Virtualizando de forma segura - Soluciones de Seguridad … · 2014-04-23 · Seguridad en...
25
Transcript of Virtualizando de forma segura - Soluciones de Seguridad … · 2014-04-23 · Seguridad en...
Agenda
- Evolución de la virtualización
- Seguridad en virtualización de Servidores
- Seguridad en virtualización de la red
www.isaca.org.uy
- Seguridad en virtualización de la red
- Conclusiones
Evolución de la virtualización
Cuando hablamos de virtualización, la visión de IT incluye:- Reducción de costos- Gestión y administración simplificada de infraestructura- Mejora de los niveles de servicio- Facilidad de disponer de entornos de desarrollo/testing
www.isaca.org.uy
- Facilidad de disponer de entornos de desarrollo/testing
La visión de seguridad incluye:- “Sensación” de mejor y mayor control- Por FIN vamos a poder hacer el BCP!!!- Nuevos riesgos y amenazas
Formas de Virtualización
Evolución de la virtualización
www.isaca.org.uy
Uso actuala nivel deServidoresy Desktops
Cuidadocon el usolocal !!!
Modelo sin virtualización
Seguridad:Problemáticas
Seguridad en virtualización de Servidores
www.isaca.org.uy
Problemáticas de seguridadconocidas.
Virtualización y Consolidación de Servidores
Seguridad en virtualización de Servidores
www.isaca.org.uy
Virtualización total de Servidores
Seguridad en virtualización de Servidores
www.isaca.org.uy
Virtualización total de Servidores Datacenter
Seguridad en virtualización de Servidores
www.isaca.org.uy
Riesgos existentes:- “Aprender” la seguridad de una nueva tecnología
- Seguridad del Server HOST o del Storage (Permisos de acceso a las maquinas virtuales)
Seguridad en virtualización de Servidores
www.isaca.org.uy
acceso a las maquinas virtuales)
SAN
Riesgos existentes:- Diseño de la seguridad de la virtualización
Mail/Win DC/Win AS/Linux
Seguridad en virtualización de Servidores
www.isaca.org.uy
Internet LAN
DMZ Red Lan Interna
Riesgos existentes:- Diseño de la seguridad de la virtualización
Mail/Win DC/Win AS/Linux
FW
Seguridad en virtualización de Servidores
www.isaca.org.uy
Internet LAN
DMZ Red Lan Interna
Físico
Riesgos existentes:- Administración segura del Hypervisor. El acceso se
debe realizar a través de la red de management. En lo posible el Hypervisor no debe tener una IP propia asignada en el segmento LAN.Si posee una dirección IP, debe DC/W2k AS/Linux
Seguridad en virtualización de Servidores
www.isaca.org.uy
Si posee una dirección IP, debeestar filtrada solo a los usuariosautorizados.
LAN
DC/W2k AS/Linux
Management
Riesgos existentes:- Seguridad del Hypervisor o Sistema Operativo Host
- Vulnerabilidades del Hypervisor
Seguridad en virtualización de Servidores
www.isaca.org.uy
- Aplicación de patches de seguridad a nivel de Hypervisor.
Riesgos existentes:- Seguridad del Hypervisor o Sistema Operativo Host
- Vulnerabilidades del Hypervisor
Seguridad en virtualización de Servidores
www.isaca.org.uy
- Aplicación de patches de seguridad a nivel de Hypervisor.
Riesgos existentes:- Seguridad del Hypervisor o Sistema Operativo Host
- Vulnerabilidades del Hypervisor
Seguridad en virtualización de Servidores
www.isaca.org.uy
- Aplicación de patches de seguridad a nivel de Hypervisor.
Riesgos existentes:- Gestión de roles de administraciónSe deben definir los roles de administracióndel Hypervisor incluyendo creación, apagado,encendido, clonación, movimiento, etc. de las
Seguridad en virtualización de Servidores
www.isaca.org.uy
encendido, clonación, movimiento, etc. de las máquinas virtuales existentes.
Admin (sobre) AuditoríaAdmin full (no puede admin roles) Admin red virtualAdmin Hypervisor Seguridad InformáticaAdmin VM
Riesgos existentes:- Monitoreo de logs del HypervisorCentralización de logs del hypervisor y monitoreo de losmismos para detección de anomalías.
Seguridad en virtualización de Servidores
www.isaca.org.uy
VEEAM – Administración, backup, centralización de LOGS.
Modelo de redestándar
Seguridad en virtualización de la red
www.isaca.org.uy
Host (Hypervisor)
Grupo de Grupo de
MV0 MV1 MV2 MV3
Máquina virtual (MV)
Máquina virtual (MV)
NIC virtual (vnic)
NIC virtual (vnic)
Consola de servidor (puerto de gestión)Consola de servidor (puerto de gestión)
Vmkernel(puerto para IP
Storage y VMotion)
Vmkernel(puerto para IP
Storage y VMotion)
Anatomía de la red virtual
ADM vmkernel
Seguridad en virtualización de la red
www.isaca.org.uy
Switch virtual(vSwitch)
Switch virtual(vSwitch)
vSwitch
Grupo de puertos
Grupo de puertos
NIC física (vmnic o pnic)
NIC física (vmnic o pnic)
Switch físicoSwitch físico
LAN
Primera etapa de virtualización
Seguridad en virtualización de la red
www.isaca.org.uy
Y si tengo muchas zonas de seguridad.
Consola de servidor
MV0 MV1
vmkernel
vSwitch
Consola de servidor
MV0 MV1
vmkernel
Consola de servidor
MV0 MV1
vmkernel
vSwitch
Consola de servidor
MV0 MV1
vmkernel
vSwitch
Consola de servidor
MV0 MV1
vmkernel
Seguridad en virtualización de la red
www.isaca.org.uy
¿Cómo aprovecho latecnología de virtualización?
vSwitch
Consola de servidor
MV0 MV1
vmkernel
vSwitch
vSwitch
Consola de servidor
MV0 MV1
vmkernel
vSwitch
MV0 MV1 MV2 MV3 MV0 MV1
Entidades
MV2 MV3
Segunda etapa de virtualización
Seguridad en virtualización de la red
www.isaca.org.uy
DMZ1 DMZ2 Proveedores EntidadesExternas
LAN
DMZ 1
MV0 MV1 MV2 MV3 MV2 MV3 MV2 MV3
DMZ 2 Proveedores Ent. Externas
ADM- Utilización de rolespara segregar las tareas
Consideraciones:
Firewalls virtuales
www.isaca.org.uy
Internet
LAN
LAN ADM
para segregar las tareasde administración.
- Documentaradecuadamente.
- Implementarmonitoreo de logs.
Conclusiones
El proceso y diseño de virtualización se debe llevar a caboteniendo en cuenta la seguridad.
Los riesgos existentes son elevados, ya que se puede
www.isaca.org.uy
Los riesgos existentes son elevados, ya que se puedeponer en riesgo la continuidad de la operación y el accesono autorizado a información confidencial.
Se debe trabajar en conjunto con el área de IT y Auditoríapara coordinar la gestión y el monitoreo de los Hypervisors.
