практики информационной безопасности при переходе в о...
Ключевые риски и лучшие практики информационной безопасности при переходе в о...Ключевые риски и лучшие практики информационной безопасности при переходе в о...
Ключевые риски и лучшие практики информационной безопасности при переходе в о...Michael Kozloff
 
Review of IBM's Modern Approaches to Construction of Information Processing S...
Review of IBM's Modern Approaches to Construction of Information Processing S...Review of IBM's Modern Approaches to Construction of Information Processing S...
Review of IBM's Modern Approaches to Construction of Information Processing S...SSA KPI
 
Эволюция информационной безопасности в виртуализированных и облачных средах
Эволюция информационной безопасности в виртуализированных и облачных средахЭволюция информационной безопасности в виртуализированных и облачных средах
Эволюция информационной безопасности в виртуализированных и облачных средахMichael Kozloff
 
Новые тенденции и новые технологии на рынке ИБ
Новые тенденции и новые технологии на рынке ИБНовые тенденции и новые технологии на рынке ИБ
Новые тенденции и новые технологии на рынке ИБAleksey Lukatskiy
 
Как взломать телеком и остаться в живых. Сергей Гордейчик
Как взломать телеком и остаться в живых. Сергей ГордейчикКак взломать телеком и остаться в живых. Сергей Гордейчик
Как взломать телеком и остаться в живых. Сергей ГордейчикPositive Hack Days
 
ExtremeManagement XMC (formerly NetSight)
ExtremeManagement XMC (formerly NetSight)ExtremeManagement XMC (formerly NetSight)
ExtremeManagement XMC (formerly NetSight)MUK Extreme
 
платформа кибер безопасности Palo alto networks
платформа кибер безопасности Palo alto networksплатформа кибер безопасности Palo alto networks
платформа кибер безопасности Palo alto networksDiana Frolova
 
Bezopasnost platejnyh terminalov
Bezopasnost platejnyh terminalovBezopasnost platejnyh terminalov
Bezopasnost platejnyh terminalovE-Money News
 
Безопасность АСУ ТП. Добро пожаловать в прошлый век!
Безопасность АСУ ТП. Добро пожаловать в прошлый век!Безопасность АСУ ТП. Добро пожаловать в прошлый век!
Безопасность АСУ ТП. Добро пожаловать в прошлый век!Positive Hack Days
 
Разработка эксплойтов для АСУ ТП: двойная игра
Разработка эксплойтов для АСУ ТП: двойная играРазработка эксплойтов для АСУ ТП: двойная игра
Разработка эксплойтов для АСУ ТП: двойная играКомпания УЦСБ
 
Куда летят облака? Примеры внедрений, вопросы и прогнозы развития в России v.1.1
Куда летят облака? Примеры внедрений, вопросы и прогнозы развития в России v.1.1Куда летят облака? Примеры внедрений, вопросы и прогнозы развития в России v.1.1
Куда летят облака? Примеры внедрений, вопросы и прогнозы развития в России v.1.1Michael Kozloff
 
Защита виртуальных инфраструктур VMware: вызов для клиентов - возможности для...
Защита виртуальных инфраструктур VMware: вызов для клиентов - возможности для...Защита виртуальных инфраструктур VMware: вызов для клиентов - возможности для...
Защита виртуальных инфраструктур VMware: вызов для клиентов - возможности для...Michael Kozloff
 
Перспективы будущих вычислений Облака, как они есть
Перспективы будущих вычисленийОблака, как они естьПерспективы будущих вычисленийОблака, как они есть
Перспективы будущих вычислений Облака, как они естьNick Turunov
 
Deep Security_Конкурс продуктов портала VirtualizationSecurityGroup.Ru
Deep Security_Конкурс продуктов портала VirtualizationSecurityGroup.RuDeep Security_Конкурс продуктов портала VirtualizationSecurityGroup.Ru
Deep Security_Конкурс продуктов портала VirtualizationSecurityGroup.RuVirtSGR
 
Комплексная система предотвращения вторжений нового поколения SourceFire Fire...
Комплексная система предотвращения вторжений нового поколения SourceFire Fire...Комплексная система предотвращения вторжений нового поколения SourceFire Fire...
Комплексная система предотвращения вторжений нового поколения SourceFire Fire...Cisco Russia
 
Белогрудов Владислав, EMC
Белогрудов Владислав, EMCБелогрудов Владислав, EMC
Белогрудов Владислав, EMCNata_Churda
 
Ukrainian information security group сидорова мария
Ukrainian information security group сидорова марияUkrainian information security group сидорова мария
Ukrainian information security group сидорова марияGlib Pakharenko
 
VMware User Group Community Russia, Константин Пичугов
VMware User Group Community Russia, Константин ПичуговVMware User Group Community Russia, Константин Пичугов
VMware User Group Community Russia, Константин Пичуговmikhail.mikheev
 
Киберпреступность отступает?
Киберпреступность отступает?Киберпреступность отступает?
Киберпреступность отступает?S.E. CTS CERT-GOV-MD
 

Ähnlich wie Security Code vGate: Lowering Virtualization Security Risks with ROI 02/03/2011 (20)

Ключевые риски и лучшие практики информационной безопасности при переходе в о...
Ключевые риски и лучшие практики информационной безопасности при переходе в о...Ключевые риски и лучшие практики информационной безопасности при переходе в о...
Ключевые риски и лучшие практики информационной безопасности при переходе в о...
 
Review of IBM's Modern Approaches to Construction of Information Processing S...
Review of IBM's Modern Approaches to Construction of Information Processing S...Review of IBM's Modern Approaches to Construction of Information Processing S...
Review of IBM's Modern Approaches to Construction of Information Processing S...
 
Эволюция информационной безопасности в виртуализированных и облачных средах
Эволюция информационной безопасности в виртуализированных и облачных средахЭволюция информационной безопасности в виртуализированных и облачных средах
Эволюция информационной безопасности в виртуализированных и облачных средах
 
Новые тенденции и новые технологии на рынке ИБ
Новые тенденции и новые технологии на рынке ИБНовые тенденции и новые технологии на рынке ИБ
Новые тенденции и новые технологии на рынке ИБ
 
Как взломать телеком и остаться в живых. Сергей Гордейчик
Как взломать телеком и остаться в живых. Сергей ГордейчикКак взломать телеком и остаться в живых. Сергей Гордейчик
Как взломать телеком и остаться в живых. Сергей Гордейчик
 
ExtremeManagement XMC (formerly NetSight)
ExtremeManagement XMC (formerly NetSight)ExtremeManagement XMC (formerly NetSight)
ExtremeManagement XMC (formerly NetSight)
 
платформа кибер безопасности Palo alto networks
платформа кибер безопасности Palo alto networksплатформа кибер безопасности Palo alto networks
платформа кибер безопасности Palo alto networks
 
Bezopasnost platejnyh terminalov
Bezopasnost platejnyh terminalovBezopasnost platejnyh terminalov
Bezopasnost platejnyh terminalov
 
Безопасность АСУ ТП. Добро пожаловать в прошлый век!
Безопасность АСУ ТП. Добро пожаловать в прошлый век!Безопасность АСУ ТП. Добро пожаловать в прошлый век!
Безопасность АСУ ТП. Добро пожаловать в прошлый век!
 
Разработка эксплойтов для АСУ ТП: двойная игра
Разработка эксплойтов для АСУ ТП: двойная играРазработка эксплойтов для АСУ ТП: двойная игра
Разработка эксплойтов для АСУ ТП: двойная игра
 
Куда летят облака? Примеры внедрений, вопросы и прогнозы развития в России v.1.1
Куда летят облака? Примеры внедрений, вопросы и прогнозы развития в России v.1.1Куда летят облака? Примеры внедрений, вопросы и прогнозы развития в России v.1.1
Куда летят облака? Примеры внедрений, вопросы и прогнозы развития в России v.1.1
 
Защита виртуальных инфраструктур VMware: вызов для клиентов - возможности для...
Защита виртуальных инфраструктур VMware: вызов для клиентов - возможности для...Защита виртуальных инфраструктур VMware: вызов для клиентов - возможности для...
Защита виртуальных инфраструктур VMware: вызов для клиентов - возможности для...
 
Перспективы будущих вычислений Облака, как они есть
Перспективы будущих вычисленийОблака, как они естьПерспективы будущих вычисленийОблака, как они есть
Перспективы будущих вычислений Облака, как они есть
 
01
0101
01
 
Deep Security_Конкурс продуктов портала VirtualizationSecurityGroup.Ru
Deep Security_Конкурс продуктов портала VirtualizationSecurityGroup.RuDeep Security_Конкурс продуктов портала VirtualizationSecurityGroup.Ru
Deep Security_Конкурс продуктов портала VirtualizationSecurityGroup.Ru
 
Комплексная система предотвращения вторжений нового поколения SourceFire Fire...
Комплексная система предотвращения вторжений нового поколения SourceFire Fire...Комплексная система предотвращения вторжений нового поколения SourceFire Fire...
Комплексная система предотвращения вторжений нового поколения SourceFire Fire...
 
Белогрудов Владислав, EMC
Белогрудов Владислав, EMCБелогрудов Владислав, EMC
Белогрудов Владислав, EMC
 
Ukrainian information security group сидорова мария
Ukrainian information security group сидорова марияUkrainian information security group сидорова мария
Ukrainian information security group сидорова мария
 
VMware User Group Community Russia, Константин Пичугов
VMware User Group Community Russia, Константин ПичуговVMware User Group Community Russia, Константин Пичугов
VMware User Group Community Russia, Константин Пичугов
 
Киберпреступность отступает?
Киберпреступность отступает?Киберпреступность отступает?
Киберпреступность отступает?
 

Mehr von Michael Kozloff

Цифровое предприятие 4.1 / Digital Enterprise 4.1
Цифровое предприятие 4.1 / Digital Enterprise 4.1Цифровое предприятие 4.1 / Digital Enterprise 4.1
Цифровое предприятие 4.1 / Digital Enterprise 4.1Michael Kozloff
 
How Cloud Service Providers (CSPs) can grow their business with IBM Cloud
How Cloud Service Providers (CSPs) can grow their business with IBM CloudHow Cloud Service Providers (CSPs) can grow their business with IBM Cloud
How Cloud Service Providers (CSPs) can grow their business with IBM CloudMichael Kozloff
 
How to Launch Great New Digital Products and Services Fast!
How to Launch Great New Digital Products and Services Fast!How to Launch Great New Digital Products and Services Fast!
How to Launch Great New Digital Products and Services Fast!Michael Kozloff
 
Куда полетят облака: СМБ, корпорации или государство?
Куда полетят облака: СМБ, корпорации или государство? Куда полетят облака: СМБ, корпорации или государство?
Куда полетят облака: СМБ, корпорации или государство? Michael Kozloff
 
Облачные тренды 2015-16
Облачные тренды 2015-16Облачные тренды 2015-16
Облачные тренды 2015-16Michael Kozloff
 
Облачные услуги Ростелеком и защита персональных данных
Облачные услуги Ростелеком и защита персональных данныхОблачные услуги Ростелеком и защита персональных данных
Облачные услуги Ростелеком и защита персональных данныхMichael Kozloff
 
Облачные решения ActiveCloud и примеры внедрений
Облачные решения ActiveCloud и примеры внедренийОблачные решения ActiveCloud и примеры внедрений
Облачные решения ActiveCloud и примеры внедренийMichael Kozloff
 
«Коломенская пастила», Коломна
«Коломенская пастила», Коломна«Коломенская пастила», Коломна
«Коломенская пастила», КоломнаMichael Kozloff
 
Какой ИТ и НИОКР бюджет у Роснефти?
Какой ИТ и НИОКР бюджет у Роснефти?Какой ИТ и НИОКР бюджет у Роснефти?
Какой ИТ и НИОКР бюджет у Роснефти?Michael Kozloff
 
ITSM форум России. Облачные вычисления. Проблемы работы с SLA
ITSM форум России. Облачные вычисления. Проблемы работы с SLAITSM форум России. Облачные вычисления. Проблемы работы с SLA
ITSM форум России. Облачные вычисления. Проблемы работы с SLAMichael Kozloff
 
Информационная безопасность в финансовом секторе: тренды 2015
Информационная безопасность в финансовом секторе: тренды 2015Информационная безопасность в финансовом секторе: тренды 2015
Информационная безопасность в финансовом секторе: тренды 2015Michael Kozloff
 
Облачные тренды 2015
Облачные тренды 2015Облачные тренды 2015
Облачные тренды 2015Michael Kozloff
 
ActivePlatform для общих департаментов ИТ (ОДИТ)
ActivePlatform для общих департаментов ИТ (ОДИТ)ActivePlatform для общих департаментов ИТ (ОДИТ)
ActivePlatform для общих департаментов ИТ (ОДИТ)Michael Kozloff
 
Об ActiveCloud ("В Облаке.РФ" №1)
Об ActiveCloud ("В Облаке.РФ" №1)Об ActiveCloud ("В Облаке.РФ" №1)
Об ActiveCloud ("В Облаке.РФ" №1)Michael Kozloff
 
ActiveCloud vs. облачные мифы
ActiveCloud vs. облачные мифыActiveCloud vs. облачные мифы
ActiveCloud vs. облачные мифыMichael Kozloff
 
Облачные решения и услуги ActiveCloud: IaaS & SaaS, примеры внедрений
Облачные решения и услуги ActiveCloud: IaaS & SaaS, примеры внедренийОблачные решения и услуги ActiveCloud: IaaS & SaaS, примеры внедрений
Облачные решения и услуги ActiveCloud: IaaS & SaaS, примеры внедренийMichael Kozloff
 
Как перенос ИТ в облако ActiveCloud помогает в условиях кризиса. Примеры реш...
Как перенос ИТ в облако ActiveCloud помогает в условиях кризиса. Примеры реш...Как перенос ИТ в облако ActiveCloud помогает в условиях кризиса. Примеры реш...
Как перенос ИТ в облако ActiveCloud помогает в условиях кризиса. Примеры реш...Michael Kozloff
 
Методы стимулирования территориального развития ИКТ отрасли на примере Москвы
Методы стимулирования территориального развития ИКТ отрасли на примере МосквыМетоды стимулирования территориального развития ИКТ отрасли на примере Москвы
Методы стимулирования территориального развития ИКТ отрасли на примере МосквыMichael Kozloff
 
Методы определения и управления себестоимостью ИТ-услуг
Методы определения и управления себестоимостью ИТ-услугМетоды определения и управления себестоимостью ИТ-услуг
Методы определения и управления себестоимостью ИТ-услугMichael Kozloff
 
Что CIO и ИТ-менеджеры думают про Облака?
Что CIO и ИТ-менеджеры думают про Облака?Что CIO и ИТ-менеджеры думают про Облака?
Что CIO и ИТ-менеджеры думают про Облака?Michael Kozloff
 

Mehr von Michael Kozloff (20)

Цифровое предприятие 4.1 / Digital Enterprise 4.1
Цифровое предприятие 4.1 / Digital Enterprise 4.1Цифровое предприятие 4.1 / Digital Enterprise 4.1
Цифровое предприятие 4.1 / Digital Enterprise 4.1
 
How Cloud Service Providers (CSPs) can grow their business with IBM Cloud
How Cloud Service Providers (CSPs) can grow their business with IBM CloudHow Cloud Service Providers (CSPs) can grow their business with IBM Cloud
How Cloud Service Providers (CSPs) can grow their business with IBM Cloud
 
How to Launch Great New Digital Products and Services Fast!
How to Launch Great New Digital Products and Services Fast!How to Launch Great New Digital Products and Services Fast!
How to Launch Great New Digital Products and Services Fast!
 
Куда полетят облака: СМБ, корпорации или государство?
Куда полетят облака: СМБ, корпорации или государство? Куда полетят облака: СМБ, корпорации или государство?
Куда полетят облака: СМБ, корпорации или государство?
 
Облачные тренды 2015-16
Облачные тренды 2015-16Облачные тренды 2015-16
Облачные тренды 2015-16
 
Облачные услуги Ростелеком и защита персональных данных
Облачные услуги Ростелеком и защита персональных данныхОблачные услуги Ростелеком и защита персональных данных
Облачные услуги Ростелеком и защита персональных данных
 
Облачные решения ActiveCloud и примеры внедрений
Облачные решения ActiveCloud и примеры внедренийОблачные решения ActiveCloud и примеры внедрений
Облачные решения ActiveCloud и примеры внедрений
 
«Коломенская пастила», Коломна
«Коломенская пастила», Коломна«Коломенская пастила», Коломна
«Коломенская пастила», Коломна
 
Какой ИТ и НИОКР бюджет у Роснефти?
Какой ИТ и НИОКР бюджет у Роснефти?Какой ИТ и НИОКР бюджет у Роснефти?
Какой ИТ и НИОКР бюджет у Роснефти?
 
ITSM форум России. Облачные вычисления. Проблемы работы с SLA
ITSM форум России. Облачные вычисления. Проблемы работы с SLAITSM форум России. Облачные вычисления. Проблемы работы с SLA
ITSM форум России. Облачные вычисления. Проблемы работы с SLA
 
Информационная безопасность в финансовом секторе: тренды 2015
Информационная безопасность в финансовом секторе: тренды 2015Информационная безопасность в финансовом секторе: тренды 2015
Информационная безопасность в финансовом секторе: тренды 2015
 
Облачные тренды 2015
Облачные тренды 2015Облачные тренды 2015
Облачные тренды 2015
 
ActivePlatform для общих департаментов ИТ (ОДИТ)
ActivePlatform для общих департаментов ИТ (ОДИТ)ActivePlatform для общих департаментов ИТ (ОДИТ)
ActivePlatform для общих департаментов ИТ (ОДИТ)
 
Об ActiveCloud ("В Облаке.РФ" №1)
Об ActiveCloud ("В Облаке.РФ" №1)Об ActiveCloud ("В Облаке.РФ" №1)
Об ActiveCloud ("В Облаке.РФ" №1)
 
ActiveCloud vs. облачные мифы
ActiveCloud vs. облачные мифыActiveCloud vs. облачные мифы
ActiveCloud vs. облачные мифы
 
Облачные решения и услуги ActiveCloud: IaaS & SaaS, примеры внедрений
Облачные решения и услуги ActiveCloud: IaaS & SaaS, примеры внедренийОблачные решения и услуги ActiveCloud: IaaS & SaaS, примеры внедрений
Облачные решения и услуги ActiveCloud: IaaS & SaaS, примеры внедрений
 
Как перенос ИТ в облако ActiveCloud помогает в условиях кризиса. Примеры реш...
Как перенос ИТ в облако ActiveCloud помогает в условиях кризиса. Примеры реш...Как перенос ИТ в облако ActiveCloud помогает в условиях кризиса. Примеры реш...
Как перенос ИТ в облако ActiveCloud помогает в условиях кризиса. Примеры реш...
 
Методы стимулирования территориального развития ИКТ отрасли на примере Москвы
Методы стимулирования территориального развития ИКТ отрасли на примере МосквыМетоды стимулирования территориального развития ИКТ отрасли на примере Москвы
Методы стимулирования территориального развития ИКТ отрасли на примере Москвы
 
Методы определения и управления себестоимостью ИТ-услуг
Методы определения и управления себестоимостью ИТ-услугМетоды определения и управления себестоимостью ИТ-услуг
Методы определения и управления себестоимостью ИТ-услуг
 
Что CIO и ИТ-менеджеры думают про Облака?
Что CIO и ИТ-менеджеры думают про Облака?Что CIO и ИТ-менеджеры думают про Облака?
Что CIO и ИТ-менеджеры думают про Облака?
 

Security Code vGate: Lowering Virtualization Security Risks with ROI 02/03/2011

  • 1. Sator Arepo Tenet Opera Rotas Защита виртуальных инфраструктур VMware при помощи технологии Код Безопасности vGate Михаил Козлов Консультант по развитию http://devbusiness.ru/mkozloff …
  • 2. Sator Arepo Tenet Opera Rotas Михаил Козлов Консультант по развитию бизнеса и продаже решений на основе бизнес-ценности (ROI) 20 лет в ИТ и консалтинге VDEL, Trend Micro, VMware, Microsoft, V6, CARANA, Cognitive Technologies… …
  • 3. Sator Arepo Tenet Opera Rotas Сокращения АИБ (АВИ) – администраторинформационной безопасности (виртуальной инфраструктуры) ВИ/ВС – виртуальная инфраструктура/среда ВМ – виртуальная машина (англ. VM) ИБ – информационная безопасность ИС – информационная система НСД – несанкционированный доступ ПДн – персональные данные СВТ – средствавычислительной техники СЗИ – средство защиты информации СХД – система хранения данных (Storage) или сеть хранения данных (SAN) …3
  • 4. Sator Arepo Tenet Opera Rotas Содержание • Виртуализация стала мейнстримом ИБ: итоги 2010 • Новые виды информационных угроз Виртуализация, • Ключевые риски облака и • Кто контролирует администратора? безопасность • Лучшие практики по защите • Ключевые возможности vGate для • Соответствие требованиям регуляторов VMware • Расчет ROI …4
  • 5. Sator Arepo Tenet Opera Rotas vGate для виртуальной инфраструктуры VMware Ситуация Последствия Решение Новых виртуальных серверов поставляется vGate позволяет больше чем физических разделить ответственность между Утечка секретов через АИБ и АВИ администраторов – Администратор в самый дорогой тип виртуальной среде имеет нарушения полный доступ к ВМ информационной безопасности vGate позволяет использовать vSphere vSphere в России не при работе с любыми может использоваться в персональными данными ИСПДн К1 …5
  • 6. Sator Arepo Tenet Opera Rotas 2010: новые виды информационных угроз …6
  • 7. Sator Arepo Tenet Opera Rotas Изменение парадигмы Облачно с вероятностью осадков ―Тревога о безопасности сдерживает ИТ менеджеров от ухода в облака.‖ -The Economist, March 5, 2010 …7
  • 8. Sator Arepo Tenet Opera Rotas 4 ключевых проблемы ИБ 2010 Aurora • Направленная атака • 0-day уязвимости Stuxnet • Супер зловред • Кибер оружие Android • Широкое распространение • Открытый большой код 64 bit • 64 битные зловреды • Современные CPUs … Источник: Лаборатория Касперского 8
  • 9. Sator Arepo Tenet Opera Rotas Aurora vs. Google «Google объявила во вторник, что она стала целю "очень сложной и скоординированной атаки против ее корпоративной сети. Она сообщила, что хакеры украли интеллектуальную собственность и искали доступ к учетным записям Gmail ряда правозащитников. Нападение произошло из Китая, говорится в сообщении компании». Wired.com …9
  • 10. Sator Arepo Tenet Opera Rotas Stuxnet … 10
  • 11. Sator Arepo Tenet Opera Rotas Схема распространения Stuxnet Dimona tested the effectiveness of the Stuxnet computer worm, a destructive program that appears to have wiped out roughly a fifth of Iran’s nuclear centrifuges and helped delay, though not destroy, Tehran’s ability to make its first nuclear arms. … 11
  • 12. Sator Arepo Tenet Opera Rotas … 12
  • 13. Sator Arepo Tenet Opera Rotas StuxNet вывел из строя иранские центрифуги для обогащения урана «The target of the attack was to modify the operation of high- frequency power drives made by Vacon and Fararo Paya. These drives were controlling the centrifuges that were enriching uranium». F-Secure … 13
  • 14. Sator Arepo Tenet Opera Rotas Атака «человек в середине» ―While Stuxnet is doing malicious modifications to the system, it uses a man-in-the-middle attack to fool the operators into thinking everything is normal‖ F-Secure … 14
  • 15. Sator Arepo Tenet Opera Rotas Новости 2011 Oddjob Крадет деньги со счета даже после того как пользователь он- лайн банка вышел из системы … 15
  • 16. Sator Arepo Tenet Opera Rotas 2010, безопасность и виртуализация Появились новые Приоритеты клиентской изощренные виды виртуализации 2011 монетизации киберугроз Виртуализация инфраструктуры – ключевой тренд в корпоративных ИТ •VDI •Облака Как обстоят дела с безопасностью виртуальных инфраструктур? Источник: http://www.enterprisemanagement.com/ …
  • 17. Sator Arepo Tenet Opera Rotas Виртуализация и риски ИБ Специалисты ИБ не участвует в проекте по виртуализации Взлом слоя виртуализации может привести к взлому всех ВМ Виртуальные ВМ-ВМ сети плохо контролируемы ВМ с разным уровнем ИБ размещены на одном физическом хосте Отсутствие контроля за действиями администратора Источник: Потеря разделения ответственности за сеть и ИБ Gartner, 2010 … 17
  • 18. Sator Arepo Tenet Opera Rotas Стоимость потери информации 285М взломанных записей в 2008 г. (Verizon Business RISK Team) В 2008 в США потеря каждой записи стоила $202, включая $152 косвенного ущерба (Ponemon Institute) True Cost of Compliance Report, Ponemon Institute LLC, January 2011 … 18
  • 19. Sator Arepo Tenet Opera Rotas Типы и стоимость инцидентов с ИБ … 19
  • 20. Sator Arepo Tenet Opera Rotas Потеря данных через администратора – самый дорогой тип инцидента в ИБ В виртуальной среде нет проактивных средств контроля действий администратора Зловредное ПО с правами администратора может получить контроль над ВМ в обход гипервизора The Value Of Corporate Secrets How Compliance And Collaboration Affect Enterprise Perceptions Of Risk March 2010, Forrester … 20
  • 21. Sator Arepo Tenet Opera Rotas Что делать? Разделить полномочия и ответственность администраторов ВИ и ИБ … 21
  • 22. Sator Arepo Tenet Opera Rotas Лучшие практики информационной безопасности БЕЗОПАСНАЯ ВИРТУАЛИЗАЦИЯ … 22
  • 23. Sator Arepo Tenet Opera Rotas Виртуализация и безопасность Люди • Обучение Технологии • Разделение ответственности Процессы Процессы • Лучшие практики • Требования регуляторов Технологии • Платформа • Наложенные средства … 23
  • 24. Sator Arepo Tenet Opera Rotas Ключевые процессы Тестовая Обновления Управление Гипервизор = среда: ПО и виртуальное изменениями железо тестирование утверждения безопасности изменений Управление и Контроль мониторинг Ввод ВМ в внешних Сетевая виртуальных эксплуатацию виртуальных безопасность устройств (ВУ) активов Лучшие практики ИБ Virtualization Security PCI DSS CIS и требования Hardening регуляторов … 24
  • 25. Sator Arepo Tenet Opera Rotas ИБ виртуализации. Постулаты Виртуальные машины подвержены тем же угрозам, что и реальные компьютеры Виртуализация дает эффективные методы борьбы с некоторыми видами угроз (например, Sandboxing) Но приносит новые угрозы и проблемы, требующие новых решений… … 25
  • 26. Sator Arepo Tenet Opera Rotas Традиционные средства защиты в виртуальной среду не эффективны Firewall, VPN М.б. неприменимы или снижать производительность среды Антивирусы DLP IDS/IPS Другие средства защиты 010110 100101 000101 010110 100101 000101 010110 100101 000101 …
  • 27. Sator Arepo Tenet Opera Rotas Безопасность гипервизора Пока не обнародовано ни Сервер виртуализации одного случая взлома Console гипервизоров или нарушения OS изоляции ВМ Средства управления Возможности Blue Pill & Red виртуальной инфраструктурой Pill пока не доказывают наличие угрозы для Гипервизор гипервизоров Можно получить доступ к гипервизору через средства управления, но …
  • 28. Sator Arepo Tenet Opera Rotas Матрица и безопасность виртуальной среды Red Pill – способ обнаружения Blue Pill – зловредный присутствия на физическом гипервизор, незаметно хосте работающей виртуальной превращающий ОС в ВМ и машины перехватывающий ее трафик … 28
  • 29. Sator Arepo Tenet Opera Rotas Ядро (kernel) гипервизора ESX – самое маленькое ядро на рынке VMware VMsafe – API к ядру гипервизора: позволяет «видеть» идущий через него трафик ВМ ИБ: App App App • МЭ • IDS / IPS OS OS OS • Антивирус • Мониторинг целостности ESX Server VMsafe APIs … 30
  • 30. Sator Arepo Tenet Opera Rotas Средства платформы: vShield Endpoint Антивирусная зашита гостевых ВМ Позволяет использовать специальную антивирусную ВМ без А/В агентов в гостевых ВМ …
  • 31. Sator Arepo Tenet Opera Rotas ОС в консоли управления По слухам для vSphere 5 будет упразднена Для VI 3 и vSphere 4 (Linux based) • Подвержена обычным угрозам для ОС • Используйте рекомендации «VMware Security Hardening Guide» • Трудоемкая ручная настройка автоматизируется с vGate … 32
  • 32. Sator Arepo Tenet Opera Rotas Виртуализация меняет свойства сетей Стандартные МЭ становятся не везде применимы Сервер виртуализации Сервер виртуализации Угроза DoS атаки: ВМ может занять весь трафик • Мониторинг и ограничение Гипервизор Гипервизор ресурсов Трудоемкая ручная настройка автоматизируется с vGate …
  • 33. Sator Arepo Tenet Opera Rotas Сетевая безопасность – приоритет №1 … 34
  • 34. Sator Arepo Tenet Opera Rotas VMware vShield: балансировка нагрузки, МЭ, VPN, зоны безопасности Load balancer Firewall VPN vShield Virtual Etc… Appliance МЭ VPN Проблема для России: низкий Балансировщик нагрузки уровень сертификации … 35
  • 35. Sator Arepo Tenet Opera Rotas Сетевой трафик для vMotion Синхронизация памяти по Сети ХД без шифрования Должна использоваться защищенная сеть, но: Любой ввод/вывод (LAN,RAM, HDD) чувствителен к угрозам типа Man in The Middle … 36
  • 36. Sator Arepo Tenet Opera Rotas ПРИМЕР ОБХОДА CAPTCHA В СТИЛЕ MAN IN THE MIDDLE … 37
  • 37. Sator Arepo Tenet Opera Rotas Koobface Пример сложного социального зловреда, использующего технику MitM … 38
  • 38. Sator Arepo Tenet Opera Rotas CAPTCHA передается на зараженную машину и пользователь превращает ее в текст … 39
  • 39. Sator Arepo Tenet Opera Rotas Защита от атак «Man in the Middle» Сервер виртуализации Перед вводом в эксплуатацию все самоподписанные SSL сертификаты необходимо заменить Man in The Middle на доверенные сертификаты 3-х сторон Гипервизор …
  • 40. Sator Arepo Tenet Opera Rotas Гипервизор и спящие (выключенные) ВМ Сервер виртуализации Гипервизор может читать и изменять данные ВМ, когда они не работают OFF У проснувшейся ВМ устареют настройки безопасности Гипервизор … 41
  • 41. Sator Arepo Tenet Opera Rotas Аппаратные средства защиты в виртуальной среде Могут не работать в ВС • Традиционные средства доверенной загрузки. • Во многих случаях аппаратное средство нельзя «пробросить» в виртуальную машину … 42
  • 42. Sator Arepo Tenet Opera Rotas Используйте стандартный образ ВМ с максимальными настройками ИБ Заблокированный App стандартный образ ВМ позволит избежать ошибок OS настройки ИБ …
  • 43. Sator Arepo Tenet Opera Rotas Технологии ИБ vGate для ВС VMware Управление Управление Защита данных на Аудиторский след Производительность конфигурациями доступом СХД и при передаче СХД Шифрование и защита данных Защита от Интеграция Настройки ИБ Безопасность пользова- средств ВИ с гипервизора vs. телей и SNMP или для защиты от Производи- админи- WMI уведо- НСД Защита от тельность страторов млениями атак на файлы ВМ и сетевого трафика TM, VMW TM, … VMW 44
  • 44. Sator Arepo Tenet Opera Rotas Инструменты Защита от внешних угроз: сетевых атак, вредоносного Контроль ИБ Firewall, ПО, уязвимостей трафика зоны Средства ИБ в безопасности составе платформы балансировка виртуализации Контроль нагрузки, API настроек ИБ, Защита среды целостности и гипервизора от НСД, контроль прав доступа ролей и настроек …
  • 45. Sator Arepo Tenet Opera Rotas VMware vShield – базовые возможности ИБ Ясное Сетевой администратор разделение Администратор ИБ Политики ответствен- ности Администратор ВИ Простая настройка vShield … 46
  • 46. Sator Arepo Tenet Opera Rotas Trend Micro Deep Security for VMware vNIC vNIC vNIC vNIC vSwitch • Специальная гостевая виртуальная машина на гипервизоре • Защищает все VM снаружи, без изменения VM • FW, IDS/IPS и антивирусное сканирование на уровне гипервизора … 47
  • 47. Sator Arepo Tenet Opera Rotas Лучшие практики ИБ для виртуальных сред PCI DSS 2.0 CIS VMware ESX Server Benchmarks VMware Security Hardening Best Practices … 48
  • 48. Sator Arepo Tenet Opera Rotas Лучшие практики ИБ для виртуальных сред В каждом документе более 100 страниц настроек параметров безопасности … 49
  • 49. Sator Arepo Tenet Opera Rotas Как использовать лучшие практики ИБ? Ручная настройка • или автоматизация с vGate: поставляется с шаблонами настройки для соответствия лучшим практикам ИБ Как узнать правильность моих настроек? … 50
  • 50. Sator Arepo Tenet Opera Rotas Безопасность виртуальной инфраструктуры в облаках ОБЛАКА И БЕЗОПАСНОСТЬ … 51
  • 51. Sator Arepo Tenet Opera Rotas #1 опасение при переходе к облакам Source: Saugatuck Technology Inc., 2009 Cloud Infrastructure Survey (Julne09), WW N=670 … 52
  • 52. Sator Arepo Tenet Opera Rotas Cloud Security Alliance – лучшие практики ИБ для критически важных элементов облачных вычислений … 53 http://www.cloudsecurityalliance.org/
  • 53. Sator Arepo Tenet Opera Rotas Консолидация = централизация рисков • «В облачной среде наименьший общий знаменатель безопасности будет разделен со всеми арендаторами виртуального ЦОД.» http://www.cloudsecurityalliance.org/csaguide.pdf … 54
  • 54. Sator Arepo Tenet Opera Rotas Ключевые угрозы в облаке v1.0 Угроза #1: злоупотребление концепцией Угроза #2: небезопасные интерфейсы и APIs Угроза #3: вредоносные инсайдеры Угроза #4: общее использование старых технологий Угроза #5: утечки и потери данных Угроза #6: взлом учетных записей и сервисов Угроза #7: неизвестные характеристики рисков Top Threats to Cloud Computing … 55
  • 55. Sator Arepo Tenet Opera Rotas Угроза #3: инсайдеры Поставщик Администратор Ущерб управляет имеет доступ ко репутации, доступом и всем ВМ убытки, настройками ИБ Может завладеть снижение По 152ФЗ за данными с продуктивности ПДн отвечает малым риском Скоро оператор обнаружения вступление в ВТО! … 56
  • 56. Sator Arepo Tenet Opera Rotas Угроза #5: утечки и потери данных Ведут к Штрафные Пример: прямым и санкции (PCI слабый AAA косвенным DSS, 152ФЗ) и контроль: финансовым судебные иски authentication, потерям authorization & audit … 57
  • 57. Sator Arepo Tenet Opera Rotas Угроза #6: взлом учетных записей и сервисов Может иметь любые последствия Помним Stuxnet … 58
  • 58. Sator Arepo Tenet Opera Rotas vGate и облака vGate позволяет контролировать администратора облака, снижая риск потерь данных … 59
  • 59. Sator Arepo Tenet Opera Rotas СООТВЕТСТВИЕ ТРЕБОВАНИЯМ РЕГУЛЯТОРОВ … 60
  • 60. Sator Arepo Tenet Opera Rotas Регулирование и виртуализация PCI DSS CIS VMware ESX Server Benchmarks VMware Security Hardening Best Practices 152ФЗ ЦБ РФ: СТО БР ИББС … 61
  • 61. Sator Arepo Tenet Opera Rotas Категории ПДн и классы ИСПДн В зависимости от объема одновременно обрабатываемых ПДн 3 2 1 Кате- Описание категории менее чем 1000 субъектов от 1000 до 100 000 более чем 100 000 гория ПДн или ПДн субъектов субъектов ПДн или субъектов ПДн или ПДн ПДн ПДн в пределах ПДн субъектов ПДн ПДн субъектов ПДн в конкретной организации пределах субъекта РФ или РФ в целом Обезличенные и (или) 4 общедоступные ПДн К4 К4 К4 ПДн, позволяющие 3 идентифицировать субъекта ПДн К3 К3 К2 ПДн, позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную 2 информацию, за исключением К3 К2 К1 персональных данных, относящихся к категории 1 ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, 1 религиозных и философских К1 К1 К1 убеждений, состояния здоровья, интимной жизни …
  • 62. Sator Arepo Tenet Opera Rotas Требования к наличию сертифицированных подсистем в СЗПДн Управление Межсетевое Регистрация и доступом экранирование учет Обеспечение Антивирусная Обнаружение целостности защита вторжений Анализа Шифрование защищенности …
  • 63. Sator Arepo Tenet Opera Rotas 152ФЗ и VMware – как быть с ПДн? Ответственность с 1 июля 2011 г. VMware vSphere 4.1 в vSphere 4.х + vGate составе:  Сертификат ФСТЭК для  ESX 4.0 Update 1 и VMware использования в ИСПДн до vCenter Server 4.0 Update 1 К1 включительно Сертификат ФСТЭК для использования в ИСПДн до К2 включительно …
  • 64. Sator Arepo Tenet Opera Rotas Сертификаты vGate for VMware Infrastructure vGate 2 vGate 1.0 и 2 (в процессе) ФСТЭК СВТ 5 и НДВ 4 ФСТЭК НДВ 2 • для АС до 1Г включительно • для АС до 1Б включительно • ИСПДн до К1 включительно • ИСПДн до К1 включительно … 65
  • 65. Sator Arepo Tenet Opera Rotas vGate и защита персональных данных vGate – решает проблему прохождения аттестации ИСПДн, использующих VMware … 66
  • 66. Sator Arepo Tenet Opera Rotas PCI-DSS: штрафы до $500,000 … 67
  • 67. Sator Arepo Tenet Opera Rotas PCI DSS 2.0: требования к виртуальной среде ВМ рассматривается как физический сервер Одна ключевая функция на ВМ Запрещено давать сотрудникам доступ к гипервизору Минимально необходимый уровень прав доступа •Например администратор ВМ не может назначить ей другой vSwitch Разделение функций и сетей с разными уровнями безопасности •На vSwitch нельзя использовать VLANs с 802.1Q, если у них разные функции или уровни безопасности (п. 2.2.1). Добавьте vSwitch для изоляции трафика Нельзя совмещать тестовые и производственные среды … 68
  • 68. Sator Arepo Tenet Opera Rotas vGate и PCI DSS vGate поставляется с шаблонами настройки VMware для соответствия PCI DSS … 69
  • 69. Sator Arepo Tenet Opera Rotas VGATE FOR VMWARE … 70
  • 70. Sator Arepo Tenet Opera Rotas Security Code vGate for VMware Infrastructure Повышает безопасность виртуальной инфраструктуры VMware VI 3 и VMware vSphere 4 Позволяет снизить риски ИБ для VMware и облегчить использование лучших практик Сертификаты ФСТЭК для использования среды VMware в ИСПДн до К1 … 71
  • 71. Sator Arepo Tenet Opera Rotas Security Code vGate for VMware Infrastructure: основные функции: Усиленная аутентификация администраторов ВИ и ИБ Разделение ролей администратора ВИ и ИБ Разграничение прав администрирования объектов ВИ (мандатный доступ) Защита средств управления виртуальной инфраструктурой от несанкционированного доступа … 72
  • 72. Sator Arepo Tenet Opera Rotas Security Code vGate for VMware Infrastructure: основные функции (2): Контроль целостности конфигурации виртуальных машин и доверенная загрузка Разграничение прав ESX-хостов на исполнение ВМ Регистрация событий ИБ Централизованное управление и мониторинг … 73
  • 73. Sator Arepo Tenet Opera Rotas Состав vGate Администратор ИБ Администратор ВИ vG vG ate ate Сервер авторизации Модули защиты ESX и vCenter vG ate Рабочее место администратора Консоль управления ate vCenter ate vG vG ESX-хост ESX-хост ВМ ВМ ВМ ВМ … 74
  • 74. Sator Arepo Tenet Opera Rotas vGate для АМТ-Банк «Результаты испытаний продукта показали, что Security Code VGate for VMware Infrastucture позволяет построить эффективную систему безопасности, ликвидирует угрозы, присущие виртуальной среде. Во время работы продукт продемонстрировал стабильность, не оказав влияния на производительность среды». Петр Курило, Начальник Управления информационной безопасности АМТ-Банк … 75
  • 75. Sator Arepo Tenet Opera Rotas Демонстрация vGate Клик для просмотра: … 76
  • 76. Sator Arepo Tenet Opera Rotas Security Code vGate for VMware Infrastructure Администратор Администратор Лицензирование:  Право на использование Сервера авторизации ate vGate vG • количество серверов vGate  Право на использование vGate для защиты ESX- vCenter хостов • Количество ESX-хост ESX-хост сокетов на ESX хостах ВМ ВМ ВМ ВМ … 77
  • 77. Sator Arepo Tenet Opera Rotas VGATE ROI … 78
  • 78. Sator Arepo Tenet Opera Rotas Исходные данные Централизованная 20 ESX хостов установка 300 ВМ 3 администратора (2CPU) vCenter/vGate Настройки ИБ Годовая з/п Ставка соответствуют Горизонт расчета 3 администратора с дисконтирования требованиям PCI года учетом накладных 15% DSS, CIS, VMware расходов = $48к Hardening … 79
  • 79. Sator Arepo Tenet Opera Rotas vGate ROI: пример без и с учетом рисков ручной настройки параметров ИБ VMware Value PV (3) Использование vGate снижает риски ошибок ручной настройки: Затраты на vGate $40 800 $37 503 Value PV (3) Стоимость ручной Положительный ДП vs. настройки ИБ $133 683 $117 004 Ручная настройка ИБ $266 810 $219 503 Снижение ручных затрат с vGate 75% $100 262 $87 753 Затраты на vGate $40 800 $37 503 NPV $50 249 NPV $226 010 $182 000 ROI 134% ROI 485% Выгода в месяц $2 785 $2 438 Выгода в месяц $6 278 $5 056 Период Период окупаемости, мес. 15 16 окупаемости, мес. 7 8 Данный расчет сделан с vGate ROI Calculator для вымышленной компании … 80
  • 80. Sator Arepo Tenet Opera Rotas Используйте свою модель рисков На основе: Модели угроз ИБ ISO 27005 Information technology — Security techniques — Information security risk management COBIT Security Baseline The Value Of Corporate Secrets. How Compliance And Collaboration Affect Enterprise Perceptions Of Risk. March 2010, Forrester … 81
  • 81. Sator Arepo Tenet Opera Rotas Источник ROI для vGate vGate уменьшает vGate снижает время настройки риски ошибок при параметров ИБ для ручной настройке виртуальной среды … 82
  • 82. Sator Arepo Tenet Opera Rotas Следующие шаги Свяжитесь с Б/п проверить настройки представителем «Код ИБ вашей ВИ Безопасности»  Александр Лысенко, ведущий консультант  ООО «Код Безопасности», 127018, Россия, Москва, а/я 55  +7 (495) 980–2345 (многоканальный) …
  • 83. Sator Arepo Tenet Opera Rotas Зачем вам нужен vGate? Ситуация Последствия Решение Новых виртуальных серверов поставляется vGate позволяет больше чем физических разделить ответственность между Утечка секретов через АИБ и АВИ администраторов – Администратор в самый дорогой тип виртуальной среде имеет нарушения полный доступ к ВМ информационной безопасности vGate позволяет использовать vSphere vSphere в России не при работе с любыми может использоваться в персональными данными ИСПДн К1 … 84
  • 84. Sator Arepo Tenet Opera Rotas www.sanctummovie.com …
  • 85. Sator Arepo Tenet Opera Rotas Дополнительная информация Подробнее о vGate:  http://www.securitycode.ru/products/sn_vmware/ vGate Compliance Checker (free)  http://www.securitycode.ru/products/sn_vmware/vgtate_ch ecker/ Демо-версия vGate:  http://www.securitycode.ru/products/demo/ … 87
  • 86. Sator Arepo Tenet Opera Rotas СПАСИБО ЗА ВНИМАНИЕ! ВОПРОСЫ? …
  • 87. Sator Arepo Tenet Opera Rotas ТЕХНОЛОГИИ «КОД БЕЗОПАСНОСТИ» … 89
  • 88. Sator Arepo Tenet Opera Rotas Продукты для ИСПдн - ТРЕБУЕТСЯ применение продукта в ИСПДн данного класса; - РЕКОМЕНДУЕТСЯ применение продукта в ИСПДн данного класса. * - М-506А-XP следует применять при аттестации по линии ФСБ в ИСПДн всех классов, либо при аттестации по линии ФСТЭК в ИСПДн 1 класса в многопользовательских системах с равными правами доступа. ** - защита от вторжений на основе имитации данных. ИСПДн класса ИСПДн класса ИСПДн класса Класс СЗИ Продукт К3 К2 К1 Средства защиты Secret Net информации от несанкционированного vGate доступа для VMware АПКШ "Континент" TrustAccess Межсетевые экраны Security Studio Endpoint Protection- ПМЭ Средства доверенной Электронный замок "Соболь" загрузки Средства СКЗИ М-506А-XP* криптографической защиты Honeypot Manager** Security Studio Endpoint Защита от вторжений и Protection- HIPS антивирусы Security Studio Endpoint Protection- Антивирус "Код Безопасности: Соответствие стандартам Инвентаризация" … 90
  • 89. Sator Arepo Tenet Opera Rotas СЗИ «Код Безопасности» и классы ИСПДн Подсистемы СЗПДн Средства защиты антивирусной криптографи- обнаружения экранирования защищенности обеспечения регистрации целостности управления вторжений межсетевого компании доступом защиты и учета анализа ческая "Код Безопасности" АПКШ "Континент-ЦС" версии 3.4 К2 АПКШ "Континент" АПКШ "Континент-ЦС" версии 3.5 К1 АПКШ "Континент-АП" К2 ПАК "Соболь" К1 К2 К2 Семейство СЗИ Secret Net 5.1 К1 К1 К1 Secret Net М-506 К1 К1 К1 + Secret Net 6.0 К1 К1 К1 Security Studio Suite Межсетевой экран К1 К1 К1 Security Studio Антивирус К1 Endpoint Protection Локальная безопасность Honeypot Manager К1 vGate К1 К1 К1 TrustAccess К1 К1 К1 Инвентаризация …
  • 90. Sator Arepo Tenet Opera Rotas Продукты по классам автоматизированных систем Классы СЗИ Продукты 1Д 1Г 1В 1Б Средства защиты СЗИ Secret Net информации от несанкционированн ого доступа vGate АПКШ "Континент" Межсетевые экраны TrustAccess Средства Электронный замок доверенной "Соболь" загрузки Средства криптографической СКЗИ М-506А-XP защиты Защита от Honeypot Manager вторжений … 92