Para la exitosa virtualización de un entorno no sólo basta con la simple conversión de un servidor real a uno virtual, colocándolo en los sistemas existentes. También resulta fundamental evaluar el impacto en la arquitectura de seguridad para así obtener los máximos resultados, sin poner en riesgo a la organización.
Los beneficios de la virtualización son claros y existe consenso en torno a ellos. Por un lado, puede ayudar a reducir el espacio físico del data center, mediante un uso más efectivo del hardware de servidores y almacenamiento. Por otro lado, se puede aumentar la velocidad de implementación de nuevos servidores y aplicaciones, lo que permite reducir los costos de operación. Además, es posible tomar con mayor facilidad medidas para mejorar la recuperación ante desastres y por ende, mejorar la continuidad del negocio.
Sin embargo, es importante tener una idea clara acerca de cómo la virtualización afectará el ambiente operacional y a las aplicaciones que se están ejecutando y cómo impactará en los niveles de riesgo existentes. Por ejemplo, si un servidor virtual donde se levanta un sitio web se ve comprometido, el atacante podría avanzar sobre otras máquinas virtuales en el mismo host sin ser detectado por los sistemas tradicionales. En este sentido, es fundamental reconocer los nuevos desafíos y tomar las medidas adecuadas.
Recomendaciones
Para realizar una exitosa virtualización, le recomendamos implementar las siguientes prácticas:
1) Verificar que los proveedores de software ofrezcan soporte para las aplicaciones que se ejecutan en un entorno virtualizado: Esto debe estar resuelto antes de mover una aplicación desde el ambiente tradicional al virtualizado, lo cual es elemental en aplicaciones de misión crítica. Además, se debe constatar con el vendor la versión de aplicación, sistema operativo de guest o máquina virtual y solución de virtualización que se esté utilizando. Un caso especial de esto son los mecanismos de protección contra intrusiones de host (que ahora operan dentro del servidor virtual) que deben seguir operando de manera similar a cómo lo harían en un servidor independiente. Por lo tanto, se debe comprobar que este software de prevención de intrusos opere adecuadamente dentro del entorno virtual.
2) Actualización de políticas y procedimientos de seguridad: En el entorno virtualizado se dispone de varios sistemas virtuales que se ejecutan en el mismo servidor físico, típicamente compartiendo almacenamiento de datos, memoria y periféricos de hardware. En este sentido, se debe actualizar los requisitos de seguridad y políticas respecto a recursos compartidos de manera segura y controlada.
3) Tener en cuenta el host dentro de los procedimientos de seguridad: Así como el servidor de producción se encuentra bajo políticas de seguridad, es muy importante que el sistema operativo del host de servidores virtuales también sea cerrado, siguiendo las mejores prácticas recomendadas por el fabricante de dicho sistema operativo o bien del proveedor del hipervisor.
4) Control de acceso adecuado a la infraestructura: Como la implementación de la solución virtualizada posibilita controlar una máquina en forma remota -accediendo a la consola de la misma-, se deben tomar las medidas apropiadas de control en el acceso al host. Esto es así pues se deben implementar mecanismos para mitigar el riesgo de que inadvertidamente se apague, reinicie o incluso elimine una máquina virtual. Los permisos relacionados con los archivos que conforman las máquinas virtuales también tienen que ser estrictos y constantemente monitoreados y auditados. Además, se debe restringir el acceso a los cambios en la configuración del servidor.
5) Crear DMZ específicas para los servidores virtuales: Cuando está definido qué sistemas o aplicaciones son seguros para migrar a un ambiente virtualizado, la recomendación es que los servidores virtuales que se ejecutan juntos en una misma plataforma de hardware, compartan similares requisitos de seguridad. Esto permite simplificar la configuración de políticas de seguridad en los equipos de red que están fuera del ambiente virtual. Aunque existen herramientas para controlar esto dentro del ambiente virtual, resulta más simple, desde el punto de vista de la operación, que las máquinas virtuales existan en una misma subred y puedan comunicarse entre sí para manejar las transacciones usando el switch virtual, sin tener que pasar por un firewall externo. Si esto fuera difícil de llevar a la práctica, se debe evaluar el uso de un firewall que pueda implementarse dentro del ambiente virtualizado.
6) Cambios en la arquitectura de inspección o análisis de tráfico: Se debe tener en cuenta que, al usar múltiples servidores virtuales en un hardware compartido, se tendrá la adición del tráfico de varios sistemas en pocas interfaces de red. Por ende, y en función de los valores que se requiera, puede ser necesario re-evaluar el dimensionamiento de las plataformas de monitoreo, así como las modificaciones que se hayan hecho en la red para la habilitación de las mismas (portmirroring o similares). En este punto, es recomendable evaluar el reemplazo del switch virtual estándar por otro que permita tener un mejor control de las operaciones de la red.
7) Verificar el impacto en los planes de respuesta a incidentes: Luego de decidir implementar sistemas virtuales en un entorno, existen procedimientos, como la respuesta a incidentes en los sistemas, que deben ser manejados de otro modo. El plan de respuesta a incidentes en el ambiente virtualizado debe modificarse para considerar el análisis en los otros sistemas que se ejecutan en el mismo host de máquinas virtuales, y, asimismo, de la plataforma host como tal. En la práctica, si existe un incidente de seguridad en una máquina virtual se recomienda “sospechar” de las demás máquinas en el mismo host para garantizar una contención adecuada.
8) Evaluar sistemas a virtualizar: Es importante evaluar el mantenimiento de algunos servicios críticos, como la autenticación y servicios de directorio, en sistemas dedicados. La mayoría de las veces, el Active Directory, servidores de tokens one-time-password y los servidores Radius no se deben ejecutar en entornos virtualizados. Las excepciones a esto se encuentran en los planes de recuperación de desastres.
