Kein Zweifel: Die Virtualisierung ist in den Unternehmen angekommen. Nach Berechnungen von IDC werden mehr als die Hälfte der in diesem Jahr verkauften Server in virtualisierten Infrastrukturen ihren Dienst verrichten. Der Markt für Virtualisierungssoftware soll in der Region Europa, Naher Osten und Afrika um 55 Prozent von 330 Millionen Euro im vergangenen auf mehr als 500 Millionen in diesem Jahr zulegen. Nach vorsichtigen Schätzungen sind es bereits mehr als 80 Prozent der deutschen Unternehmen, die virtuelle Maschinen im Einsatz haben (vergleiche Grafik auf Seite 42 "Die Nutzung breitet sich weiter aus").
Typischerweise werden virtuelle Server in der ersten Phase in Test- und Entwicklungsumgebungen genutzt, danach für wenig-kritische Systeme. Erst dann folgt der Produktivbetrieb – inzwischen auch von unternehmenskritischen Anwendungen, denn die Technologie gilt als ausgereift. Spätestens dort stellt sich die Frage: Wie sicher sind virtualisierte Server?
Potenzielle Gefährdungen entstehen oft aus organisatorischen Mängeln: "Virtualisierung hat Auswirkungen auf die Sicherheits- und Datenschutzkonzeption, die Notfallpläne, den Einsatz von Administrations- und Überwachungs-Tools, das Asset-Management bis hin zur Schulung des Personals. Das erfordert ein koordiniertes Zusammenspiel von Netzwerk- und System-Management sowie Security-Komponenten", sagt René Reutter, Abteilungsleiter ICT Sicherheit bei T-Systems.
Neil MacDonald, Sicherheitsexperte beim Marktforscher Gartner, ergänzt: "In vielen Fällen wird nicht zur Kenntnis genommen, dass mit der Virtualisierung von Servern eine weitere Ebene zu Hardware, Betriebssystem und Applikationen hinzukommt, für deren Sicherheit man sorgen muss."
Grundsätzlich lassen sich die Sicherheitsrichtlinien für physikalische Server und Netze auf ihre virtuellen Gegenstücke übertragen - nur wird das in vielen Fällen vergessen oder ist noch nicht passiert. Mit wenigen einfachen Grundregeln lässt sich die Sicherheit virtueller Server-Landschaften erheblich verbessern:
1. Zuständigkeiten klären
Bei klassischen IT-Landschaften sind Zuständigkeit und Verantwortung für physikalische Server klar geregelt und in der Praxis eingespielt. Sie sorgen dafür, dass die Software – vom Betriebssystem über Applikationen bis zu Virenscanner und Firewall - auf dem aktuellen Stand ist. Für die besonderen Sicherheitsanforderungen der virtuellen Maschinen, die auf den physikalischen Servern laufen, gelten jedoch oft andere Sicherheitsanforderungen.
Deswegen: Legen Sie für jede einzelne virtuelle Maschine fest, welche speziellen Sicherheitsrichtlinien gelten und wer die Verantwortung dafür trägt, dass diese eingehalten werden.
2. Patch-Management regeln
Virtuelle Server werden in der Regel mit Server-Images gestartet. Diese sind entweder als Standards oder als spezielle Server-Images, die mit viel Aufwand für spezielle Anforderungen konfiguriert wurden, auf Netz-speichern oder DVDs hinterlegt. Ein neuer virtueller Server lässt sich auf Basis des Images innerhalb von
Minuten aufsetzen – aber nicht selten sind die Images schon einige Tage oder sogar Wochen alt und nicht mehr auf dem neuesten Software- und Sicherheitsstand, wenn sie in Betrieb genommen werden. Dasselbe gilt auch für die Virtualisierungssoftware.
Deswegen: Legen Sie Regeln, Mechanismen und Zuständigkeiten fest, die sicherstellen, dass die virtuellen Server nur mit den jeweils aktuellen Images gestartet werden. Ebenso wichtig: Achten Sie darauf, dass die Virtualisierungssoftware immer auf dem neuesten Release-Stand ist.
3. Den Überblick behalten
Gerade das einfache Aufsetzen virtueller Server verleitet zu einem unkontrollierten Umgang. Eine virtuelle Maschine für Testzwecke oder den temporären Gebrauch ist mit wenigen Mausklicks eingerichtet – und gerät danach gelegentlich in Vergessenheit.
Es kann deshalb sinnvoll sein, für die Einrichtung virtueller Server dieselben Prozesse zu etablieren, die für die Beschaffung eines Hardware-Servers gelten. Geschieht dies nicht, droht der virtuelle Server mit altem Softwarestand unbemerkt und unüberwacht im Server-Pool vor sich hinzudümpeln.
Deswegen: Etablieren Sie einen Anforderungs- und Kontrollprozess für virtuelle Maschinen. Dokumentieren Sie, welche virtuellen Server für welchen Zweck aufgesetzt werden, und kontrollieren Sie regelmäßig, ob, von wem und in welchem Maße der Server genutzt wird und ob ein weiterer Betrieb notwendig ist.
4. Virtuelle Netzwerke überwachen
"Unsere Arbeit ist durch die Virtualisierung von Servern explosionsartig gestiegen", sagt Jens Hektor, der in der Abteilung Netzbetrieb bei der Rheinisch-Westfälischen Technischen Hochschule (RWTH) in Aachen für Firewalls und Intrusion Prevention zuständig ist (siehe Kasten). Während der Datenverkehr zwischen physischen Servern transparent über das Netzwerk läuft, tauschen virtuelle Server die Daten über virtuelle Netze und virtuelle Switches aus – gelegentlich innerhalb einer physikalischen Maschine.
Das hat Auswirkungen auf Firewalls und Intrusion-Detection-Systeme. Deswegen: Stellen Sie sicher, dass die Kommuni-kation der virtuellen Maschinen nach den spezifischen Sicherheitsanforderungen kontrolliert wird und den gleichen Maßstäben unterliegt wie physikalische Server. Prüfen Sie die installierte Sicherheitsarchitektur: In vielen Fällen sind Appliances, die physikalische Maschinen sichern, ungeeignet und müssen durch entsprechenden Software ersetzt beziehungs-weise ergänzt werden.
5. Security-Policies anpassen
"Unternehmen müssen ihre Datenschutz- und Sicherheitsstandards konsequent auf die virtualisierten Umgebungen übertragen", sagt Sicherheitsexperte Reutter von T-Systems. Hier gilt ausnahmslos der Grundsatz: "Technik folgt der Policy". Insgesamt bedarf die Einführung von Virtualisierungstechnologie zu allererst einer erhöhten Aufmerksamkeit, gegebenenfalls entsprechender neuer Administrations- und Analyse-Tools und in jedem Fall einer konsequenten Überwachung.
Deshalb: Ergänzen Sie die Security-Policies um die neuen Sicherheitsaspekte – am besten vor dem Start der ersten virtuellen Maschine im Produktivbetrieb. Sorgen Sie dafür, dass die IT-Administration mit den neuen Sicherheitsrichtlinien vertraut ist, und kontrollieren Sie deren Einhaltung. Beobachten Sie den Markt für Sicherheits-Tools- und -Technologien und halten Sie die Sicherheitsvorkehrungen auf dem aktuellen Stand.
"Die Unternehmen treiben Virtualisierung mit großer Eile voran. Dabei werden Sicherheitsfragen oft übersehen, Best Practices nicht angewendet, Sicherheitsrisiken nicht erkannt", warnt Gartner-Analyst Philip Dawson in seiner Studie "Virtualization Changes Virtually Everything." Wichtig sei, schon vor
Beginn eines Virtualisierungsprojekts Sicherheitsfragen in der Konzeption zu berücksichtigen. Denn
im Nachhinein lassen sich Fehler und Unterlassungen nur schwer wieder ausbügeln.
|
Die Rheinisch-Westfälische Technische Hochschule Aachen (RWTH) Die Hochschule ist mit zweimal zehn Ggabyte an das Backbone des Deutschen Forschungsnetz (DFN) angebunden, die RZ Administration verfügt über 200 000 eigene IP-Adressen, verwaltet mehr als 1000 physikalische Server und über 40 000 User. Seit mehr als zwei Jahren setzt die RWTH virtualisierte Server-Systeme produktiv ein. Die Virtualisierung hat Jens Hektor, in der Abteilung Netzbetrieb für Firewalls und Intrusion Prevention zuständig, vor neue Herausforderungen gestellt: "Während die Server-Manager jetzt innerhalb kürzester Zeit neue virtuelle Maschinen aufsetzen können, hat der Aufwand aufseiten der Netzwerkadministration erheblich zugenommen", sagt Hektor. Sein größtes Problem: Weil die Konfiguration virtueller Switches als Teil der Virtualisierungssoftware Aufgabe der Server-Manager ist, sind sie dem direkten Zugriff der zentralen Netzwerkadministration entzogen. "Das erfordert sehr viel Sachkenntnis und Disziplin – Fehler sind hier tödlich", sagt Hektor. Die RWTH setzt IDS/IPS (Intrusion Detection/Prevention System) und Firewall von Stonesoft ein und benutzt das Mangement-Tool "Stonegate", um virtuelle und physische Server zu verwalten. Auch die Konfiguration der Firewall musste an die virtualisierte Umgebung angepasst werden: "Die virtuellen Server gehören zum Teil unterschiedlichen Fachbereichen und sind mit einem jeweils eigenen Regelsatz ausgestattet", sagt Hektor. Das erfordere eine sehr feine Konfiguration der Firewall. Das IDS/IPS dagegen sei in der virtualisierten Umgebung sogar etwas leichter handhabbar, weil für alle – physikalische wie virtualisierte – Server die gleichen Bedrohungen erkannt und abgewendet werden müssen. "Als Anwender sind wir darauf angewiesen, dass die Virtualisierungssoftware keine Fehler enthält – aber das liegt in der Verantwortung der Hersteller." Als Anwender bleibe ihm lediglich, mit einem gewissenhaften Patch-Management alle bekannten Bugs zu beheben und die Software auf dem neuesten Stand zu halten. |