Защищенное частное облако базируется на одном или нескольких гипервизорах. Тип гипервизора роли не играет — чаще всего используются платформы VMware (ESXi) или Microsoft (Hyper-V). Для защиты виртуальной инфраструктуры от внешних атак из глобальной сети Internet, несанкционированного доступа администраторов гипервизоров и технического персонала дата-центров применяется комплекс средств защиты информации ИМДТех, обеспечивающий изоляцию сетевого трафика, консолей виртуальных машин, виртуальных жестких дисков и сменных накопителей.
В условиях размещения корпоративных мощностей в коммерческих дата-центрах традиционные периметровые средства безопасности становятся недостаточными. Виртуальная машина подвергается угрозам со стороны персонала хостинг-провайдера, имеющего прямой доступ к хранилищам данных (LUN/Datastore), гипервизору и физическим портам серверных платформ.
Комплекс средств защиты информации ООО «ИМДТех» изолирует виртуальную среду на уровне ядра гостевой операционной системы. Виртуальная сеть в облачной среде становится защищенной по всем основным группам рисков: предотвращаются как внешние сетевые проникновения, так и скрытые действия администраторов виртуализации. При этом для всех легальных пользователей и прикладных информационных систем работа с защищенными виртуальными машинами ничем не отличается от работы с обычной инфраструктурой.
Детальный регламент нейтрализации ключевых угроз виртуализации, защиты данных и контроля каналов доступа.
Первичным вопросом безопасности частного облака является безопасное подключение пользователей к его ресурсам через открытую сеть Internet. Для решения данной задачи развертывается специально выделенный виртуальный сервер подключений с установленным защищенным каналом.
Внешние подключения осуществляются исключительно через защищенный канал на сетевом уровне только для зарегистрированных клиентов. Для всех остальных попыток соединений и сканеров сервер полностью недоступен (не отвечает на сетевые запросы). Для пользователей подключение является прозрачным — сохраняется привычная работа с офисными и специализированными приложениями.
Критической угрозой виртуальной машины является доступ к информации на виртуальных жестких дисках: злоумышленник или персонал дата-центра может скопировать файл виртуального диска (VMDK или VHDX) либо попытаться загрузить виртуальную машину со стороннего сменного носителя (LiveCD, DVD-ROM или ISO-образ).
Система защиты жестких дисков ИМДТех обеспечивает гарантированную невозможность извлечения данных как при копировании файла виртуального диска, так и при попытке загрузки с постороннего носителя. Вне доверенной виртуальной машины образ представляет собой неструктурированный криптографический массив. Для легальных пользователей работа ничем не отличается от стандартной — система функционирует прозрачно.
Гипервизоры, на основе которых функционируют облачные среды, позволяют администраторам получать прямой доступ к графическим и текстовым консолям виртуальных машин через vSphere Client или Hyper-V Manager, что ставит под угрозу обрабатываемую информацию.
Используемая система блокировки консоли делает невозможным несанкционированный доступ к экрану и устройствам ввода виртуальной машины со стороны администраторов физического сервера. Дополнительно система позволяет доверенным администраторам безопасности удаленно выполнять ряд специализированных управляющих функций с полномочиями ядра операционной системы.
Потенциальной угрозой безопасности виртуальной машины является проброс сменных накопителей (USB Flash, внешних дисков) через физические порты компьютера гипервизора облачной среды.
Специализированная система блокировки сменных накопителей перехватывает попытки монтирования устройств на уровне виртуального контроллера шины и делает невозможным подключение накопителей к виртуальной машине. Это исключает утечку данных на съемные носители в ЦОД и защищает гостевую систему от внедрения вредоносных программ.
Все механизмы защиты ядра ИМДТех спроектированы таким образом, чтобы не нарушать функционирование корпоративного программного обеспечения. Системы управления базами данных (1С:Предприятие, PostgreSQL, Microsoft SQL Server, Oracle) и почтовые серверы работают в штатном режиме.
Криптографические преобразования дисковых секторов осуществляются на лету при обращении к дисковой подсистеме. Пользователи и администраторы приложений работают с привычными сетевыми интерфейсами и сервисами, не замечая присутствия средств криптографической защиты.
Защищенное частное облако может функционировать на базе одного или нескольких гипервизоров различных производителей. Архитектура решения не зависит от конкретной марки серверов, систем хранения данных (SAN/NAS) или используемой виртуализации.
Поддерживаются ведущие гипервизоры корпоративного класса: VMware ESXi, Microsoft Hyper-V, KVM, Proxmox VE и отечественные платформы виртуализации. Внутри виртуальных машин обеспечивается надежная работа операционных систем семейств Windows Server и Linux (включая Astra Linux Special Edition и РЕД ОС).
Использование оптимизированных криптографических алгоритмов с аппаратной поддержкой векторных процессорных инструкций (AES-NI) сводит задержки при дисковом вводе-выводе к минимуму.
Снижение скорости дисковых операций при постоянной нагрузке не превышает 1.2–1.8%, что позволяет эксплуатировать в защищенном контуре высоконагруженные СУБД, аналитические комплексы и системы резервного копирования без деградации времени отклика.