Защита в виртуальной среде: чеклист угроз. Часть 2

Угрозы системе управления виртуальной средой

Получение несанкционированного доступа к консоли управления виртуальной инфраструктурой (АРМ администратора виртуальной среды)

Потенциальный нарушитель:

1. Сотрудник, не имеющий права доступа к консоли управления.
2. Посетитель.

Что происходит:

1. Подбор пароля.
2. Получение доступа к активной консоли администратора.

Последствия:

1. Несанкционированное изменение настроек виртуальной среды, приводящее к снижению уровня безопасности виртуальной среды.
2. Кража образов дисков виртуальных машин.
3. Несанкционированное изменение настроек виртуальной среды, приводящее к нарушению функционирования, разрушению виртуальной среды и краже обрабатываемых в ней ПДн.

Технические меры:

1. Специализированные средства защиты от несанкционированного доступа к консоли виртуальной инфраструктуры, устанавливаемые на рабочих станциях администраторов.
2. Средства, реализующие механизмы разграничения доступа к файлам образов дисков виртуальных машин.
3. Использование систем контроля доступа в помещение с размещенным АРМ администратора.
4. Использование систем многофакторной аутентификации при доступе к АРМ администрирования.

Организационные меры:

1. Регламентирование процедур доступа в помещение с размещенным АРМ администратора.
2. Регламентирование действий администраторов при работе с АРМ администрирования.
3. Регламентирование процедур управления учетными записями.

Получение несанкционированного доступа к настройкам виртуальных машин

Потенциальный нарушитель: администратор виртуальной среды, имеющий право доступа к консоли администрирования, но не имеющий права настройки определенных виртуальных машин.

Что происходит: использование штатных средств системы управления виртуальной среды.

Последствия: несанкционированное изменение настроек виртуальной среды, приводящее к нарушению функционирования, разрушению виртуальной среды и краже обрабатываемых в ней ПДн.

Технические меры:

1. Использование специализированных средств разграничения доступа к ресурсам виртуальной среды.
2. Регистрации действий администраторов виртуальной среды.

Организационные меры:

1. Регламентирование процедур администрирования виртуальной среды и разграничения прав доступа по ее администрированию.
2. Регламентирование процедур расследования инцидентов безопасности в виртуальной среде.

Получение несанкционированного удаленного доступа к интерфейсу системы управления

Потенциальный нарушитель:

1. Сотрудник, не имеющий права удаленного доступа к системе управления.
2. Внешний злоумышленник, получивший доступ к сегменту управления.

Что происходит:

1. Подключение к интерфейсу управления и подбор пароля.
2. Подключение к сегменту управления и перехват текущей сессии (атака «человек посередине»).
3. Проникновение в сегмент управления из смежных сегментов и реализация действий аналогично п.1 и п.2.

Последствия:

1. Искажение настроек безопасности виртуальной среды, позволяющих в дальнейшем проводить атаки на виртуальные машины.
2. Искажение настроек безопасности виртуальной среды, позволяющих нарушить функционирование виртуальной среды.

Технические меры:

1. Использование специализированных средств разграничения доступа к ресурсам виртуальной среды.
2. Выделение сети управления виртуальной средой в отдельный сетевой сегмент и его защита средствами межсетевого экранирования и предотвращения вторжений.
3. Использование средств анализа защищенности для контроля защищенности виртуальной среды и соответствия ее настроек внутренним политикам безопасности и «лучшим практикам».
4. Использование средств контроля целостности настроек и ПО системы управления.

Организационные меры:

1. Регламентирование процедур предоставления доступа к системе управления виртуальной средой.
2. Регламентирование работ по анализу защищенности и контролю целостности.
3. Регламентирование работ по администрированию средств межсетевого экранирования и предотвращения вторжений.

Угрозы ИТ-инфраструктуре, реализованной в рамках виртуальной среды

Развертывание новых плохо защищенных виртуальных машин

Потенциальный нарушитель: администратор виртуальной среды.

Что происходит: создание виртуальных машин штатными средствами виртуальной платформы.

Последствия: возникновение угроз взлома слабо защищенных виртуальных машин с последующей компрометацией остальных.

Технические меры: создание новых виртуальных машин на основе готовых защищенных образов.

Организационные меры: регламентация процесса создания новых виртуальных машин.

«Смешение» информации различного уровня конфиденциальности в рамках единой аппаратной платформы

Потенциальный нарушитель: администратор виртуальной среды.

Что происходит: размещение виртуальных машин с разным уровнем конфиденциальности в рамках единой аппаратной платформы.

Последствия: проведение сетевых атак из области виртуальных машин с низким уровнем конфиденциальности в отношении виртуальных машин с более высоким уровнем конфиденциальности.

Технические меры:

1. Размещение виртуальных машин с разными уровнями конфиденциальности в рамках различных аппаратных платформ (совокупности серверного и сетевого оборудования).
2. Использование сертифицированных средств межсетевого экранирования для разграничения доступа между аппаратными платформами, содержащими виртуальные машины с разным уровнем конфиденциальности.

Организационные меры: регламентирование процедур проектирования и размещения виртуальных машин с разным уровнем конфиденциальности в рамках виртуальной среды.

Несанкционированное сетевое подключение к виртуальной машине

Потенциальный нарушитель:

1. Администратор виртуальной ИТ-инфраструктуры.
2. Сотрудник, являющийся пользователем виртуальной среды.
3. Внешний злоумышленник, получивший доступ к сетевому сегменту с размещенными виртуальными машинами.

Что происходит:

1. Подбор пароля при сетевом подключении с использованием штатных средств автоматизированных рабочих мест (АРМ) пользователей.
2. Проведение сетевых атак в отношении виртуальных машин с использованием их уязвимостей.
3. Удаленное проникновение в сетевой сегмент с виртуальными машинами и реализация действий из п.1 и п.2.

Последствия:

1. Нарушение работы виртуальной машины и, соответственно, нарушение целостности обрабатываемых на ней ПДн.
2. Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.
3. Утечка ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.

Технические меры:

1. Использование межсетевых экранов и средств предотвращения вторжений для контроля сетевого трафика между разными сетевыми сегментами.
2. Использование средств многофакторной аутентификации пользователей.
3. Использование средств анализа защищенности виртуальных машин.
4. Регистрации действий администраторов виртуальной среды и пользователей виртуальных машин.

Организационные меры:

1. Регламентирование процедур управления учетными записями и парольной политикой.
2. Регламентирование работ по анализу защищенности виртуальных машин.
3. Регламентирование процедур эксплуатации межсетевых экранов, средств предотвращения вторжений и средств многофакторной аутентификации.
4. Регламентирование процедур расследования инцидентов безопасности в виртуальной среде.

Подмена и/или перехват данных и оперативной памяти виртуальных машин в процессе их миграции средствами виртуальной среды

Потенциальный нарушитель: сотрудник, имеющий сетевой доступ к сегменту в котором происходит выполнение процедур миграции.

Что происходит: перехват сетевого трафика или вклинивание в сетевую сессию, в рамках которой выполняется миграция виртуальной машины (реализация атаки типа «человек посередине»).

Последствия:

1. Нарушение работоспособности мигрировавшей виртуальной машины.
2. Кража образа виртуальной машины и утечка обрабатываемых на ней данных.

Технические меры:

1. Использование межсетевого экрана для разграничения пользовательской сети, сети средств виртуализации и хранения, а также сети миграции.
2. Использование средств криптографической защиты сетевого трафика для реализации процедуры миграции.

Организационные меры: регламентирование процедур эксплуатации межсетевых экранов и средств криптографической защиты сетевого трафика.

Проведение сетевых атак между виртуальными машинами

Потенциальный нарушитель:

1. Администратор виртуальной ИТ-инфраструктуры.
2. Сотрудник, являющийся пользователем виртуальной среды.
3. Внешний злоумышленник, получивший доступ к сетевому сегменту с размещенными виртуальными машинами.

Что происходит:

1. Реализация атак типа «переполнение буфера», SQL-injection и пр. с использованием системных и прикладных уязвимостей.
2. Удаленное проникновение в сетевой сегмент с виртуальными машинами и реализация действий из п.1.

Последствия:

1. Нарушение работы виртуальной машины и, соответственно, нарушение доступности обрабатываемых на ней ПДн.
2. Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.
3. Утечка ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины (свойство конфиденциальности).

Технические меры:

1. Использование межсетевых экранов и средств предотвращения вторжений для контроля сетевого трафика между разными сетевыми сегментами.
2. Использование средств анализа защищенности виртуальных машин.

Организационные меры:

1. Регламентирование работ по анализу защищенности виртуальных машин.
2. Регламентирование процедур эксплуатации межсетевых экранов и средств предотвращения вторжений.

Вирусное заражение виртуальных машин

Потенциальный нарушитель: все сотрудники.

Что происходит: использование зараженных сменных носителей, получение вирусов средствами электронной почты, через Интернет.

Последствия:

1. Нарушение работы виртуальной и, соответственно, нарушение доступности обрабатываемых на ней ПДн.
2. Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.
3. Утечка ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.

Технические меры: использование антивирусного ПО в виртуальной среде и на уровне сетевого периметра организации (почта, интернет).

Организационные меры:

1. Регламентирование процедур работы со съемными носителями, электронной почтой, сетью Интернет.
2. Регламентирование процедур обслуживания антивирусного ПО.

Угрозы сети хранения данных с размещаемыми образами виртуальных машин

Кража разделов системы хранения с образами виртуальных машин и данными

Потенциальный нарушитель: администратор сети хранения.

Что происходит: несанкционированное копирование разделов системы хранения штатными средствами на съемные устройства хранения.

Последствия: утечка ПДн, обрабатываемых в рамках виртуальных машин.

Технические меры:

1. Использование средств контроля доступа к периферийным устройствам на АРМ администраторов.
2. Использование средств протоколирования действий администраторов системы хранения.

Организационные меры:

1. Регламентирование процедур предоставления доступа к управлению системой хранения.
2. Регламентирование процедур эксплуатации средств разграничения доступа, средств контроля доступа к периферийным устройствам и средств мониторинга.

Кража носителей данных сети хранения

Потенциальный нарушитель:

1. Администратор сети хранения.
2. Любой сотрудник, получивший физический доступ к сети хранения.

Что происходит: физическая кража носителей.

Последствия: нарушение работы виртуальных машин и уничтожение/утечка ПДн, размещенных на украденных носителях.

Технические меры:

1. Использование механизмов контроля доступа в помещения с размещенными компонентами сети хранения.
2. Использование систем резервного копирования и восстановления данных на носителях данных.

Организационные меры:

1. Регламентирование доступа в помещения с размещаемыми компонентами сети хранения.
2. Регламентирование процедур по резервному копированию и восстановлению данных.

Физическое уничтожение носителей данных сети хранения

Потенциальный нарушитель:

1. Администратор сети хранения.
2. Любой сотрудник, получивший физический доступ к сети хранения.

Что происходит: физическое разрушение носителей.

Последствия: нарушение работы виртуальных машин и уничтожение ПДн, размещенных на уничтоженных носителях.

Технические меры:

1. Использование механизмов отказоустойчивости при построении сети хранения.
2. Использование механизмов контроля доступа в помещения с размещенными компонентами сети хранения.
3. Использование систем резервного копирования и восстановления данных на носителях данных.

Органиазционные меры:

1. Регламентирование доступа в помещения с размещаемыми компонентами сети хранения.
2. Регламентирование процедур по резервному копированию и восстановлению данных.

Получение несанкционированного доступа к АРМ администратора сети хранения

Потенциальный нарушитель: любой сотрудник, получивший локальный или удаленный доступ к АРМ администратора сети хранения.

Что происходит:

1. Уничтожение, искажение или несанкционированное копирование разделов системы хранения штатными средствами.
2. Нарушение работоспособности компонент системы хранения.

Последствия:

1. Уничтожение, искажение или утечка ПДн, обрабатываемых в рамках виртуальных машин.
2. Нарушение доступности ПДн, размещенных в сети хранения данных.

Технические меры:

1. Использование средств защиты от НСД на уровне АРМ администраторов сети хранения.
2. Использование средств резервного копирования и восстановления данных.

Организационные меры:

1. Регламентирование доступа в помещения с размещаемыми АРМ администраторов.
2. Регламентирование процедур резервного копирования и восстановления данных.

Получение несанкционированного доступа (удаленного) к управляющим интерфейсам компонент сети хранения

Потенциальный нарушитель:

1. Любой сотрудник, получивший доступ к сегменту сети с управляющими интерфейсами компонент сети хранения.
2. Внешний злоумышленник, получивший доступ к сетевому сегменту с размещенными компонентами сети хранения данных.

Что происходит:

1. Уничтожение, искажение или несанкционированное копирование разделов системы хранения штатными средствами.
2. Нарушение работоспособности компонент системы хранения.

Последствия:

1. Уничтожение, искажение или утечка ПДн, обрабатываемых в рамках виртуальных машин.
2. Нарушение доступности ПДн, размещенных в сети хранения данных.

Технические меры:

1. Выделение специального сегмента для обеспечения доступа к управляющим интерфейсам компонент сети хранения.
2. Использование средств межсетевого экранирования для отделения сегмента управления сетью хранения от остальных сетевых сегментов и использование средств обнаружения вторжений.
3. Использование средств резервного копирования и восстановления данных.

Организационные меры:

1. Регламентирование процедур по настройке и эксплуатации средств межсетевого экранирования.
2. Регламентирование процедур резервного копирования и восстановления данных.

Получение несанкционированного доступа с виртуальных машин, где обработка ПДн не разрешена, к разделам системы хранения с размещенными ПДн

Потенциальный нарушитель: Сотрудник, являющийся пользователем виртуальной среды, работающий с виртуальной машиной, не предназначенной для обработки ПДн.

Что происходит:

1. Несанкционированное подключение разделов системы хранения (LUN), содержащих ПДн, к аппаратной платформе c виртуальными машинами, не имеющими права обрабатывать ПДн.
2. Проведение на уровне сети хранения данных атак типа «спуфинг» и «человек посередине».

Последствия: утечка, искажение или уничтожение ПДн в рамках перехваченных сессий.

Технические меры:

1. Организация защиты сети хранения данных штатными сертифицированными средствами компонент системы хранения, в частности, сегментация сети хранения данных (формирование отдельных зон для хранения информации разного уровня конфиденциальности).
2. Размещение информации разного уровня конфиденциальности в рамках отдельных сетей хранения.

Источник http://www.uipdp.com/articles/2012-04/02.html