Riesgos actuales en entornos virtualizados

• Evolución de la virtualización
• Gobierno y gestión en entornos virtuales
• Riesgos actuales en entornos virtuales
• Seguridad en virtualización de servidores y red
• Recomendaciones y conclusiones

Seleccionar plataforma y estándar de evaluaciónSeleccionar plataforma y estándar de evaluación
Identificar los riesgos y requerimientos de
control
Identificar los riesgos y requerimientos de
control
Conocer las necesidades de
aplicación para el Negocio
Conocer las necesidades de
aplicación para el Negocio

MAINFRAME - OS 360
Permite crear máquinas virtuales
dentro de la unidad central
Creación a través de software de una versión virtual de
algún recurso tecnológico, como puede ser una
plataforma de hardware, un sistema operativo, un
dispositivo de almacenamiento u otros recursos de red
La tecnología de virtualización tiene su origen en los sistemas de ordenadores centrales

Capa de abstracción entre el hardware de la máquina
física (host) y el sistema operativo de la máquina virtual
(virtual machine, guest), dividiéndose el recurso en uno
o más entornos de ejecución
Los cuatro recursos principales de una computadora
CPU, Memoria, Dispositivos Periféricos y Conexiones de Red
HIPERVISOR
HOST
GUEST

Uso actual a nivel
de Servidores y
Desktops
Cuidado con
el uso local !!!
La máquina virtual simula una plataforma de hardware autónoma incluyendo un
sistema operativo completo que se ejecuta como si estuviera instalado.
Se puede virtualizar el hardware de servidor, el software de servidor, virtualizar
sesiones de usuario, virtualizar aplicaciones y también crear máquinas virtuales en una
computadora de escritorio

• Reducción de costos y mejora de los niveles de servicio
• Gestión y administración simplificada de infraestructura
• Facilidad de disponer de entornos de desarrollo/testing
• Resuelve problemas de falta de capacidad o rendimiento
de aplicación
• Permite a las empresas facilidad de escalabilidad
• Facilita las soluciones orientadas a la implementación de
continuidad operativa (DRP/BCP)

• Perfil de seguridad aprobado y de acuerdo con las directivas establecidas
• Control de versión adecuada de SO y sus actualizaciones correctas a la
hora de implementar nuevas VM
• Análisis de capacidad para verificar si hay recursos apropiados disponibles
para las nuevas VM
• Afectación de una nueva VM al rendimiento y a la seguridad de otras VM
en la misma máquina anfitriona
• Análisis regular de VMs inactivas en busca de vulnerabilidades conocidas
y se instalan y actualizan las revisiones de seguridad
• Verificación de bajas de la infraestructura virtual de las VM retiradas
• Las vulnerabilidades de los entornos físicos son también aplicables a los
entornos virtuales.
• Los hipervisors crean una nueva superficie susceptible de ataque.
• Los entornos virtuales presentan una mayor complejidad.

• Riesgos de cumplimiento en la exposición negativa a datos previamente
asociados a una VM retirada
• La virtualización acaba con el modelo de implementación según el cual
cada servidor físico cumple una sola función.
• Coexisten en el mismo anfitrión físico varias máquinas virtuales (VM) con
distintos niveles de confianza (por ejemplo, las aplicaciones orientadas al
interior y al exterior y las distintas directivas de seguridad).
• No hay separación de tareas entre los administradores del sistema, pues
todos necesitan tener acceso a los entornos virtuales.
• Falta de revisiones y actualizaciones para las VM inactivas.
• Registro y seguimiento insuficientes en el entorno virtual.
• Filtración de información entre los segmentos y los componentes de las
redes virtuales.

1. Nuevas vulnerabilidades
• 259 vulnerabilidades en software de virtualización.
• Nuevos tipos de ataques (HyperJacking, Hypervisor Escape, Ataques a VM)
2. Mayor superficie de ataque
• Los Hypervisors tienen los mismos riesgos que el resto de los equipos.
• Las herramientas de gestión de virtualización generan nuevos vectores de
ataques.
• El Hypervisor pasa a ser un nuevo vector de ataque.
3. Mayor flexibilidad incrementa los riesgos de seguridad
• La virtualización crea una nueva capa de infraestructura que es necesario
planificar, asegurar y controlar.
• Los entornos virtuales son dinámicos por diseño.
• La facilidad de crear y clonar VM genera riesgos de crear nuevos equipos
inseguros y sin control.
• Intrusos internos pueden generar un daño masivo rapidamente.

GobiernoGobierno
Gestión de
Riesgo
Gestión de
Riesgo
EducaciónEducación CumplimientoCumplimiento
Reinvertir en controles
AHORRO
4. Incremento de riesgos
• Pérdida de la gobernabilidad
• Riesgos de cumplimiento y conformidad legal
• Filtración de información entre los segmentos y los componentes de las redes
virtuales, información confidencial contenida en imágenes de las VM.
• Algunos componentes virtuales no tienen el mismo nivel de control de acceso ,
registro y seguimiento que sus contrapartes físicas.
• Falta de restricciones en los límites perimetrales entre diferentes entornos

Gobierno y Gestión de Riesgo
• Invertir parte del ahorro en controles
• Implementar un Programa de Seguridad de la Información para entornos virtuales
• Evaluar los procesos de gestión de IT
• Métricas de cumplimiento
• Exigir evaluaciones de vulnerabilidad y pentest
• Estrategia de gestión de riesgos
• Establecer revisiones y auditorias periódicas
Gobierno y Gestión de Riesgo
• Invertir parte del ahorro en controles
• Implementar un Programa de Seguridad de la Información para entornos virtuales
• Evaluar los procesos de gestión de IT
• Métricas de cumplimiento
• Exigir evaluaciones de vulnerabilidad y pentest
• Estrategia de gestión de riesgos
• Establecer revisiones y auditorias periódicas
Educación y Cumplimiento
• Verificar la capacitación continua del personal que administra entornos virtuales
• Asegurar la participación de personal debidamente certificado
• Verificar la capacitación en la plataforma ante cambio o ingreso de personal
• Establecer un cronograma anual de capacitación
• Verificar periódicamente la gestión de entornos virtuales
• Auditar políticas, procesos y procedimientos de continuidad
• Verificar el Marco Normativo y su cumplimiento en la gestión del servicio
Educación y Cumplimiento
• Verificar la capacitación continua del personal que administra entornos virtuales
• Asegurar la participación de personal debidamente certificado
• Verificar la capacitación en la plataforma ante cambio o ingreso de personal
• Establecer un cronograma anual de capacitación
• Verificar periódicamente la gestión de entornos virtuales
• Auditar políticas, procesos y procedimientos de continuidad
• Verificar el Marco Normativo y su cumplimiento en la gestión del servicio

Y si tengo muchas
zonas de seguridad.
¿Cómo aprovecho la
tecnología de
virtualización?

DMZ1
MV0 MV1
DMZ2
MV2 MV3
Proveedores
MV0 MV1
Entidades
Externas
MV2 MV3
LAN

Problemáticas de
seguridad conocidas.
Riesgos inherentes a la
tecnología de virtualización

Datacenter
(Externalizar)
• ¿Cómo garantizar que se aplican las directivas de seguridad adecuadas al
trasladar VM individuales de un anfitrión físico o centro de datos a otro?
• ¿Qué sucede cuando una VM es trasladada a una máquina anfitriona física con
un nivel distinto de protección de seguridad?
• ¿Cómo se protege una VM al migrarla de un anfitrión físico a otro?

“Aprender” la seguridad de una nueva tecnología
Seguridad del Server HOST o del Storage a través de la aplicación de permisos de
acceso a las maquinas virtuales
Cada máquina virtual (VM) y aplicación
hacen pasar su tráfico de red a través del
hipervisor de camino a otros sistemas
virtuales o físicos o a dispositivos
Cada máquina virtual (VM) y aplicación
hacen pasar su tráfico de red a través del
hipervisor de camino a otros sistemas
virtuales o físicos o a dispositivos
Los sistemas de protección
habituales no visualizan el
tráfico entre máquinas
virtuales
Los sistemas de protección
habituales no visualizan el
tráfico entre máquinas
virtuales
VM inactivas y las
migraciones de VM
VM inactivas y las
migraciones de VM

Switch
virtual
(vSwitch)
Switch
virtual
(vSwitch)
vSwitch
Host (Hypervisor)
Grupo de
puertos
Grupo de
puertos
MV
0
MV1 MV2 MV3
Máquina
virtual
(MV)
Máquina
virtual
(MV)
NIC virtual
(vnic)
NIC virtual
(vnic)
Consola de
servidor
(puerto de
gestión)
Consola de
servidor
(puerto de
gestión)
Vmkernel
(puerto para IP
Storage y
VMotion)
Vmkernel
(puerto para IP
Storage y
VMotion)
NIC física
(vmnic o pnic)
NIC física
(vmnic o pnic)
Switch físicoSwitch físico
LAN
ADM vmkernel
Permitirle a una VM
conectarse a
Internet o abarcar
diferentes
segmentos de red.
Los firewalls e IDS/IPS
tradicionales están instalados en
segmentos de redes físicas, y por
ello no pueden proteger las VM
de manera adecuada
Los firewalls e IDS/IPS
tradicionales están instalados en
segmentos de redes físicas, y por
ello no pueden proteger las VM
de manera adecuada

HIPERVISOR
Internet
LAN
Interna
DMZ DC/Win FS
Mail/Win

HIPERVISOR
Internet
DMZ
Mail/Win
HIPERVISOR
LAN Interna
DC/Win FS
FW Físico

HIPERVISOR
Actualizaciones
Agentes
Datos sobre amenazas
Actualizaciones
Agentes
Datos sobre amenazas
Para supervisar y proteger el tráfico
entre las VM, se necesitan soluciones
de seguridad diseñadas para
funcionar en un entorno virtual
Para supervisar y proteger el tráfico
entre las VM, se necesitan soluciones
de seguridad diseñadas para
funcionar en un entorno virtual

DMZ 1
MV0 MV1 MV2 MV3 MV2 MV3 MV2 MV3
DMZ 2 Proveedores Ent. Externas
Internet
LAN
LAN
ADM
ADM
Firewalls virtuales
• Utilización de roles para
segregar las tareas de
administración
• Documentar
adecuadamente.
Monitoreo de logs del
Hypervisor
Centralización de logs del
hypervisor y monitoreo de
los mismos para detección
de anomalías.
Administración, backup,
centralización de LOGS.

• El acceso se debe realizar a través de la red de management.
• En lo posible el Hypervisor no debe tener una IP propia asignada en el segmento LAN.
• Si posee una dirección IP, debe estar filtrada solo a los usuarios autorizados.
LAN
DC/W2k AS/Linux
Management

Gestión de roles de administración
Se deben definir los roles de
administración del Hypervisor incluyendo
creación, apagado, encendido, clonación,
movimiento, etc. de las máquinas
virtuales existentes.
Admin (sobre)
Admin full (no puede admin roles)
Admin Hypervisor
Admin VM
Auditoría
Admin red virtual
Seguridad Informática
Documentación normativa y de soporte
Deben crearse documentos normativos y
de gestión/administración específico del
entorno y sus particularidades,
incluyendo estándares de configuración

• Seguridad del Hypervisor o Sistema Operativo Host
• Vulnerabilidades del Hypervisor
• Aplicación de patches de seguridad a nivel de Hypervisor.

Reingeniería de riesgosReingeniería de riesgos
Actividades y controles específicos para
la plataforma y su administración
Actividades y controles específicos para
la plataforma y su administración
Tecnología y Operaciones
Proyectos y procesos funcionales
Tecnología y Operaciones
Proyectos y procesos funcionales

PLATAFORMAS
Proyecto
Clonación
Plantilla de
software de base
Puede no
mantener nombre
de máquina
Clonación
completa
Mantiene nombre
de máquina
Instalación nueva
+ Copia de
entorno App
No mantiene
nombre de
máquina
Operaciones
Nuevas
Aplicaciones
Arquitectura
(SO + BD)
Tecnología
Renovación
tecnológica
Arquitectura
(SO + BD)
Tecnología
SEGURIDAD - COMPLIANCE
OPERACIONES

Proyecto 1
Clonación
Plantilla de software
de base (GUEST)
Puede no mantener
nombre de máquina
Clonación completa
Mantiene nombre
de máquina
Instalación nueva +
Copia de entorno
App
Se trabaja sobre una plantilla de software de base (SO
+ BD). Esta plantilla no está validada con los nuevos
estándares
Se efectúa copia fiel del servidor y se pasa
con todos los parámetros configurados. Si
el servidor está remediado, el cambio es
transparente ya que tampoco cambia el
nombre
Proyecto 2Proyecto 2
SUCEDE EXCEPCIONALMENTE
Instalación nueva o plantilla de software de base (SO + BD). No está
validada contra los nuevos estándares
Equipo de
proyecto
NOTA: Las máquinas con nuevos
nombres salen bajo la nueva
nomenclatura alfanumérica
SRV5003sv [código alfanumérico]
NOTA: Las máquinas con nuevos
nombres salen bajo la nueva
nomenclatura alfanumérica
SRV5003sv [código alfanumérico]
SEGURIDAD - COMPLIANCE
TECNOLOGÍA

El entorno virtual y los controles
Identificando lo tangible para tomar medidas
Conocer las necesidades
de aplicación para el
Negocio
Conocer las necesidades
de aplicación para el
Negocio
Seleccionar estándar de
evaluación en base a la
plataforma
Seleccionar estándar de
evaluación en base a la
plataforma
Identificar los riesgos y
requerimientos de
control
Identificar los riesgos y
requerimientos de
control

• Firewalls físicos y segmentación de red a nivel de
infraestructura física
• Los firewalls virtuales en el hipervisor y a nivel de máquinas
virtuales
• Etiquetado VLAN o zonificación, además de firewalls
• Los sistemas de prevención de intrusiones en el hipervisor y/o a
nivel de máquina virtual para detectar y bloquear el tráfico no
deseado
• Herramientas de prevención de pérdidas de datos en el
hipervisor y/o nivel de máquina virtual
• Controles para evitar que las comunicaciones se propaguen
hacia la infraestructura subyacente
• La separación de funciones y la supervisión administrativa

El proceso y diseño de virtualización se debe llevar a cabo
teniendo en cuenta como gobernar y administrar la seguridad y cumplimiento en el
uso de la nueva tecnología.
Los riesgos existentes son elevados, ya que se puede
poner en riesgo la continuidad de la operación y el acceso
no autorizado a información confidencial.
Se debe trabajar en conjunto con el área de IT y Auditoría
para coordinar la gestión y el monitoreo de cada uno de los componentes de la
plataforma.
Se deben incluir aspectos adicionales en la Gestión de identidades y de acceso en
función de la evolución de la plataforma en relación a la seguridad en virtualización,
incluyendo acceso alHypervisor y componentes internos, interfaces y APIs, seguridad
de sistemas Cliente y control de ambientes compartidos

http://web.nvd.nist.gov/view/vuln/search-results?query=vmware&search_type=all&cves=on
http://www.cve.mitre.org/cgi-bin/cvekey.cgi?keyword=vmware
http://search.iss.net/Search.do?keyword=vmware&searchType=keywd&x=0&y=0

Riesgos actuales en entornos virtualizados

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Destaque

Destaque (13)

Semelhante a Riesgos actuales en entornos virtualizados

Semelhante a Riesgos actuales en entornos virtualizados (20)

Mais de Fabián Descalzo

Mais de Fabián Descalzo (20)

Último

Último (6)

Riesgos actuales en entornos virtualizados