Llegamos a ustedes gracias a:



Reportajes y análisis

Asegurando su ambiente virtualizado

Tres experiencias y sus resultados

[24/05/2009] La virtualización promete hacer a los departamentos de TI más flexibles, más eficientes y —quizás- algo más crucial en estos tiempos duros, más frugales. Pero una ventaja que la tecnología no provee es un escape de la necesidad de medidas de seguridad más fuertes.

Tan pronto como empezó a planear su proyecto de virtualización Novell, Noah Broadwater se dio cuenta de que estaba buscando una iniciativa que requiriera tanto una continuación de prácticas de seguridad existentes, como un análisis de cualquier peligro que pudiera ser creado por la nueva tecnología.
Era evidente que la virtualización demandaba una mirada más de cerca, señaló Broadwater, quien es vicepresidente de servicios de información en el productor de medios para niños basada en Nueva York, Sesame Workshop. Sobre todas las cosas, teníamos que asegurarnos de que estaríamos seguros en todos los frentes.
Neil MacDonald, un analista de Gartner Inc., dice que la virtualización está abriendo nuevas puertas para los departamentos de TI así como para gente que busca entrometerse con servicios y datos críticos. Quienes vayan a adoptar esta tecnología pueden esperar que el software virtualizado, como el software hipervisor, sean blancos de ataque, señaló. Por lo tanto, la planeación de la seguridad de virtualización debe ser tomada en cuenta desde el principio de un proyecto.
Choque y aprenda
Con departamentos de TI en la actual economía caída -a los cuales se les pide hacer más con menos- la atracción de la virtualización se está volviendo cada vez más irresistible. Pero en tanto algunos departamentos se apresuran precipitadamente hacia la tecnología, en un esfuerzo de extender escasos dólares, aumenta la tentación de escatimar en seguridad.
Muchos administradores ahorrativos creen que las mismas tecnologías actualmente utilizadas para proteger servidores físicos convencionales, pueden simplemente ser extendidas a los ambientes virtualizados. Pero MacDonald dice que eso es una suposición potencialmente calamitosa. Él nota que los incautos podrían quedar atrapados por amenazas en varias áreas, incluyendo software, administración, movilidad, el sistema operativo y la visibilidad de la red (vea Puntos débiles de la virtualización, abajo). Se necesita que haya políticas para manejar estos temas, añade.
Broadwater toma algunos pasos defensivos de sentido común, como usar controles de firewall para limitar el acceso a los usuarios y correr un arreglo completo de protocolos de seguridad y chequeos en cada servidor virtual. Adicionalmente, Broadwater dice que él depende de su fabricante de software de virtualización, Novell Inc., para suministrar un producto resistente a intrusiones y ataques. Dice que le preocupan los hoyos en el propio software de virtualización -ataques al kernel, alguien atacando el módulo huésped, o uno de mis hombres cometiendo un error contra el servidor host- y luego asegurarse de que todo el software de virtualización es de hecho seguro y está parchado.
Broadwater dice que está confiado en que su fabricante se mantiene al día con las amenazas de virtualización, al tiempo que van saliendo. Él siente que más allá de las medidas guiadas por la tecnología, es útil para las empresas mantener en privado detalles sobre ambientes virtuales, con el fin de impedir atención indeseada. En muchos casos, incluso no le decimos a la gente que están corriendo en una caja virtual, o que de hecho están accediendo a una caja virtual, señala Broadwater.
Oyvind Kaldestad, vicepresidente de TI corporativo en Lionbridge Technologies Inc., una compañía de tercerización de negocios y entrenamiento en Waltham, Massachussets, dice que su mayor preocupación es que las infecciones de malware encuentren su camino hacia los ambientes virtuales -basados en Microsoft- de las empresas de sus clientes.  Yo estaría realmente preocupado por tener un host o una partición matriz a la cual se pueda acceder y causar un virus, u otro tipo de infección en una partición secundaria, eso sería un mal escenario, señala.
Kaldestad también está preocupado de particiones secundarias que utilicen la virtualización para hablar entre ellas y esparcir infecciones. Pero como Broadwater, confía en que su fabricante esté manejando el problema.
Steve Milligan, director de computación académica y tecnología en la Universidad Arkansas Tech, dice que la segregación de componentes es vital para proteger su ambiente de escritorio virtual guiado por VMware.  Nosotros mantenemos nuestros escritorios virtuales separados de nuestros servidores de producción, y mantenemos nuestros servidores de desarrollo separados tanto como se puede de nuestros servidores de producción, señala. Una de mis mayores preocupaciones es tener un host o un VM que está comprometido, y permitiendo acceso indeseado a otros sistemas dentro de nuestro ambiente.
Milligan reconoce que él subestimó el reto de seguridad cuando diseñó su ambiente virtualizado. La seguridad no estaba en la vanguardia, indica. No estábamos pensando en diseñar nuestro ambiente virtual de manera diferente a nuestro ambiente físico. Eso fue un error, y hemos aprendido de eso.
Como a muchos otros que administran un ambiente virtualizado, a Milligan le gustaría que los fabricantes brindaran más y mejores herramientas de visibilidad. Es ese desconocimiento -no saber qué está sucediendo en tu ambiente virtual, señala. No solo qué se está comunicando con tus servidores desde el exterior, sino qué está sucediendo internamente entre esos servidores virtuales y los escritorios.
Aunque salvaguardar ambientes virtualizados requiere nuevas perspectivas y prácticas, la seguridad convencional todavía juega un rol. Como muchos adoptadores experimentados de tecnología, Broadwater dice que la seguridad de la virtualización empieza en el host. Son cosas de seguridad general, señala. Asegúrese de que sus parches de seguridad están al día y de que tiene las herramientas antivirus adecuadas ubicadas detrás del firewall apropiado.
Para asegurar mejor que su despliegue virtual sea tan seguro como sea posible, Broadwater periódicamente se vuelve hacia una firma de seguridad exterior para sondear el ambiente furtivamente en busca de vulnerabilidades. Una vez al año contratamos una compañía para hacer una prueba de penetración de seguridad, señala. Desde esta prueba de penetración, observamos las vulnerabilidades y regresamos a los fabricantes, y les preguntamos cómo pueden ayudarnos a resolver estos problemas.
Kaldestad dice que los prospectos de adoptadores de virtualización pueden aprender cómo lidiar con la forma en que los fabricantes se aproximan y manejan la seguridad, escudriñando cuidadosamente la arquitectura de virtualización de cada proveedor.
Trate de descubrir qué tipo de vectores de ataque podrían ser posiblemente utilizados, advierte. Observando cómo están organizadas las cosas, puedes descubrir mucho sobre potenciales vulnerabilidades.
Reality Check
No todos los administradores de TI están perdiendo el sueño debido a la seguridad de la virtualización. Algunos sienten que el tema está siendo exagerado. Ellos dicen que los críticos pasan por alto el hecho de que la mayoría de vulnerabilidades son accesibles, y que muchos adoptadores simplemente están usando virtualización para ahorrar dinero al consolidar tareas de baja prioridad y bajo riesgo.
Nicholas Tang, vicepresidente de operaciones de tecnología de Interactive One, la división online de la más grande cadena de radio africano-americana, dice que él cree que en tanto los datos críticos no sean enviados a un ambiente virtualizado, la virtualización no requiere protecciones especiales de seguridad.
"Tratamos [los servidores virtualizados] como servidores estándar y tomamos medidas de buenas prácticas estándar, pero nada específico al ambiente virtualizado, señala Tang, quien usa la tecnología VM de Oracle para consolidar servidores ligeramente cargados, como los esclavos DNS y servidores de servicios públicos.
Sin embargo, Scott Crawford, director de investigaciones de seguridad y manejo de riesgos en Enterprise Management Associates Inc., una firma de investigación en tecnología de Boulder, Colorado, advierte que aún así es importante no caer en un falso sentido de seguridad, ya que ninguna empresa quiere invitar a un ataque o intrusión, incluso si las tareas virtualizadas son relativamente menores. Nadie quiere ser una víctima y tener que limpiar un desastre, dice.
Milligan concuerda con él. "La virtualización es una tecnología muy excitante, que ofrece a los administradores de TI una mejor manera de manejar algunos de sus sistemas, señala. Pero no se emocione mucho con los beneficios, y mire más allá de la seguridad. Eso puede ser peligroso.
John Edwards, Computerworld (USA)