Скачать презентацию Угрозы виртуальной среды И защита от них Выполнил Скачать презентацию Угрозы виртуальной среды И защита от них Выполнил

Презентация Галиуллин ИБ-41-12.pptx

  • Количество слайдов: 27

Угрозы виртуальной среды И защита от них Выполнил: студент группы ИБ-41 -12 Галиуллин М. Угрозы виртуальной среды И защита от них Выполнил: студент группы ИБ-41 -12 Галиуллин М. Г.

Введение Стандартные понятия ИТ (сервер, кабель, сетевой коммутатор и так далее) из области физических Введение Стандартные понятия ИТ (сервер, кабель, сетевой коммутатор и так далее) из области физических объектов переходят в виртуальные. В среде виртуализации они начинают представлять собой элементы настройки программного кода виртуальной среды (гипервизора). Меняется и сама форма угроз. С одной стороны в виртуальной среде исчезают угрозы «реального» мира, но возникают другие (некорректная программная настройка логических связей между объектами, возможность кражи/уничтожения виртуальной среды целиком и т. д. ) Кроме того, существует вопрос как «натягивать» требования регулирующих органов (ФСТЭК) на виртуальную среду.

Структура угроз безопасности в виртуальной среде В соответствии с архитектурными уровнями: 1) Аппаратная платформа, Структура угроз безопасности в виртуальной среде В соответствии с архитектурными уровнями: 1) Аппаратная платформа, на которой разворачивается виртуальная среда; 2) Системное ПО виртуализации (гипервизор), выполняющее функции управления аппаратными ресурсами; 3) Система управления виртуальной средой (серверные и клиентские программные компоненты, позволяющие локально или удаленно управлять настройками виртуальных машин); 4) Виртуальные машины, включающие в свой состав системное и прикладное ПО; 5) Сеть хранения данных) с размещаемыми образами виртуальных машин и данными (сеть хранения данных может быть реализована на основе SAN, NAS, i. SCSI).

Рассмотрим угрозы каждого из уровней, вызванные преднамеренными или непреднамеренными действиями потенциальных нарушителей. Рассмотрим угрозы каждого из уровней, вызванные преднамеренными или непреднамеренными действиями потенциальных нарушителей.

Угрозы аппаратной платформе (обычные серверные платформы, blade-корзины) 1) Нарушение работы аппаратных компонент серверного оборудования Угрозы аппаратной платформе (обычные серверные платформы, blade-корзины) 1) Нарушение работы аппаратных компонент серверного оборудования с установленными компонентами виртуальной среды 2) Несанкционированное извлечение из серверного оборудования и кража носителей информации 3) Нарушение сетевой коммутации

1) Нарушение работы аппаратных компонент серверного оборудования с установленными компонентами виртуальной среды Потенциальный нарушитель: 1) Нарушение работы аппаратных компонент серверного оборудования с установленными компонентами виртуальной среды Потенциальный нарушитель: 1) Сотрудник, не имеющий права доступа в помещения; 2) Посетитель; 3) Администратор. Что происходит: 1) Нанесение физических повреждений аппаратным компонентам виртуальной среды; 2) Несанкционированное извлечение или замена компонент оборудования; 3) Несанкционированное нарушение работы аппаратных компонент или смежных обеспечивающих систем (отключение питания, систем кондиционирования и пр. ); 4) Отказы и сбои в работе смежных обеспечивающих систем; Последствия: 1) Нарушение доступности ПДн. Остановка виртуальных машин, а также нарушение работы зависящих от их работоспособности смежных ИТ-систем; 2) Нарушение целостности ПДн; 3) Уничтожение ПДн, размещенных на поврежденных носителях данных. Технические меры: 1) Использование систем контроля доступа в помещения; 2) Использование средств защиты к серверным стойкам (закрытие и опечатывание шкафов); 3) Резервирование компонент обеспечивающих систем. Организационные меры: 1) Регламентирование процедур доступа в помещения; 2) Регламентирование процедур доступа к аппаратным компонентам; 3) Регламентирование процедур штатного обслуживания аппаратных компонент; 3) Регламентирование процедур восстановления аппаратных компонент после отказов и сбоев;

2) Несанкционированное извлечение из серверного оборудования и кража носителей информации Потенциальный нарушитель: 1) Сотрудник, 2) Несанкционированное извлечение из серверного оборудования и кража носителей информации Потенциальный нарушитель: 1) Сотрудник, не имеющий права доступа в помещения с размещенными аппаратными компонентами виртуальной среды; 2) Посетитель; 3) Администратор. Что происходит: Несанкционированное извлечение носителей и вынос их за пределы организации. Последствия: Утрата и/или утечка ПДн (в случае их нахождения на украденном носителе). Технические меры: 1) Использование систем контроля доступа в помещение с размещенными аппаратными компонентами виртуальной среды; 2) Использование средств защиты от НСД к серверным стойкам (закрытие и опечатывание шкафов с серверным оборудованием); 3) Использование систем резервного копирования и восстановления данных на носителях данных. Организационные меры: 1) Регламентирование процедур доступа в помещения; 2) Регламентирование процедур доступа к аппаратным компонентам; 3) Регламентирование процедур штатного обслуживания аппаратных компонент; 4) Регламентирование процедур восстановления аппаратных компонент после отказов и сбоев; 5) Регламентирование процедур по резервному копированию и восстановлению данных; 6) Регламентирование процедур по тщательному подбору персонала на должность администратора.

3) Нарушение сетевой коммутации Потенциальный нарушитель: 1) Сотрудник, не имеющий права доступа в помещения 3) Нарушение сетевой коммутации Потенциальный нарушитель: 1) Сотрудник, не имеющий права доступа в помещения с размещенным сетевым оборудованием; 2) Посетитель; 3) Администратор. Что происходит: Подключение сетевых интерфейсов аппаратной платформы к недоверенным сетевым сегментам и изменение их сетевых настроек. Последствия: 1) Возможность проведения сетевых атак из недоверенных сетевых сегментов на виртуальные машины, развернутые на аппаратной платформе; 2) Нарушение работы ИСПДн, развернутых в виртуальной среде. Технические меры: Безопасная настройка сетевого оборудования (привязка портов коммутаторов к MAC-адресам сетевых плат). Организационные меры: 1) Регламентирование процедур доступа в помещения с размещенным сетевым оборудованием; 2) Регламентирование процедур по тщательному подбору персонала на должность администраторов.

Угрозы системному ПО Виртуализации (гипервизору) 1) Некорректная настройка параметров гипервизора и виртуальных машин, влияющих Угрозы системному ПО Виртуализации (гипервизору) 1) Некорректная настройка параметров гипервизора и виртуальных машин, влияющих на безопасность 2) Ошибки в работе ПО гипервизора 3) Подмена исполняемых модулей ПО гипервизора 4) Несанкционированный удаленный доступ к ресурсам гипервизора вследствие сетевых атак типа «переполнение буфера» на открытые сетевые порты сервера с гипервизором 5) Истощение вычислительных ресурсов сервера с гипервизором вследствие атак типа «отказ в обслуживании» в отношении виртуальных машин 6) Случайное или умышленное искажение/уничтожение образов виртуальных машин

1) Некорректная настройка параметров гипервизора и виртуальных машин, влияющих на безопасность Потенциальный правонарушитель: Администратор 1) Некорректная настройка параметров гипервизора и виртуальных машин, влияющих на безопасность Потенциальный правонарушитель: Администратор виртуальной среды. Что происходит: Несанкционированный доступ (удаленный доступ из реальной среды или доступ в рамках виртуальной среды) к ресурсам виртуальных машин вследствие некорректных настроек гипервизора. Технические меры: 1) Использование средств анализа защищенности и анализа соответствия настроек виртуальной среды «лучшим практикам» и политикам безопасности организации; 2) Использование средств контроля целостности настроек гипервизора; 3) Использование специализированных систем защиты от НСД в виртуальной среде для разграничения прав доступа администраторов виртуальной среды (ИТ и ИБ), регистрации действий администраторов виртуальной среды. Организационные меры: 1) Регламентирование работ по анализу защищенности и анализу соответствия настроек гипервизора политикам безопасности; 2) Разделение и регламентирование прав администраторов виртуальной среды и администраторов ИБ при эксплуатации виртуальной среды; 3) Регламентирование процедур расследования инцидентов безопасности в виртуальной среде.

2) Ошибки в работе ПО гипервизора Потенциальный правонарушитель: 1) Администратор виртуальной среды; 2) Сотрудник, 2) Ошибки в работе ПО гипервизора Потенциальный правонарушитель: 1) Администратор виртуальной среды; 2) Сотрудник, имеющий легитимный доступ к определенной/ым виртуальной/ым машине/ам Что происходит: Несанкционированный доступ (в рамках виртуальной среды) к ресурсам виртуальных машин вследствие программных закладок (или ошибок) в ПО гипервизора. Последствия: Уничтожение/кража/искажение ПДн, обрабатываемых в рамках виртуальной машины, к которой произошло несанкционированное подключение. Технические меры: Подтверждение корректности работы ПО гипервизора и отсутствия в нем недекларированных возможностей в рамках его сертификации во ФСТЭК России. Организационные меры: Регламентирование процедур сопровождения ПО гипервизора в соответствии с техническими условиями, в рамках которых было сертифицировано ПО гипервизора.

3) Подмена исполняемых модулей ПО гипервизора Потенциальный нарушитель: Администратор виртуальной среды. Что происходит: Несанкционированный 3) Подмена исполняемых модулей ПО гипервизора Потенциальный нарушитель: Администратор виртуальной среды. Что происходит: Несанкционированный доступ (удаленный доступ из реальной среды или доступ в рамках виртуальной среды) к ресурсам виртуальных машин вследствие искажения работы ПО гипервизора. Последствия: 1) Несанкционированный доступ к хранимым, обрабатываемым и передаваемым между виртуальными машинами ПДн; 2) Нарушение доступности ИСПДн, развернутых в виртуальной среде. Технические меры: 1) Использование средств контроля целостности ПО и настроек гипервизора (в процессе загрузки и в ходе работы). 2) Регистрации действий администраторов виртуальной среды. Организационные меры: 1) Регламентирование процедур контроля целостности ПО гипервизора; 2) Регламентирование процедур расследования инцидентов безопасности в виртуальной среде.

4) Несанкционированный удаленный доступ к ресурсам гипервизора вследствие сетевых атак типа «переполнение буфера» на 4) Несанкционированный удаленный доступ к ресурсам гипервизора вследствие сетевых атак типа «переполнение буфера» на открытые сетевые порты сервера с гипервизором Потенциальный нарушитель: 1) Сотрудник, имеющий сетевой доступ к сетевому сегменту, к которому подключен сервер с установленным гипервизором; 2) Нарушитель, действующий из-за пределов сети организации, удаленно проникший в сетевой сегмент, к которому подключен сервер с установленным гипервизором. Что происходит: Выполнение атак типа «переполнение буфера» . Последствия: Получение контроля над сервером с установленным гипервизором с полномочиями взломанной службы. Технические меры: 1) Своевременная установка обновлений безопасности ПО гипервизора; 2) Разделение продуктивной сети от сети управления и служебной сети. 3) Использование межсетевых экранов и систем предотвращения вторжений для фильтрации сетевого трафика и блокирования сетевых атак. Организационные меры: 1) Регламентирование процедуры обновления ПО гипервизора; 2) Регламентирование процедур эксплуатации межсетевых экранов и систем предотвращения вторжений.

5) Истощение вычислительных ресурсов сервера с гипервизором вследствие атак типа «отказ в обслуживании» в 5) Истощение вычислительных ресурсов сервера с гипервизором вследствие атак типа «отказ в обслуживании» в отношении виртуальных машин Потенциальный сотрудник: Сотрудник, имеющий доступ к сетевому сегменту, к которому подключен сервер с установленным гипервизором. Что происходит: Выполнение атак типа «отказ в обслуживании» . Последствия: Замедление работы или прекращение работы сервера с гипервизором вследствие истощения вычислительных ресурсов. Технические меры: 1) Задание параметров гипервизора по ограничению и гарантированию ресурсов для виртуальных машин; 2) Мониторинг загрузки мощностей сервера с гипервизором. Организационные меры: 1) Регламентирование процедур по созданию, настройке и сопровождению виртуальных машин; 2) Регламентирование процедур мониторинга сервера с гипервизором.

6) Случайное или умышленное искажение/уничтожение образов виртуальных машин Потенциальный нарушитель: Администратор виртуальной среды Что 6) Случайное или умышленное искажение/уничтожение образов виртуальных машин Потенциальный нарушитель: Администратор виртуальной среды Что происходит: Стирание образов, искажение образов штатными средствами виртуальной среды Последствия: 1) Нарушение работы виртуальной машины и, как следствие, нарушение доступности обрабатываемых на ней ПДн; 2) Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины; Технические меры: Использование средств резервного копирования и восстановления образов виртуальных машин. Организационные меры: Регламентирование процедуры резервного копирования и восстановления образов виртуальных машин.

Угрозы системе управления виртуальной средой 1) Получение несанкционированного доступа к консоли управления виртуальной инфраструктурой Угрозы системе управления виртуальной средой 1) Получение несанкционированного доступа к консоли управления виртуальной инфраструктурой (АРМ администратора виртуальной среды) 2) Получение несанкционированного доступа к настройкам виртуальных машин 3) Получение несанкционированного удаленного доступа к интерфейсу системы управления

1) Получение несанкционированного доступа к консоли управления виртуальной инфраструктурой (АРМ администратора виртуальной среды) Потенциальный 1) Получение несанкционированного доступа к консоли управления виртуальной инфраструктурой (АРМ администратора виртуальной среды) Потенциальный нарушитель: 1) Сотрудник, не имеющий права доступа к консоли управления; 2) Посетитель. Что происходит: 1) Подбор пароля; 2) Получение доступа к активной консоли администратора. Последствия: 1) Несанкционированное изменение настроек виртуальной среды; 2) Кража образов дисков виртуальных машин; 3) Несанкционированное изменение настроек виртуальной среды, приводящее к разрушению виртуальной среды и краже обрабатываемых в ней ПДн. Технические меры: 1) Специализированные средства защиты от несанкционированного доступа к консоли виртуальной инфраструктуры; 2) Средства, реализующие механизмы разграничения доступа; Организационные меры: 1) Регламентирование процедур доступа в помещение с размещенным АРМ администратора; 2) Регламентирование действий администраторов при работе с АРМ администрирования.

2) Получение несанкционированного доступа к настройкам виртуальных машин Потенциальный нарушитель: Администратор виртуальной среды, имеющий 2) Получение несанкционированного доступа к настройкам виртуальных машин Потенциальный нарушитель: Администратор виртуальной среды, имеющий право доступа к консоли администрирования, но не имеющий права настройки определенных виртуальных машин Что происходит: Использование штатных средств системы управления виртуальной среды Последствия: Несанкционированное изменение настроек виртуальной среды, приводящее к нарушению функционирования, разрушению виртуальной среды и краже обрабатываемых в ней ПДн. Технические меры: 1) Использование специализированных средств разграничения доступа к ресурсам виртуальной среды; 2) Регистрации действий администраторов виртуальной среды. Организационные меры: 1) Регламентирование процедур администрирования виртуальной среды и разграничения прав доступа по ее администрированию; 2) Регламентирование процедур расследования инцидентов безопасности в виртуальной среде.

3) Получение несанкционированного удаленного доступа к интерфейсу системы управления Потенциальный нарушитель: 1) Сотрудник, не 3) Получение несанкционированного удаленного доступа к интерфейсу системы управления Потенциальный нарушитель: 1) Сотрудник, не имеющий права удаленного доступа к системе управления; 2) Внешний злоумышленник, получивший доступ к сегменту управления. Что происходит: 1) Подключение к интерфейсу управления и подбор пароля; 2) Подключение к сегменту управления и перехват текущей сессии; Последствия: 1) Искажение настроек безопасности виртуальной среды, позволяющих в дальнейшем проводить атаки на виртуальные машины; 2) Искажение настроек безопасности виртуальной среды, позволяющих нарушить функционирование виртуальной среды. Технические меры: 1) Использование специализированных средств разграничения доступа к ресурсам виртуальной среды; 2) Выделение сети управления виртуальной средой в отдельный сетевой сегмент и его защита средствами межсетевого экранирования и предотвращения вторжений; 3) Использование средств контроля целостности настроек и ПО системы управления. Организационные меры: 1) Регламентирование процедур предоставления доступа к системе управления виртуальной средой;

Угрозы ИТ-инфраструктуре, реализованной в рамках виртуальной среды 1) Развертывание новых плохо защищенных виртуальных машин Угрозы ИТ-инфраструктуре, реализованной в рамках виртуальной среды 1) Развертывание новых плохо защищенных виртуальных машин 2) «Смешение» информации различного уровня конфиденциальности в рамках единой аппаратной платформы 3) Несанкционированное сетевое подключение к виртуальной машине 4) Подмена и/или перехват данных и оперативной памяти виртуальных машин в процессе их миграции средствами виртуальной среды 5) Проведение сетевых атак между виртуальными машинами 6) Вирусное заражение виртуальных машин

Развертывание новых плохо защищенных виртуальных машин Потенциальный нарушитель: Администратор виртуальной среды. Что происходит: Создание Развертывание новых плохо защищенных виртуальных машин Потенциальный нарушитель: Администратор виртуальной среды. Что происходит: Создание виртуальных машин штатными средствами виртуальной платформы. Последствия: Возникновение угроз взлома слабо защищенных виртуальных машин с последующей компрометацией остальных. Технические меры: Создание новых виртуальных машин на основе готовых защищенных образов. Организационные меры: Регламентация процесса создания новых виртуальных машин.

«Смешение» информации различного уровня конфиденциальности в рамках единой аппаратной платформы Потенциальный нарушитель: Администратор «Смешение» информации различного уровня конфиденциальности в рамках единой аппаратной платформы Потенциальный нарушитель: Администратор виртуальной среды Что происходит: Размещение виртуальных машин с разным уровнем конфиденциальности в рамках единой аппаратной платформы. Последствия: Проведение сетевых атак из области виртуальных машин с низким уровнем конфиденциальности в отношении виртуальных машин с более высоким уровнем конфиденциальности. Технические меры: 1) Размещение виртуальных машин с разными уровнями конфиденциальности в рамках различных аппаратных платформ (совокупности серверного и сетевого оборудования); 2) Использование сертифицированных средств межсетевого экранирования для разграничения доступа между аппаратными платформами, содержащими виртуальные машины с разным уровнем конфиденциальности. Организационные меры: Регламентирование процедур проектирования и размещения виртуальных машин с разным уровнем конфиденциальности в рамках виртуальной среды.

Несанкционированное сетевое подключение к виртуальной машине Потенциальный нарушитель: 1) Администратор виртуальной ИТ-инфраструктуры; 2) Сотрудник, Несанкционированное сетевое подключение к виртуальной машине Потенциальный нарушитель: 1) Администратор виртуальной ИТ-инфраструктуры; 2) Сотрудник, являющийся пользователем виртуальной среды; 3) Внешний злоумышленник, получивший доступ к сетевому сегменту. Что происходит: 1) Подбор пароля при сетевом подключении с использованием штатных средств автоматизированных рабочих мест (АРМ) пользователей; 2) Проведение сетевых атак в отношении виртуальных машин; 3) Удаленное проникновение в сетевой сегмент с виртуальными машинами; Последствия: 1) Нарушение работы виртуальной машины и нарушение целостности ПДн; 2) Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины; Технические меры: 1) Использование межсетевых экранов и средств предотвращения вторжений 2) Использование средств анализа защищенности виртуальных машин; 3) Регистрации действий администраторов виртуальной среды и пользователей; виртуальных машин. Организационные меры: 1) Регламентирование процедур управления учетными записями и парольной политикой; 2) Регламентирование работ по анализу защищенности виртуальных машин;

Подмена и/или перехват данных и оперативной памяти виртуальных машин в процессе их миграции средствами Подмена и/или перехват данных и оперативной памяти виртуальных машин в процессе их миграции средствами виртуальной среды Потенциальный нарушитель: Сотрудник, имеющий сетевой доступ к сегменту в котором происходит выполнение процедур миграции. Что происходит: Перехват сетевого трафика или вклинивание в сетевую сессию, в рамках которой выполняется миграция виртуальной машины (реализация атаки типа «человек посередине» ). Последствия: 1) Нарушение работоспособности мигрировавшей виртуальной машины; 2) Кража образа виртуальной машины и утечка обрабатываемых на ней данных. Технические меры: 1) Использование межсетевого экрана для разграничения пользовательской сети, сети средств виртуализации и хранения, а также сети миграции; 2) Использование средств криптографической защиты сетевого трафика для реализации процедуры миграции. Организационные меры: Регламентирование процедур эксплуатации межсетевых экранов и средств криптографической защиты сетевого трафика.

Проведение сетевых атак между виртуальными машинами Потенциальный нарушитель: 1) Администратор виртуальной ИТ-инфраструктуры; 2) Сотрудник, Проведение сетевых атак между виртуальными машинами Потенциальный нарушитель: 1) Администратор виртуальной ИТ-инфраструктуры; 2) Сотрудник, являющийся пользователем виртуальной среды; 3) Внешний злоумышленник, получивший доступ к сетевому сегменту; Что происходит: 1) Реализация атак типа «переполнение буфера» , SQL-injection и пр. 2) Удаленное проникновение в сетевой сегмент с виртуальными машинами; Последствия: 1) Нарушение работы виртуальной машины и, соответственно, нарушение доступности обрабатываемых на ней ПДн; 2) Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины; 3) Утечка ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины (свойство конфиденциальности). Технические меры: 1) Использование межсетевых экранов и средств предотвращения вторжений для контроля сетевого трафика между разными сетевыми сегментами; 2) Использование средств анализа защищенности виртуальных машин. Организационные меры: 1) Регламентирование работ по анализу защищенности виртуальных машин; 2) Регламентирование процедур эксплуатации межсетевых экранов и средств предотвращения вторжений.

Вирусное заражение виртуальных машин Потенциальный сотрудник: Все сотрудники Что происходит: Использование зараженных сменных носителей, Вирусное заражение виртуальных машин Потенциальный сотрудник: Все сотрудники Что происходит: Использование зараженных сменных носителей, получение вирусов средствами электронной почты, через Интернет. Последствия: 1) Нарушение работы виртуальной и, соответственно, нарушение доступности обрабатываемых на ней ПДн; 2) Разрушение/искажение ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины; 3) Утечка ПДн, обрабатываемых в рамках скомпрометированной виртуальной машины. Технические меры: Использование антивирусного ПО в виртуальной среде и на уровне сетевого периметра организации (почта, интернет). Организационные меры: 1) Регламентирование процедур работы со съемными носителями, электронной почтой, сетью Интернет; 2) Регламентирование процедур обслуживания антивирусного ПО.

Предохраняйтесь заранее, чтобы не допустить возможные угрозы! И спасибо за внимание! Предохраняйтесь заранее, чтобы не допустить возможные угрозы! И спасибо за внимание!