Обеспечение безопасности виртуальных, облачных и гибридных сред является важной задачей для любого бизнеса. Использование обычных антивирусов, защищающих конечные точки, в виртуальной среде не всегда оправдано из-за избыточного потребления ресурсов. В этом посте мы рассмотрим ключевые аспекты и варианты подходов к защите такой инфраструктуры, а также расскажем о наиболее актуальном сейчас на рынке решении – Kaspersky Security для виртуальных и облачных сред.

Виртуализация

Виртуализация представляет собой развертывание отдельных рабочих машин (VDI – Virtual Desktop Infrastructure) или веб-серверов внутри операционной системы сервера (хоста). Для виртуальных машин используются «золотые образы» – шаблоны рабочих машин с предустановленными ОС и необходимыми программами. Такой подход имеет массу преимуществ по сравнению с классическими персональными компьютерами  для сотрудников – быстрое развертывание тестовых и продуктовых сред, удаленная работа на «своей» машине, эффективное использование ресурсов благодаря их перераспределению и балансировке нагрузки, отказоустойчивость, быстрое восстановление работоспособности за счет кластерной архитектуры. Как следствие, все больше компаний используют виртуальную инфраструктуру в продуктивной среде, переносят ее в облако, используют гибридный подход с использованием одних и тех же рабочих образов как в виртуальном окружении, так и на отдельных ПК.

Все это означает, что виртуальные машины мало чем отличаются от обычных, и их точно так же необходимо защищать от угроз. Можно ли использовать для их защиты те же средства, что и на обычных ПК – защиту конечных узлов, т.е. стандартный антивирус, установленный непосредственно в «золотом образе»? Такой подход применялся и применяется достаточно широко, поскольку, на первый взгляд, предоставляет определенные преимущества: на каждой конечной точке установлено полнофункциональное средство защиты, не зависящее ни от среды, ни от гипервизора, подходящее и для физических, и для виртуальных машин. Однако есть и ряд минусов:

- Антивирусное ядро присутствует на каждой виртуальной машине хоста и работает независимо от соседних. Это значит, что ядра не могут использовать результаты сканирования «коллег», одни и те же операции выполняются на каждой машине, что ведет к дополнительной нагрузке на диски, сеть, CPU, RAM.

- Возникают «штормы» обновлений и проверок, когда антивирусные ядра начинают проверять и скачивать патчи и новые базы. Как правило, у локальных антивирусов есть график подобных обновлений, поэтому все виртуальные машины запускают их одновременно, что создает избыточную нагрузку на хосте, дисковом массиве и в сети.

- Появляется окна уязвимости при запуске давно не использовавшихся виртуальных машин. Их антивирусные базы за время простоя устарели, и во время обновления после запуска эти машины оказываются беззащитны перед угрозами.

Как следствие, потребовался специализированный класс решений, предназначенных для защиты именно виртуальных сред.

Способы защиты виртуальных машин

Для избавления от минусов традиционных эндпоинтных решений в виртуальной среде применяется централизация безопасности. Она подразумевает выделение отдельной виртуальной машины с общим антивирусным ядром (сервера защиты), отвечающей за безопасность рабочих мест. Централизация устраняет избыточность данных и операций на машинах в сети, снижает потребление ресурсов виртуализации на треть, уменьшает число операций ввода-вывода и занятое дисковое пространство, снижает нагрузку на процессоры. Освобожденные ресурсы могут быть перераспределены на развертывание новых виртуальных машин. Поскольку антивирусное ядро одно, нет «штормов» обновлений.

Централизованный подход реализуется одним из двух способов: безагентская защита или использование легкого агента.

Безагентская защита

Для безагентской защиты применяется специализированное решение для VMware с поддержкой технологии NSX – платформы сетевой виртуализации и безопасности, работающей на уровне служб. Допускается подключение внешних служб, расширяющих ее функциональность – в данном случае это антивирус и защита от сетевых угроз. Объекты с виртуальных машин отправляются на проверку на сервер безопасности, как в автоматическом, так и ручном режиме, а сетевая защита анализирует активность, обнаруживает вредоносные и фишинговые ссылки. Наличие общего кэша уже проанализированных файлов позволяет не тратить ресурсы на повторную проверку. Такой подход обеспечивает высокий уровень консолидации виртуальных машин и хорошую защиту от угроз без негативного влияния на производительность самих систем. К плюсам стоит отнести:

+ Новые виртуальные машины сразу, при первом же включении, оказываются внутри защищенного контура, на них не надо ничего устанавливать. Развертывание можно проводить автоматически, что особенно актуально для динамических сред, где создание и удаление систем происходит достаточно часто.

+ Поскольку защита полностью отделена от самих виртуальных машин, у нее не может быть проблем совместимости с их операционными системами.

+ Изоляция компонентов защиты также не позволяет злоумышленнику, каким-то образом проникшему внутрь виртуальной машины, отключить или перенастроить антивирус.

+ Есть возможность проверки выключенных виртуальных машин.

Есть у безагентского подхода и свои минусы:

- Из-за использования технологии NSX решение доступно только для платформы VMware.

- Ограниченный функционал API։ доступна только проверка файлов и защита от сетевых угроз (что делает этот подход эффективным при защите веб-серверов, где нет почтовых программ, и никто не запускает подозрительные файлы).

- Ограниченные возможности мониторинга.

Легкий агент

Вариант легкого агента подразумевает установку на каждой виртуальной машине двух программ – агента администрирования и самого легкого агента. Первый получает от сервера безопасности настройки и пересылает ему события, второй может выполнять некоторое количество наименее ресурсоемких операций. Файлы, почтовый и веб трафик агент передает на центральный сервер для проверки, локально работают сетевой экран, мониторинг системы, контроль программ, а также проверяются ссылки в почте и на сайтах, поскольку база данных для этого функционала обладает небольшими размерами. Сервер безопасности имеет кэш, куда помещаются все исследованные объекты с датой проверки и версией баз, что позволяет мгновенно возвращать уже проанализированные по запросу другой виртуальной машины файлы. Этот подход оптимизирован под виртуальную инфраструктуру и представляет собой оптимальное решение для защиты рабочих мест. Его преимущества:

+ Предоставляется полнофункциональная защита конечных точек, сравнимая с обычным локальным антивирусом, например, Kaspersky Endpoint Security.

+ Поддержка большого количества платформ виртуализации, нет привязки к VMware и гипервизору․

+ Отсутствует необходимость установки сервера безопасности на каждом хосте, есть возможность обращаться к нему по сети. Это также означает, что в случае выхода из строя такого сервера на отдельном хосте машины смогут обращаться к «соседскому»: скорость работы несколько упадет, но безопасность останется на прежнем уровне.

+ Отсутствуют «штормы» обновлений, поскольку основная база хранится на сервере с антивирусным ядром, а локальные обладают минимальными размерами.

Минус такого подхода один: на каждую виртуальную машину требуется установка двух агентов. Впрочем, благодаря их компактности, это легко выполняется на уровне «золотого образа».

Kaspersky Security для виртуальных и облачных сред

Kaspersky Security для виртуальных и облачных сред представляет собой комплексное решение, включающее оба подхода к обеспечению безопасности гибридной инфраструктуры предприятия.  Продукт предлагает многоуровневую активную защиту, способную противостоять большинству кибератак, интеграцию с глобальной постоянно обновляемой базой знаний «Лаборатории Касперского» и алгоритмы машинного обучения для обнаружения новых угроз при минимальном числе ложных срабатываний. Решение совместимо с разнообразными платформами, может быть развернуто на любых хостах – физических и виртуальных, в частном, публичном или гибридном облаке, – и легко интегрируется с внешними облачными службами, что позволяет внедрять методы DevOps. Единая облачная консоль управления упрощает контроль безопасности, а инвентаризация инфраструктуры и развертывание в удаленном режиме обеспечивают прозрачность.

Централизованный подход с использованием общего сервера безопасности устраняет избыточность операций, обеспечивает снижение потребление ресурсов виртуализации на 30%. Решение соответствует всем необходимым стандартам и нормативным требованием, что делает его наиболее рациональным выбором для решения задачи защиты виртуальной или гибридной инфраструктуры компании.

А для комплексной защиты всех облачных нагрузок на всех уровнях, в том числе, в контейнерных средах, «Лаборатория Касперского» предлагает новое решение Kaspersky Cloud Workload Security, объединяющее преимущества Kaspersky Security для виртуальных и облачных сред и специализированного решения Kaspersky Container Security.