ملاحظات امنیتی پردازش ابری (قسمت اول)- پلت فرم مجازی سازی (بخش دوم)

امنیت محاسبات ابری و پلت فرم مجازی سازی

در حال حاضر می دانیم که محاسبات ابری چیزی فراتر از مجازی سازی سرور است. زمانی که شما به جای سرور consolidation از مجازی سازی برای ایجاد محیط محاسبات ابری عمومی، خصوصی یا ترکیبی استفاده می کنید، درواقع از مرکز داده سنتی به یک محیط پویا و مبتنی بر سرویس قدم نهاده اید.
در مرکز داده سنتی، کنترل و هدایت دستگاه به طور خودکار معمولا به عنوان یک مولفه اصلی نیست مگر آن که تعداد سیستم عامل های کلاینت یا سرور زیاد باشند و مدیریت بخش ها بدون برخی روش های کنترل و هدایت خودکار امکان پذیر نباشد. به طور کلی، امروزه در مرکز داده های مبتنی بر LAN، برای تنظیم نمودن سرورهای فیزیکی جدید می بایست برخی از بخش های آن توسط مدیر شبکه به صورت دستی انجام گیرد. در مقابل، در محیط ابر، سیستم عامل ها باید به گونه ای تنظیم شوند تا بتوانند برخی از اصول کلیدی را در محاسبات ابری به طور خودکار انجام دهند.
مساله دیگری که باید به یاد داشته باشید آن است که مجازی سازی، ارتباط بین سیستم عامل و سخت افزاری که بر روی آن اجرا می شود را تغییر می دهد. این مساله به تنهایی، دیدگاه شما را از نقطه نظر امنیتی تغییر می دهد به طوری که، راحتی که در گذشته هنگام استقرار سیستم عامل و برنامه های کاربردی بر روی سروری که می توانید به طور فیزیکی آن را لمس کنید، احساس می کردید را به چالش می کشد. با این حال، این باور که چیزی را که می توانید لمس و احساس کنید ذاتا امن تر است، لزوما معتبر نیست.
شما باید هنگام تصمیم گیری در مورد نقش مجازی سازی در محاسبات ابری، مسائل امنیتی مهم را در نظر بگیرید. مهم ترین مسائل امنیتی که شما در محیط غیرمجازی به آن ها توجه ندارید، ممکن است در محیط مجازی، امنیت hypervisor را به خطر بیاندازند. Hypervisor به تمامی گردش کارهای مهمان که در زیرساخت ابر در حال اجراست،‌دسترسی دارد. هنگامی که می خواهید محیط ابر را ارتقاء دهید در واقع شامل ارتقاء هزاران و ده ها هزار ماشین مجازی می شود، در نتیجه بی توجهی به مسائل امنیتی آن می تواند تاثیر گسترده و ویرانگری داشته باشد.
Hypervisor یک قطعه کوچکی از یک نرم افزار با برخی وظائف خیلی خاص می باشد. یک hypervisor بسیار کوچک تر و پیچیده تر از یک سیستم عامل است. Hypervisor نباید پورت شبکه دسترسی خارجی داشته باشد زیرا این پورت می تواند وسیله نفوذ مهاجمان باشد. شرط بسیار مهم دیگر آن است که سیستم عامل های مهمان نباید به hypervisor دسترسی مستقیم داشته باشند.
Hypervisor باید در شبکه نامرئی باشد و تنها واسط مدیریت hypervisor بتواند به hypervisor متصل گردد. احتمال حمله به hypervisor بسیار پایین است زیرا در این حالت، احتمال وجود آسیب پذیری hypervisor و حمله به آن بسیار پایین می باشد. با این حال، فرصت خوبی است که این رویه در آینده تغییر کند و hypervisor به عنوان هدفی برای هکرها در نظر گرفته شود.
یکی دیگر از مسائل امنیتی که در رابطه با مجازی سازی وجود دارد در ارتباط با تخصیص منابع در یک محیط الاستیک می باشد که ممکن است شامل مواردی از قبیل ذخیره سازی محلی در ارتباط با VM ها باشد. اگر داده ای بر روی رسانه فیزیکی یا حافظه نوشته شود و قبل از تخصیص مجدد به VM دیگر پاک نشود، در نتیجه احتمال نشت اطلاعات وجود دارد. البته این مشکلات تنها مربوط به محیط های ابر نمی باشد و ممکن است برای تمامی محیط های رایجی که از سیستم عامل استفاده می کنند، وجود داشته باشد.
دو مورد بسیار مهم درباره چگونگی مدیریت تخصیص مجدد توسط سیستم عامل وجود دارد:
· سیستم عامل ممکن است متوقف شود یا خراب شود قبل از آن که منابع پاک گردند.
· تمامی سیستم عامل ها،‌داده ها را با روشی یکسان مدیریت نمی کنند. برخی ممکن است در زمان آزاد شدن منابع، داده ها را پاک کنند و برخی دیگر ممکن است در زمان تخصیص این کار را انجام دهند.
بنابراین، برای سیستم عامل های مختلف این امکان وجود دارد که با روش های مختلفی مدیریت تخصیص مجدد را انجام دهند. به همین دلیل، شما باید بر روی منابع ذخیره سازی و حافظه هنگامی که در ابر عمومی و یا ابر خصوصی استفاده می کنید، کنترل کاملی داشته باشید. برای این کار باید خودتان داده ها را پاک نمایید و خط مشی های پاک کردن داده های حساس را تنظیم نمایید. باید فرآیندهایی داشته باشید که تایید کند که منابع آزاد شده، پاک شده اند. هنگامی که داده های حساس را در هر موقعیتی مدیریت می کنید،‌ممکن است در معرض فاش شدن قرار گیرند در نتیجه باید برای مدیریت امن تر این داده ها،‌ خط مشی های ویژه ای داشته باشید.
به عنوان مثال، زمانی که برخی از کدها، رمز عبور را از کاربر به صورت متن ساده می گیرند، بافر های حافظه از رمز عبور عکس می گیرند و سپس این رمز عبور را برای احراز هویت انتقال می دهد و به عنوان بخشی از فرآیند احراز هویت باید این رمز عبور را حذف نماید. اگر این کار را انجام ندهید،‌اطلاعات در معرض خطر قرار می گیرند. این کار را می توانید به عنوان یک عملیات خودکار انجام دهید. در نتیجه اگر یک مرحله با شکست مواجه شود، به مرحله قبل بر می گردد.
اما حملات شبکه بین مهمانانی که بر روی یک سرور در یک آرایه سرور مجازی یا کلاستر میزبانی می شوند، چگونه است؟ آیا می توان آن ها را تشخیص داد؟ مشکل آن است که شما می توانید ترافیک هر VM‌ را مشاهده کنید، اما نمی توانید تشخیص دهید که آیا این ترافیک مجاز است یا نه حتی اگر کنترل های امنیتی را در محل رعایت نمایید. چندین راه حل ممکن برای این کار وجود دارد. یکی از این کارها آن است که کاربر VM‌ می تواند به سادگی برای نرافیک های مبتنی بر سیستم عامل از فیلترینگ و فایروال استفاده نماید، و راه حل دیگر آن است که شما می توانید از نمونه های مجازی جدید از مدیریت شبکه سنتی و راه حل های نظارتی مانند سیسکو 1000v استفاده کنید.
اگر از VMهای چندگانه و دارای سیستم عامل داخلی استفاده می کنید که باید در محیط ابر به صورت پویا کار کنند، باید الزاماتی را رعایت نمایید. اگر آدرس IP‌ یک VM‌ هنگام انتقال از یک میزبان به میزبان دیگر تغییر کند و برای قواعد فایروال از آدرس دهی استاتیک استفاده شود، در این حالت فیلتر فایروال از کار می افتد. مجازی سازی شبکه نیاز به یک واسط شبکه برای VM دارد. این واسط ممکن است یک کارت شبکه مجازی چندکاره باشد که تمامی عملیات سوئیچینگ و مسیریابی را در شبکه مدیریت می کند.
بسیاری از hypervisorها (به عنوان مثال Hyper-V مایکروسافت)، دارای سوئیچ های مجازی می باشد که بین کارت شبکه های مجازی سرور و کارت شبکه های مجازی استفاده شده توسط VMها استفاده می شود.
روش دیگری که برای محدود کردن ترافیک بین VMها می توان به کار برد، استفاده از مکان های فیزیکی و جداسازی ناحیه های مختلف امنیتی می باشد. VMها باید برای صاحبان آن قابل ردیابی باشند و باید تنها بر روی سرورهای میزبان قرار گیرند. ‌
برای این کار، نیاز به پشتیبانی VLANها فراتر از زیرساخت شبکه هسته می باشد. خبر خوب آن است که امروزه راه حل هایی مانند Hyper-V و پشتیبانی ESX‌ وجود دارند. با این حال، این راه حل ها برای پشتیبانی ابرهای پویای بزرگ به قابلیت های VLAN احتیاج دارند.
آخرین نقطه نظر امنیتی آن است که فروشندگان این محصولات در تلاش اند تا برای راه حل های خود گواهینامه های امنیتی بگیرند. آن ها می دانند که مجازی سازی دارای مدیریت زیرساخت بسیار پیچیده است و زمانی که شما جنبه های کلیدی دیگر محاسبات ابر را معرفی می کنید، اتوماسیون عظیم برای حمایت از مقیاس های بزرگ، الاستیسیته و الزامات سلف سرویس استفاده می شود. به دلیل وجود اتوماسیون و مقیاس، نیاز است تا بوسیله معماری، برنامه ریزی و مدیریت، خطر در محیط های ابر مجازی را مدیریت کنید. اتوماسیون مدیریت، محیط ابر مجازی را قادر می سازد تا امنیت بهتری داشته باشند.