Основные сведения

Многие производители технических средств защиты инфраструктур виртуализации идут по пути универсализации, совмещая в своих продуктах механизмы защиты сразу нескольких инфраструктур, построенных на различных платформах виртуализации.

Однако данный подход не всегда удобен пользователям, когда в организации используются инфраструктуры виртуализации, построенные только на одном типе платформ, покупка так называемого «универсального» средства приводит, в частности, к следующим особенностям:

  • наличие у средства избыточного функционала, часть которого никогда не будет использоваться на предприятии;
  • удорожание средства защиты, влекущее за собой излишние расходы покупателя.

ПАК «ГиперАккорд» является специализированным средством для защиты инфраструктур виртуализации, построенных на платформе виртуализации Hyper-V, и, соответственно, лишен указанных недостатков.

ПАК «ГиперАккорд» полностью интегрируется в инфраструктуру виртуализации, поэтому для его функционирования не требуются дополнительные серверы. При этом ПАК «ГиперАккорд» не ограничивает в целях безопасности возможностей инфраструктуры виртуализации, оставляя доступными все ее преимущества и обеспечивая защищенность всех ее компонентов.

Управление системой защиты осуществляется централизованно с сервера управления виртуальной инфраструктурой. Доступ к инструментам управления системой защиты предоставляется только администраторам безопасности, от администраторов виртуальной инфраструктуры эти инструменты скрыты.

Комплекс представляет собой совокупность технических и программных средств, предназначенных для выполнения основных функций защиты от НСД на основе:

  • применения персональных идентификаторов пользователей;
  • применения парольного механизма;
  • блокировки загрузки операционной системы со съемных носителей информации;
  • контроля целостности технических средств и программных средств и компонентов (файлов общего, прикладного ПО и данных) ПЭВМ (АС);
  • контроля целостности программных компонентов (файлов общего, прикладного ПО и данных) ВМ, выполняемого до ее запуска;
  • обеспечения режима доверенной загрузки установленных в ПЭВМ (АС) и ВМ операционных систем, использующих любую из файловых систем: FAT12, FAT 16, FAT 32, NTFS, HPFS, FreeBSD, Ext2FS, Sol86FS, QNXFS, MINIX, VMFS.

Возможности

В ПАК «ГиперАккорд» реализованы следующие механизмы защиты:

  • доверенная загрузка всех элементов инфраструктуры виртуализации;
  • пошаговый контроль целостности гипервизора, виртуальных машин, файлов внутри виртуальных машин и сервера управления инфраструктурой;
  • разграничение доступа администраторов виртуальной инфраструктуры и администраторов безопасности;
  • разграничение доступа пользователей внутри виртуальных машин;
  • аппаратная идентификация всех пользователей и администраторов инфраструктуры виртуализации.

 

Подробнее

Защита элементов управления виртуальной инфраструктурой

Надежная защита сервера HV от НСД и разграничение доступа администраторов виртуальной инфраструктуры имеют абсолютно принципиальное значение при построении виртуальной инфраструктуры предприятия. Как правило, сервер HV представляет собой «физический» сервер, и для его защиты применяется ПАК для сервера управления HV, поддерживающий работу на терминальных серверах.

Во время старта сервера СЗИ НСД «Аккорд-АМДЗ» из состава ПАК для сервера управления HV проверяет целостность BIOS и физического оборудования сервера. После этого начинается проверка целостности файлов гипервизора и модулей защиты, предназначенных для контроля запуска ВМ. В случае успеха этих проверок гипервизор загружается в штатном режиме вместе с уже проверенными дополнительными модулями защиты.

СПО управления системой защиты «ГиперАккорд» устанавливается на сервере HV, что позволяет управлять всей системой защиты централизованно.

    Доверенная загрузка сервера HV

Перед загрузкой ОС, установленной на сервере HV, СЗИ НСД «Аккорд-АМДЗ» из состава ПАК для сервера управления HV выполняет:

  • идентификацию/аутентификацию администраторов;
  • детальное журналирование всех попыток загрузки ОС;
  • контроль целостности BIOS и оборудования сервера;
  • проверку целостности файлов ОС и файлов сервера HV, предназначенных для управления средой виртуализации, а также СПО управления системой защиты «ГиперАккорд».

    Разграничение доступа администраторов виртуальной инфраструктуры и администраторов безопасности

В ОС сервера HV производится дискреционное и/или мандатное разграничение доступа администраторов и процессов ко всем ресурсам. При этом для каждого администратора должна создаваться изолированная программная среда.

Защита виртуальных машин

Виртуальным машинам присущи все те же угрозы, что и их «реальным» аналогам. Для них точно так же необходимо обеспечивать доверенную загрузку, контроль целостности, разграничение доступа и надежную идентификацию/аутентификацию пользователей (далее – и/а).

Средства разграничения доступа для виртуальных машин «Аккорд-Win32 VE»/«Аккорд-Win64 VE»/«Аккорд-Х VE»/«Аккорд-XL VE» (в зависимости от установленной в ВМ ОС) устанавливаются в гостевую ОС ВМ (аналогично тому, как в «реальных» системах они устанавливаются в ОС), а СПО управления системой защиты«ГиперАккорд», осуществляющее процедуры загрузки и контроля целостности, находится вне контролируемой ВМ. Это СПО просто обязано быть независимым от подконтрольного объекта, иначе это не защита, а имитация.

Для доступа пользователей к виртуальным машинам могут использоваться протоколы RDP или ICA. В этом случае на клиентские устройства устанавливается дополнительное ПО (СПО «Аккорд-ТК», входящее в состав модулей «Аккорд-Win32 VE»/«Аккорд-Win64 VE»), позволяющее подключаться по этим протоколам к ВМ и проходить и/а с использованием аппаратных идентификаторов.

    Контроль целостности файлов в виртуальных машинах

Перед запуском ВМ осуществляется проверка целостности файлов внутри виртуальных машин. Список контролируемых файлов должен определяться администратором безопасности и назначаться в программе управления виртуальной инфраструктурой.

    Разграничение доступа пользователей ОС виртуальной машины

В гостевых ОС осуществляется мандатное и/или дискреционное разграничение доступа пользователей и процессов ко всем ресурсам. При этом для каждого пользователя внутри ВМ создается изолированная программная среда. И/а пользователей при доступе к приложениям и виртуальным рабочим столам осуществляется с помощью аппаратных идентификаторов, кроме случаев, когда администратор безопасности снял ту или иную ВМ с контроля, но такой режим работы не следует включать в перечень рекомендованных.