Ačkoliv virtualizace nebyla původně primárně zamýšlena pro řešení problémů zabezpečení, může i zde sehrát svou významnou roli. Novým přístupem je nápad, že by virtuální servery vystavené ven do Internetu šlo rychle a inteligentně střídat.
Počítačový vědec Arun Sood vytvořil za tímto účelem program SCIT (Self-Cleansing Intrusion Tolerance). SCIT běží na fyzickém serveru a odtud řídí životní cyklus serverů virtuálních. Na rozdíl od systémů pro prevenci vniknutí (IPS) by měl Soodův program fungovat jinak – měl by vykazovat určitou „toleranci“ vůči útokům. I napadané nebo kompromitované systémy by stále byly pod kontrolou, v rámci předem naplánovaného cyklu by totiž byly automaticky odpojeny z on-line režimu a během „odstávky“ opraveny. S odpojeným serverem by útočník každopádně nemohl nijak manipulovat. SCIT tedy doplňuje klasické bezpečnostní nástroje a řeší skutečnost, že nefungují 100% spolehlivě.
Rotace serverů by měla útočníkům znemožnit ovládnout server postupně, jako k tomu může dojít, pokud bez zásahu běží třeba měsíce. Pokud je k dispozici dost virtuálních serverů, mohly by se střídat třeba každou minutu – a za tu dobu by musel být proveden i úspěšný útok, protože pak by server přešel automaticky do režimu off-line. Útočníkovi lze ztížit práci i tím, že rotující servery poběží na různých operačních systémech. Ve stavu off-line je server testován na vniknutí, může být vypnut, resetován či aktualizován. Jeho stav lze v případě podezření či nejistoty také „uložit“, ale server nechat odstavený a k analýze se později vrátit.
Při střídaní je samozřejmě třeba zajistit neustálou dostupnost služby. Klient by ideálně měl rotující servery vnímat jako server jediný (nicméně i tak je celé řešení vhodné především tam, kde transakce trvají jen krátce – třeba pro webové servery, DNS servery apod.).
Sood založil firmu SCIT Labs, která by tato řešení měla prodávat, a některé metody se pokusí i patentovat.
Zdroj: Computerworld
Viz také
Jak zabezpečit servery VMware – a zdarma
Foundstone: služby pro bezpečné nasazení virtualizace
PŘEDPLATNÉ
ČLÁNKY DO MAILU