Suchen

Sicherheit ohne toten Winkel Chancen und Risiken einer virtuellen IT-Umgebung

Autor / Redakteur: Hermann Klein / Manfred Klein

Virtualisierung ist mittlerweile die Regel, nicht mehr die Ausnahme. Im Fokus steht dabei die effizientere Nutzung vorhandener Rechenleistung bei gleichzeitiger Reduzierung der Hardware. Denn nicht nur in Unternehmen, auch in Öffentlichen Verwaltungen werden die Anforderungen an die IT-Infrastruktur immer komplexer.

Firma zum Thema

( Archiv: Vogel Business Media )

Außer Acht gelassen wird dabei aber oft der Aspekt der IT-Sicherheit, denn Virtualisieren bedeutet auch, neue Wege bei der Netzwerksicherheit zu beschreiten. Denn die IT-Verantwortlichen Öffentlicher Verwaltungen und Behörden sehen sich oft mit folgender Situation konfrontiert: Immer mehr Anwendungen, beispielsweise Mail-, Fax- und Datenbankserver, Webfilter oder auch Blackberry-Dienste müssen verwaltet werden. Hinzu kommt, dass bestimmte Anwendungen nicht auf demselben Server laufen dürfen oder unterschiedliche Betriebssysteme voraussetzen. Schnell werden zusätzliche Server für die unterschiedlichen Windows-Versionen und Linux nötig. Um Speicherengpässe zu umschiffen, werden neue Server angeschafft, sodass eine stattliche Gerätefamilie heranwächst. Problematisch wird es, wenn keine Stellfläche mehr frei ist, denn dann wäre die Organisation gezwungen, für neue Server einen zusätzlichen Serverraum zu errichten – was nicht selten mit sehr hohen Kosten verbunden ist. Das ist dann meist der Moment, in dem sich IT-Verantwortliche und Sicherheitsbeauftragte nach Alternativlösungen umsehen.

Vorsicht bei fehlenden Warnhinweisen

In den meisten Fällen stellen die IT-Verantwortlichen dann schnell fest, dass viele ihrer Server die meiste Zeit ungenutzt laufen. Das macht sie zu geeigneten Kandidaten für eine Serverkonsolidierung in virtueller Umgebung. Dabei virtualisiert die Behörde meist zunächst nur einige der Server. Das Ergebnis dieses Versuchs ist aber oft so ermutigend, dass die übrigen Geräte mit einem geringen Auslastungsgrad ebenfalls virtualisiert werden.

Bildergalerie

Problematisch wird es, wenn weniger Firewall- oder Intrusion-Prevention-System-Warnhinweise eingehen wie vor der Virtualisierung. Es scheint, als wäre ein Teil des Netzwerkverkehrs nach der Virtualisierung verschwunden – ein Umstand, dem man möglichst schnell auf den Grund gehen sollte. Zunächst gilt es, die Firewall-, IPS- und Netzwerküberwachungsprotokolle zu überprüfen. Doch was, wenn alles normal zu sein scheint? Oft zeigt es sich dann, dass die neue virtuelle Umgebung für die herkömmlichen Netzwerksicherheits-Appliances ein blinder Fleck ist – was sich dort abspielt, liegt gewissermaßen im toten Winkel.

Denn kommuniziert eine virtuelle Anwendung mit einer anderen, so verlässt der Datenverkehr nie die virtuelle Umgebung. Anders ausgedrückt, die Daten passieren keine Netzwerksicherheitslösung außerhalb der virtuellen. Das Fatale daran: Viele traditionelle Netzwerksicherheitslösungen können nicht erkennen, was sich innerhalb der virtuellen Umgebung abspielt.

Hardwarebasierende Sicherheitslösungen stoßen an ihre Grenzen

Man möchte meinen, dass eine virtuelle Umgebung sicherer ist als eine herkömmliche physikalische Umgebung, da sie Bestandteil eines überwachten Servers ist. Das ist aber nicht der Fall: Eine virtuelle Umgebung ist genauso unsicher wie jede andere Lösung, die an das Netzwerk angeschlossen ist. Sie ist ebenso verletzlich und denselben Angriffen ausgesetzt wie andere mit dem Netzwerk verbundene Anwendung. Das leuchtet ein, denn virtuelle Maschinen führen ja auch „ganz normale“ Betriebssysteme und Anwendungen aus.

Viele traditionelle Sicherheitslösungen wie Firewalls oder Intrusion-Prevention-Systeme basieren auf Hardware und sind vor das zu schützende System geschaltet. Wird nun ein solches System in eine virtuelle Umgebung überführt, kann nur mehr der Datenstrom aus und in die virtuelle Umgebung überwacht werden, jedoch nicht mehr die einzelnen Anwendungen selbst und der zuständige Server. Die virtuelle Umgebung wird somit sicherheitstechnisch komplett zur „Blackbox“.

Der Blick ins Innere

Jede IT-Infrastruktur – sei es in Unternehmen oder in Behörden und Öffentlichen Verwaltungen – besteht aus mindestens drei Ebenen:

  • Der Datenbank, in der personenbezogene sowie behörden- und verwaltungskritische Daten gespeichert sind. Sie unterliegen einem festgelegten Sicherheitslevel und sind Compliances zugeordnet. Diese Ebene gleicht einer Goldmine, auf die es professionelle Hacker abgesehen haben.
  • Die Anwendungsebene, über die kontrolliert im Sinne der Behördenabläufe auf die Daten zugegriffen werden kann.
  • Die von außen zugänglichen Webserver, die anderen Organisationen oder Bürgern die Kommunikation mit den anderen Ebenen ermöglichen.

Damit diese Server geschützt sind, werden davor Sicherheitssysteme platziert, die webbasierenden Datenverkehr durchlassen. Nach Einschätzung vieler Analysten werden aber nahezu 80 Prozent aller sicherheitsrelevanten Angriffe gerade über webbasierende Protokolle durchgeführt. Wurde also ein Server auf klassische Weise gehackt, sind er und die darauf laufende Anwendung davon betroffen. Da hardwarebasierende Sicherheitssysteme nicht zwischen virtuellen Servern platziert werden können, ist es ihnen auch unmöglich, den Datenverkehr dazwischen zu analysieren. Und die zentrale Managementkonsole zur Überwachung des Serversystems kann weder erkennen noch kontrollieren, welche Datenströme kursieren. Ohne diese Informationen wird aber nur ein unvollständiges Bild der aktuellen Situation gewonnen. Angriffe werden zu spät oder gar nicht erkannt. Daraus resultiert eine erhebliche Gefährdung bis hin zum kompletten Ausfall des virtuellen Systems.

Alarmstufe Rot

In einer virtuellen Umgebung, in der eine Vielzahl von Anwendungen und Servern auf einem verbundenen System laufen, kommt eine weitere Gefahr hinzu. Sofern ein Hacker eingedrungen ist, kann er sich unkontrolliert weiter bewegen und eine Vielzahl anderer Systeme, Anwendungen und Datenbanken ohne weitere Behinderung angreifen. Mehr noch, die Möglichkeiten eines Untersuchungsverfahrens (Audit) für Organisationen, die kontrollieren und protokollieren wer, wann, wo zugegriffen hat, ist völlig ausgehebelt. Dies führt zu erheblichen Schwachstellen im Compliance Reporting.

Sicherheit in virtueller Umgebung gewährleisten

Die beschriebenen Szenarien machen deutlich, dass nur eine softwarebasierende Sicherheitslösung virtuelle Umgebungen schützen kann, da sie im Gegensatz zu hardwaregestützten Systemen auch zwischen virtuellen Servern platziert werden kann. Wenn sich IT-Verantwortliche versichern wollen, ob ihre Lösung auch virtuelle Bereiche schützt, sollten sie sich folgende Fragen stellen:

  • 1. Können die eingesetzten Produkte eine virtuelle Umgebung unterstützen? Wenn ja, welche zusätzlichen Komponenten müssen angeschafft werden, um vergleichbare Sicherheit wie in physischer Umgebung zu erzielen?
  • 2. Kann die Lösung von derselben Managementkonsole sowohl physische als auch virtuelle Umgebungen überwachen und administrieren?
  • 3. Wie unterstützt die Sicherheitslösung ihre Anwender dabei, aufgetretene Bedrohungen über alle Umgebungen hinweg zeitnah und wirksam zu bekämpfen?

Da die Methode Virtualisierung sich auch in Organisationen weit verbreitetet hat, wächst auch hier die Verantwortung der IT-Beauftragten und Sicherheitsspezialisten. Es gilt, virtuelle Umgebungen genauso zu schützen, wie in physikalische. Dies erfordert eine Überprüfung der Sicherheitsstrategien ebenso wie neue Management- und Monitoring-Ansätze.

Fazit

Zudem gibt es Netzwerksicherheitslösungen wie Firewalls und IPS, die auch in virtuellen Umgebungen zum Einsatz kommen. Manche, wie die virtuellen Firewall-, VPN- und IPS-Lösungen von Stonesoft, verfügen über eine zentralisierte Verwaltung in Form einer Managementkonsole, durch die sich Netzwerksicherheits-Appliances sowohl in der physikalischen als auch in der virtuellen Welt steuern lassen. Aus Sicht des Sicherheitsmanagements macht es keinen Unterschied, ob die Sicherheits-Appliance eine reale oder virtuelle Anwendung ist. Dies gewährleistet eine einheitliche Umsetzung von Sicherheitsrichtlinien in der ganzen IT-Umgebung. Berücksichtigen IT-Verantwortliche dies, sorgen sie in ihren Organisationen für eine wirklich sichere Infrastruktur.

Artikelfiles und Artikellinks

(ID:2015179)