Riesgos actuales en entornos virtualizados

Riesgos actuales en entornos virtualizados


• Evolución de la virtualización

• Gobierno y gestión en entornos virtuales

• Riesgos actuales en entornos virtuales

• Seguridad en virtualización de servidores y red

• Recomendaciones y conclusiones


Seleccionar plataforma y estándar de evaluaciónSeleccionar plataforma y estándar de evaluación

Identificar los riesgos y requerimientos de

control

Identificar los riesgos y requerimientos de

control

Conocer las necesidades de

aplicación para el Negocio

Conocer las necesidades de

aplicación para el Negocio


MAINFRAME - OS 360

Permite crear máquinas virtuales

dentro de la unidad central

Creación a través de software de una versión virtual de

algún recurso tecnológico, como puede ser una

plataforma de hardware, un sistema operativo, un

dispositivo de almacenamiento u otros recursos de red

La tecnología de virtualización tiene su origen en los sistemas de ordenadores centrales


Capa de abstracción entre el hardware de la máquina

física (host) y el sistema operativo de la máquina virtual

(virtual machine, guest), dividiéndose el recurso en uno

o más entornos de ejecución

Los cuatro recursos principales de una computadora

CPU, Memoria, Dispositivos Periféricos y Conexiones de Red

HIPERVISOR

HOST

GUEST


Uso actual a nivel

de Servidores y

Desktops

Cuidado con

el uso local !!!

La máquina virtual simula una plataforma de hardware autónoma incluyendo un

sistema operativo completo que se ejecuta como si estuviera instalado.

Se puede virtualizar el hardware de servidor, el software de servidor, virtualizar

sesiones de usuario, virtualizar aplicaciones y también crear máquinas virtuales en una

computadora de escritorio


• Reducción de costos y mejora de los niveles de servicio

• Gestión y administración simplificada de infraestructura

• Facilidad de disponer de entornos de desarrollo/testing

• Resuelve problemas de falta de capacidad o rendimiento

de aplicación

• Permite a las empresas facilidad de escalabilidad

• Facilita las soluciones orientadas a la implementación de

continuidad operativa (DRP/BCP)


• Perfil de seguridad aprobado y de acuerdo con las directivas establecidas

• Control de versión adecuada de SO y sus actualizaciones correctas a la

hora de implementar nuevas VM

• Análisis de capacidad para verificar si hay recursos apropiados disponibles

para las nuevas VM

• Afectación de una nueva VM al rendimiento y a la seguridad de otras VM

en la misma máquina anfitriona

• Análisis regular de VMs inactivas en busca de vulnerabilidades conocidas

y se instalan y actualizan las revisiones de seguridad

• Verificación de bajas de la infraestructura virtual de las VM retiradas

• Las vulnerabilidades de los entornos físicos son también aplicables a los

entornos virtuales.

• Los hipervisors crean una nueva superficie susceptible de ataque.

• Los entornos virtuales presentan una mayor complejidad.


• Riesgos de cumplimiento en la exposición negativa a datos previamente

asociados a una VM retirada

• La virtualización acaba con el modelo de implementación según el cual

cada servidor físico cumple una sola función.

• Coexisten en el mismo anfitrión físico varias máquinas virtuales (VM) con

distintos niveles de confianza (por ejemplo, las aplicaciones orientadas al

interior y al exterior y las distintas directivas de seguridad).

• No hay separación de tareas entre los administradores del sistema, pues

todos necesitan tener acceso a los entornos virtuales.

• Falta de revisiones y actualizaciones para las VM inactivas.

• Registro y seguimiento insuficientes en el entorno virtual.

• Filtración de información entre los segmentos y los componentes de las

redes virtuales.


1. Nuevas vulnerabilidades• 259 vulnerabilidades en software de virtualización.• Nuevos tipos de ataques (HyperJacking, Hypervisor Escape, Ataques a VM)

2. Mayor superficie de ataque• Los Hypervisors tienen los mismos riesgos que el resto de los equipos.• Las herramientas de gestión de virtualización generan nuevos vectores de

ataques.• El Hypervisor pasa a ser un nuevo vector de ataque.

3. Mayor flexibilidad incrementa los riesgos de seguridad• La virtualización crea una nueva capa de infraestructura que es necesario

planificar, asegurar y controlar.• Los entornos virtuales son dinámicos por diseño.• La facilidad de crear y clonar VM genera riesgos de crear nuevos equipos

inseguros y sin control.• Intrusos internos pueden generar un daño masivo rapidamente.


GobiernoGobiernoGestión de

RiesgoGestión de

Riesgo

EducaciónEducación CumplimientoCumplimiento

Reinvertir en controles

AHORRO

4. Incremento de riesgos• Pérdida de la gobernabilidad

• Riesgos de cumplimiento y conformidad legal• Filtración de información entre los segmentos y los componentes de las redes

virtuales, información confidencial contenida en imágenes de las VM.

• Algunos componentes virtuales no tienen el mismo nivel de control de acceso ,

registro y seguimiento que sus contrapartes físicas.

• Falta de restricciones en los límites perimetrales entre diferentes entornos


Gobierno y Gestión de Riesgo

• Invertir parte del ahorro en controles

• Implementar un Programa de Seguridad de la Información para entornos virtuales

• Evaluar los procesos de gestión de IT

• Métricas de cumplimiento

• Exigir evaluaciones de vulnerabilidad y pentest

• Estrategia de gestión de riesgos

• Establecer revisiones y auditorias periódicas

Gobierno y Gestión de Riesgo

• Invertir parte del ahorro en controles

• Implementar un Programa de Seguridad de la Información para entornos virtuales

• Evaluar los procesos de gestión de IT

• Métricas de cumplimiento

• Exigir evaluaciones de vulnerabilidad y pentest

• Estrategia de gestión de riesgos

• Establecer revisiones y auditorias periódicas

Educación y Cumplimiento

• Verificar la capacitación continua del personal que administra entornos virtuales

• Asegurar la participación de personal debidamente certificado

• Verificar la capacitación en la plataforma ante cambio o ingreso de personal

• Establecer un cronograma anual de capacitación

• Verificar periódicamente la gestión de entornos virtuales

• Auditar políticas, procesos y procedimientos de continuidad

• Verificar el Marco Normativo y su cumplimiento en la gestión del servicio

Educación y Cumplimiento

• Verificar la capacitación continua del personal que administra entornos virtuales

• Asegurar la participación de personal debidamente certificado

• Verificar la capacitación en la plataforma ante cambio o ingreso de personal

• Establecer un cronograma anual de capacitación

• Verificar periódicamente la gestión de entornos virtuales

• Auditar políticas, procesos y procedimientos de continuidad

• Verificar el Marco Normativo y su cumplimiento en la gestión del servicio



Y si tengo muchas zonas de seguridad. ¿Cómo aprovecho la

tecnología de virtualización?


DMZ1

MV0 MV1

DMZ2

MV2 MV3

Proveedores

MV0 MV1

EntidadesExternas

MV2 MV3

LAN



Problemáticas de seguridad conocidas.

Riesgos inherentes a la tecnología de virtualización



Datacenter

(Externalizar)

• ¿Cómo garantizar que se aplican las directivas de seguridad adecuadas al

trasladar VM individuales de un anfitrión físico o centro de datos a otro?

• ¿Qué sucede cuando una VM es trasladada a una máquina anfitriona física con

un nivel distinto de protección de seguridad?

• ¿Cómo se protege una VM al migrarla de un anfitrión físico a otro?


“Aprender” la seguridad de una nueva tecnología

Seguridad del Server HOST o del Storage a través de la aplicación de permisos de

acceso a las maquinas virtuales

Cada máquina virtual (VM) y aplicación

hacen pasar su tráfico de red a través del

hipervisor de camino a otros sistemas

virtuales o físicos o a dispositivos

Cada máquina virtual (VM) y aplicación

hacen pasar su tráfico de red a través del

hipervisor de camino a otros sistemas

virtuales o físicos o a dispositivos

Los sistemas de protección

habituales no visualizan el

tráfico entre máquinas

virtuales

Los sistemas de protección

habituales no visualizan el

tráfico entre máquinas

virtuales

VM inactivas y las

migraciones de VM

VM inactivas y las

migraciones de VM


Switch

virtual

(vSwitch)

Switch

virtual

(vSwitch)

vSwitch

Host (Hypervisor)

Grupo de

puertos

Grupo de

puertos

MV

0

MV1 MV2 MV3

Máquina

virtual

(MV)

Máquina

virtual

(MV)

NIC virtual

(vnic)

NIC virtual

(vnic)

Consola de

servidor

(puerto de

gestión)

Consola de

servidor

(puerto de

gestión)

Vmkernel

(puerto para IP

Storage y

VMotion)

Vmkernel

(puerto para IP

Storage y

VMotion)

NIC física

(vmnic o pnic)

NIC física

(vmnic o pnic)

Switch físicoSwitch físicoLAN

ADM vmkernel

Permitirle a una VM

conectarse a

Internet o abarcar

diferentes

segmentos de red.

Los firewalls e IDS/IPS

tradicionales están instalados en

segmentos de redes físicas, y por

ello no pueden proteger las VM

de manera adecuada

Los firewalls e IDS/IPS

tradicionales están instalados en

segmentos de redes físicas, y por

ello no pueden proteger las VM

de manera adecuada


HIPERVISOR

Internet

LAN

Interna

DMZ DC/Win FS

Mail/Win


HIPERVISOR

Internet

DMZ

Mail/Win

HIPERVISOR

LAN Interna

DC/Win FS

FW Físico


HIPERVISOR

Actualizaciones

Agentes

Datos sobre amenazas

Actualizaciones

Agentes

Datos sobre amenazas

Para supervisar y proteger el tráfico

entre las VM, se necesitan soluciones

de seguridad diseñadas para

funcionar en un entorno virtual

Para supervisar y proteger el tráfico

entre las VM, se necesitan soluciones

de seguridad diseñadas para

funcionar en un entorno virtual


DMZ 1

MV0 MV1 MV2 MV3 MV2 MV3 MV2 MV3

DMZ 2 Proveedores Ent. Externas

Internet

LAN

LAN

ADM

ADM

Firewalls virtuales

• Utilización de roles para

segregar las tareas de

administración

• Documentar

adecuadamente.

Monitoreo de logs del

Hypervisor

Centralización de logs del

hypervisor y monitoreo de

los mismos para detección

de anomalías.

Administración, backup,

centralización de LOGS.


• El acceso se debe realizar a través de la red de management.

• En lo posible el Hypervisor no debe tener una IP propia asignada en el segmento LAN.

• Si posee una dirección IP, debe estar filtrada solo a los usuarios autorizados.

LAN

DC/W2k AS/Linux

Management


Gestión de roles de administración

Se deben definir los roles de

administración del Hypervisor incluyendo

creación, apagado, encendido, clonación,

movimiento, etc. de las máquinas

virtuales existentes.

Admin (sobre)

Admin full (no puede admin roles)

Admin Hypervisor

Admin VM

Auditoría

Admin red virtual

Seguridad Informática

Documentación normativa y de soporte

Deben crearse documentos normativos y

de gestión/administración específico del

entorno y sus particularidades,

incluyendo estándares de configuración


• Seguridad del Hypervisor o Sistema Operativo Host

• Vulnerabilidades del Hypervisor

• Aplicación de patches de seguridad a nivel de Hypervisor.


Reingeniería de riesgosReingeniería de riesgos

Actividades y controles específicos para

la plataforma y su administración

Actividades y controles específicos para

la plataforma y su administración

Tecnología y Operaciones

Proyectos y procesos funcionales

Tecnología y Operaciones

Proyectos y procesos funcionales


PLATAFORMAS

Proyecto

Clonación

Plantilla de software de base

Puede no mantener nombre

de máquina

Clonación completa

Mantiene nombre de máquina

Instalación nueva + Copia de

entorno App

No mantiene nombre de máquina

Operaciones

Nuevas Aplicaciones

Arquitectura

(SO + BD)

Tecnología

Renovación tecnológica

Arquitectura

(SO + BD)

Tecnología

SEGURIDAD - COMPLIANCE

OP

ER

AC

ION

ES


Proyecto 1

Clonación

Plantilla de software de base (GUEST)

Puede no mantener nombre de máquina

Clonación completaMantiene nombre

de máquina

Instalación nueva + Copia de entorno

App

Se trabaja sobre una plantilla de software de base (SO

+ BD). Esta plantilla no está validada con los nuevos

estándares

Se efectúa copia fiel del servidor y se pasa

con todos los parámetros configurados. Si

el servidor está remediado, el cambio es

transparente ya que tampoco cambia el

nombre

Proyecto 2Proyecto 2

SUCEDE EXCEPCIONALMENTE

Instalación nueva o plantilla de software de base (SO + BD). No está

validada contra los nuevos estándares

Equipo de

proyecto

NOTA: Las máquinas con nuevos

nombres salen bajo la nueva

nomenclatura alfanumérica

SRV5003sv [código alfanumérico]

NOTA: Las máquinas con nuevos

nombres salen bajo la nueva

nomenclatura alfanumérica

SRV5003sv [código alfanumérico]

SEGURIDAD - COMPLIANCE

TE

CN

OL

OG

ÍA


El entorno virtual y los controles

Identificando lo tangible para tomar medidas

Conocer las necesidades

de aplicación para el

Negocio

Conocer las necesidades

de aplicación para el

Negocio

Seleccionar estándar de

evaluación en base a la

plataforma

Seleccionar estándar de

evaluación en base a la

plataforma

Identificar los riesgos y

requerimientos de

control

Identificar los riesgos y

requerimientos de

control


• Firewalls físicos y segmentación de red a nivel de

infraestructura física

• Los firewalls virtuales en el hipervisor y a nivel de máquinas

virtuales

• Etiquetado VLAN o zonificación, además de firewalls

• Los sistemas de prevención de intrusiones en el hipervisor y/o a

nivel de máquina virtual para detectar y bloquear el tráfico no

deseado

• Herramientas de prevención de pérdidas de datos en el

hipervisor y/o nivel de máquina virtual

• Controles para evitar que las comunicaciones se propaguen

hacia la infraestructura subyacente

• La separación de funciones y la supervisión administrativa


El proceso y diseño de virtualización se debe llevar a cabo

teniendo en cuenta como gobernar y administrar la seguridad y cumplimiento en el

uso de la nueva tecnología.

Los riesgos existentes son elevados, ya que se puede

poner en riesgo la continuidad de la operación y el acceso

no autorizado a información confidencial.

Se debe trabajar en conjunto con el área de IT y Auditoría

para coordinar la gestión y el monitoreo de cada uno de los componentes de la

plataforma.

Se deben incluir aspectos adicionales en la Gestión de identidades y de acceso en

función de la evolución de la plataforma en relación a la seguridad en virtualización,

incluyendo acceso alHypervisor y componentes internos, interfaces y APIs, seguridad

de sistemas Cliente y control de ambientes compartidos




http://web.nvd.nist.gov/view/vuln/search-results?query=vmware&search_type=all&cves=on

http://www.cve.mitre.org/cgi-bin/cvekey.cgi?keyword=vmware

http://search.iss.net/Search.do?keyword=vmware&searchType=keywd&x=0&y=0


Copyright FABIÁN DESCALZO © – 2016

Fabián Descalzo

Gerente de Gobierno, Riesgo y Cumplimiento

E-mail: [email protected]

Web: http://www.cybsec.com

Presentations & Public Speaking

Riesgos actuales en entornos virtualizados