Защита в виртуальной среде: чеклист угроз
Защита в виртуальной среде: чеклист угроз. Часть 2
Угрозы системе управления виртуальной средой
Получение несанкционированного доступа к консоли управления виртуальной инфраструктурой (АРМ администратора виртуальной среды)
Потенциальный нарушитель:
- Сотрудник, не имеющий права доступа к консоли управления.
- Посетитель.
Что происходит:
- Подбор пароля.
- Получение доступа к активной консоли администратора.
Последствия:
- Несанкционированное изменение настроек виртуальной среды, приводящее к снижению уровня безопасности виртуальной среды.
- Кража образов дисков виртуальных машин.
- Несанкционированное изменение настроек виртуальной среды, приводящее к нарушению функционирования, разрушению виртуальной среды и краже обрабатываемых в ней ПДн.
Технические меры:
- Специализированные средства защиты от несанкционированного доступа к консоли виртуальной инфраструктуры, устанавливаемые на рабочих станциях администраторов.
- Средства, реализующие механизмы разграничения доступа к файлам образов дисков виртуальных машин.
- Использование систем контроля доступа в помещение с размещенным АРМ администратора.
- Использование систем многофакторной аутентификации при доступе к АРМ администрирования.
Организационные меры:
- Регламентирование процедур доступа в помещение с размещенным АРМ администратора.
- Регламентирование действий администраторов при работе с АРМ администрирования.
- Регламентирование процедур управления учетными записями.
Получение несанкционированного доступа к настройкам виртуальных машин
Потенциальный нарушитель: администратор виртуальной среды, имеющий право доступа к консоли администрирования, но не имеющий права настройки определенных виртуальных машин.
Что происходит: использование штатных средств системы управления виртуальной среды.
Последствия: несанкционированное изменение настроек виртуальной среды, приводящее к нарушению функционирования, разрушению виртуальной среды и краже обрабатываемых в ней ПДн.
Технические меры:
- Использование специализированных средств разграничения доступа к ресурсам виртуальной среды.
- Регистрации действий администраторов виртуальной среды.
Организационные меры:
- Регламентирование процедур администрирования виртуальной среды и разграничения прав доступа по ее администрированию.
- Регламентирование процедур расследования инцидентов безопасности в виртуальной среде.
Получение несанкционированного удаленного доступа к интерфейсу системы управления
Потенциальный нарушитель:
- Сотрудник, не имеющий права удаленного доступа к системе управления.
- Внешний злоумышленник, получивший доступ к сегменту управления.
Что происходит:
- Подключение к интерфейсу управления и подбор пароля.
- Подключение к сегменту управления и перехват текущей сессии (атака «человек посередине»).
- Проникновение в сегмент управления из смежных сегментов и реализация действий аналогично п.1 и п.2.
Последствия:
- Искажение настроек безопасности виртуальной среды, позволяющих в дальнейшем проводить атаки на виртуальные машины.
- Искажение настроек безопасности виртуальной среды, позволяющих нарушить функционирование виртуальной среды.
Технические меры:
- Использование специализированных средств разграничения доступа к ресурсам виртуальной среды.
- Выделение сети управления виртуальной средой в отдельный сетевой сегмент и его защита средствами межсетевого экранирования и предотвращения вторжений.
- Использование средств анализа защищенности для контроля защищенности виртуальной среды и соответствия ее настроек внутренним политикам безопасности и «лучшим практикам».
- Использование средств контроля целостности настроек и ПО системы управления.
Организационные меры:
- Регламентирование процедур предоставления доступа к системе управления виртуальной средой.
- Регламентирование работ по анализу защищенности и контролю целостности.
- Регламентирование работ по администрированию средств межсетевого экранирования и предотвращения вторжений.
Угрозы ИТ-инфраструктуре, реализованной в рамках виртуальной среды
Развертывание новых плохо защищенных виртуальных машин
Потенциальный нарушитель: администратор виртуальной среды.
Что происходит: создание виртуальных машин штатными средствами виртуальной платформы.
Последствия: возникновение угроз взлома слабо защищенных виртуальных машин с последующей компрометацией остальных.
Технические меры: создание новых виртуальных машин на основе готовых защищенных образов.
Организационные меры: регламентация процесса создания новых виртуальных машин.
«Смешение» информации различного уровня конфиденциальности в рамках единой аппаратной платформы
Потенциальный нарушитель: администратор виртуальной среды.
Что происходит: размещение виртуальных машин с разным уровнем конфиденциальности в рамках единой аппаратной платформы.
Последствия: проведение сетевых атак из области виртуальных машин с низким уровнем конфиденциальности в отношении виртуальных машин с более высоким уровнем конфиденциальности.
Технические меры:
- Размещение виртуальных машин с разными уровнями конфиденциальности в рамках различных аппаратных платформ (совокупности серверного и сетевого оборудования).
- Использование сертифицированных средств межсетевого экранирования для разграничения доступа между аппаратными платформами, содержащими виртуальные машины с разным уровнем конфиденциальности.
Организационные меры: регламентирование процедур проектирования и размещения виртуальных машин с разным уровнем конфиденциальности в рамках виртуальной среды.
Несанкционированное сетевое подключение к виртуальной машине
Потенциальный нарушитель:
- Администратор виртуальной ИТ-инфраструктуры.
- Сотрудник, являющийся пользователем виртуальной среды.
- Внешний злоумышленник, получивший доступ к сетевому сегменту с размещенными виртуальными машинами.
Что происходит:
- Подбор пароля при сетевом подключении с использованием штатных средств автоматизированных рабочих мест (АРМ) пользователей.
- Проведение сетевых атак в отношении виртуальных машин с использованием их уязвимостей.
- Удаленное проникновение в сетевой сегмент с виртуальными машинами и реализация действий из п.1 и п.2.
Последствия:
- Нарушение работы виртуальной машины и, соответственно, нарушение целостности обрабатываемых на ней ПДн.
- Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.
- Утечка ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.
Технические меры:
- Использование межсетевых экранов и средств предотвращения вторжений для контроля сетевого трафика между разными сетевыми сегментами.
- Использование средств многофакторной аутентификации пользователей.
- Использование средств анализа защищенности виртуальных машин.
- Регистрации действий администраторов виртуальной среды и пользователей виртуальных машин.
Организационные меры:
- Регламентирование процедур управления учетными записями и парольной политикой.
- Регламентирование работ по анализу защищенности виртуальных машин.
- Регламентирование процедур эксплуатации межсетевых экранов, средств предотвращения вторжений и средств многофакторной аутентификации.
- Регламентирование процедур расследования инцидентов безопасности в виртуальной среде.
Подмена и/или перехват данных и оперативной памяти виртуальных машин в процессе их миграции средствами виртуальной среды
Потенциальный нарушитель: сотрудник, имеющий сетевой доступ к сегменту в котором происходит выполнение процедур миграции.
Что происходит: перехват сетевого трафика или вклинивание в сетевую сессию, в рамках которой выполняется миграция виртуальной машины (реализация атаки типа «человек посередине»).
Последствия:
- Нарушение работоспособности мигрировавшей виртуальной машины.
- Кража образа виртуальной машины и утечка обрабатываемых на ней данных.
Технические меры:
- Использование межсетевого экрана для разграничения пользовательской сети, сети средств виртуализации и хранения, а также сети миграции.
- Использование средств криптографической защиты сетевого трафика для реализации процедуры миграции.
Организационные меры: регламентирование процедур эксплуатации межсетевых экранов и средств криптографической защиты сетевого трафика.
Проведение сетевых атак между виртуальными машинами
Потенциальный нарушитель:
- Администратор виртуальной ИТ-инфраструктуры.
- Сотрудник, являющийся пользователем виртуальной среды.
- Внешний злоумышленник, получивший доступ к сетевому сегменту с размещенными виртуальными машинами.
Что происходит:
- Реализация атак типа «переполнение буфера», SQL-injection и пр. с использованием системных и прикладных уязвимостей.
- Удаленное проникновение в сетевой сегмент с виртуальными машинами и реализация действий из п.1.
Последствия:
- Нарушение работы виртуальной машины и, соответственно, нарушение доступности обрабатываемых на ней ПДн.
- Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.
- Утечка ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины (свойство конфиденциальности).
Технические меры:
- Использование межсетевых экранов и средств предотвращения вторжений для контроля сетевого трафика между разными сетевыми сегментами.
- Использование средств анализа защищенности виртуальных машин.
Организационные меры:
- Регламентирование работ по анализу защищенности виртуальных машин.
- Регламентирование процедур эксплуатации межсетевых экранов и средств предотвращения вторжений.
Вирусное заражение виртуальных машин
Потенциальный нарушитель: все сотрудники.
Что происходит: использование зараженных сменных носителей, получение вирусов средствами электронной почты, через Интернет.
Последствия:
- Нарушение работы виртуальной и, соответственно, нарушение доступности обрабатываемых на ней ПДн.
- Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.
- Утечка ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины.
Технические меры: использование антивирусного ПО в виртуальной среде и на уровне сетевого периметра организации (почта, интернет).
Организационные меры:
- Регламентирование процедур работы со съемными носителями, электронной почтой, сетью Интернет.
- Регламентирование процедур обслуживания антивирусного ПО.
Угрозы сети хранения данных с размещаемыми образами виртуальных машин
Кража разделов системы хранения с образами виртуальных машин и данными
Потенциальный нарушитель: администратор сети хранения.
Что происходит: несанкционированное копирование разделов системы хранения штатными средствами на съемные устройства хранения.
Последствия: утечка ПДн, обрабатываемых в рамках виртуальных машин.
Технические меры:
- Использование средств контроля доступа к периферийным устройствам на АРМ администраторов.
- Использование средств протоколирования действий администраторов системы хранения.
Организационные меры:
- Регламентирование процедур предоставления доступа к управлению системой хранения.
- Регламентирование процедур эксплуатации средств разграничения доступа, средств контроля доступа к периферийным устройствам и средств мониторинга.
Кража носителей данных сети хранения
Потенциальный нарушитель:
- Администратор сети хранения.
- Любой сотрудник, получивший физический доступ к сети хранения.
Что происходит: физическая кража носителей.
Последствия: нарушение работы виртуальных машин и уничтожение/утечка ПДн, размещенных на украденных носителях.
Технические меры:
- Использование механизмов контроля доступа в помещения с размещенными компонентами сети хранения.
- Использование систем резервного копирования и восстановления данных на носителях данных.
Организационные меры:
- Регламентирование доступа в помещения с размещаемыми компонентами сети хранения.
- Регламентирование процедур по резервному копированию и восстановлению данных.
Физическое уничтожение носителей данных сети хранения
Потенциальный нарушитель:
- Администратор сети хранения.
- Любой сотрудник, получивший физический доступ к сети хранения.
Что происходит: физическое разрушение носителей.
Последствия: нарушение работы виртуальных машин и уничтожение ПДн, размещенных на уничтоженных носителях.
Технические меры:
- Использование механизмов отказоустойчивости при построении сети хранения.
- Использование механизмов контроля доступа в помещения с размещенными компонентами сети хранения.
- Использование систем резервного копирования и восстановления данных на носителях данных.
Органиазционные меры:
- Регламентирование доступа в помещения с размещаемыми компонентами сети хранения.
- Регламентирование процедур по резервному копированию и восстановлению данных.
Получение несанкционированного доступа к АРМ администратора сети хранения
Потенциальный нарушитель: любой сотрудник, получивший локальный или удаленный доступ к АРМ администратора сети хранения.
Что происходит:
- Уничтожение, искажение или несанкционированное копирование разделов системы хранения штатными средствами.
- Нарушение работоспособности компонент системы хранения.
Последствия:
- Уничтожение, искажение или утечка ПДн, обрабатываемых в рамках виртуальных машин.
- Нарушение доступности ПДн, размещенных в сети хранения данных.
Технические меры:
- Использование средств защиты от НСД на уровне АРМ администраторов сети хранения.
- Использование средств резервного копирования и восстановления данных.
Организационные меры:
- Регламентирование доступа в помещения с размещаемыми АРМ администраторов.
- Регламентирование процедур резервного копирования и восстановления данных.
Получение несанкционированного доступа (удаленного) к управляющим интерфейсам компонент сети хранения
Потенциальный нарушитель:
- Любой сотрудник, получивший доступ к сегменту сети с управляющими интерфейсами компонент сети хранения.
- Внешний злоумышленник, получивший доступ к сетевому сегменту с размещенными компонентами сети хранения данных.
Что происходит:
- Уничтожение, искажение или несанкционированное копирование разделов системы хранения штатными средствами.
- Нарушение работоспособности компонент системы хранения.
Последствия:
- Уничтожение, искажение или утечка ПДн, обрабатываемых в рамках виртуальных машин.
- Нарушение доступности ПДн, размещенных в сети хранения данных.
Технические меры:
- Выделение специального сегмента для обеспечения доступа к управляющим интерфейсам компонент сети хранения.
- Использование средств межсетевого экранирования для отделения сегмента управления сетью хранения от остальных сетевых сегментов и использование средств обнаружения вторжений.
- Использование средств резервного копирования и восстановления данных.
Организационные меры:
- Регламентирование процедур по настройке и эксплуатации средств межсетевого экранирования.
- Регламентирование процедур резервного копирования и восстановления данных.
Получение несанкционированного доступа с виртуальных машин, где обработка ПДн не разрешена, к разделам системы хранения с размещенными ПДн
Потенциальный нарушитель: Сотрудник, являющийся пользователем виртуальной среды, работающий с виртуальной машиной, не предназначенной для обработки ПДн.
Что происходит:
- Несанкционированное подключение разделов системы хранения (LUN), содержащих ПДн, к аппаратной платформе c виртуальными машинами, не имеющими права обрабатывать ПДн.
- Проведение на уровне сети хранения данных атак типа «спуфинг» и «человек посередине».
Последствия: утечка, искажение или уничтожение ПДн в рамках перехваченных сессий.
Технические меры:
- Организация защиты сети хранения данных штатными сертифицированными средствами компонент системы хранения, в частности, сегментация сети хранения данных (формирование отдельных зон для хранения информации разного уровня конфиденциальности).
- Размещение информации разного уровня конфиденциальности в рамках отдельных сетей хранения.
Источник http://www.uipdp.com/articles/2012-04/02.html
