Innovationen im. VMware- Ökosystem. Big Data. und Analytics

Transkript

1 Lorem Ipsum Februar 2015 Virtualization to go Big Data Innovationen im und Analytics VMware- Ökosystem Netzwerk- Virtualisierung Hypervisor- Technologie für die IT- Sicherheit Virtuelle Desktop- Umgebungen Neues Architektur- und Kostenmodell Sicherheit in virtualisierten Umgebungen Always on Business Datensicherung virtueller Umgebungen ROI- Berechnungen Februar 2015 Seite 1

2 Nummer 4 Virtualization to go Das Thema Virtualisierung zählt auch in 2015 zu einem der Top 10 in der Agenda der CIOs. Wer hätte das gedacht als 1998 VMware gegründet wurde, dass die Virtualisierung die IT- Welt so stark beeinflussen würde. Mittlerwei- le wird ja so ziemlich jedes IT- Segment virtualisiert, angefangen von Servern, über Storage, den Desktops, Printern bis hin zum Netz- werk. Auch wenn es mittlerweile zahlreiche Player im Markt gibt, so gibt doch VMware mit einer Virtualisierungsplattform den Ton an. Darum herum ist ein riesiges Ökosystem entstanden, das für Stammdatenmanagement in der Praxis noch größeren Mehrwert sorgt. VMware NSX ist die weitverbreiteste Plattform für Netzwerkvirtua- lisierung und - sicherheit für das Software- Defined Datacenter. Sie virtualisiert Ihr vorhandenes Netzwerk und transformiert den Netzwerkbetrieb und die Wirtschaftlichkeit. Auf den VMware- Anwenderkonferenzen in San Francisco und Barcelona mit mehreren Tausenden Besuchern konnte man sich in September und Oktober vergangenen Jahres einen guten Überblick über die Innovationen rund um NSX verschaffen. In diesem stellen wir Ihnen zahlreiche dieser Lösungen vor. Viel Spaß beim Lesen! Ihr Ulrich Parthier Publisher it management Ulrich Parthier Herausgeber it management Februar 2015 Seite 2

3 Inhalt Netzwerkvirtualisierung Seite 5 Blick auf Vmware NSX Ratgeber Daniel Model Seite 10 Datensicherung virtueller Umgebungen Hypervisor- Technologie für die Sicherheit Stefan Strobel Seite 15 Gezielte Angriffe wirkungsvoll stoppen Veeam: Always- On Business Matthias Fruehauf Seite 21 Verfügbarkeit auf allen Ebenen Neues Architektur- und Kostenmodell Ivica Juresa Seite 25 Mehr Innovation durch Network Functions Virtualization Mit SDS aus der Kostenfalle Storage Robert Thurnhofer Seite 31 Virtuelle Infrastrukturen profitieren von Software- defined Storage Februar 2015 Seite 3

4 Inhalt Virtuelle Desktop- Umgebungen Dominique Sabo Seite 39 Die Vor- und Nachteile des aktuellen Trends der Arbeitsplatzgestaltung Virtualisierungssicherheit Rick Holland Seite 43 Ein CISO- Leitfaden Virtualisierung Seite 49 ROI- Calculatoren Ausblick Seite 53 VMware Ökosystem Virtualisierungsplattformen Seite 56 IT- Sicherheit ist essentiell für das Unternehmen Impressum Seite 20 Februar 2015 Seite 4

5 Netzwerkvirtualisierung Blick auf Vmware NSX VMware NSX ist die führende Plattform für Netzwerkvirtualisierung, die dem Netzwerk das Betriebsmodell einer virtuellen Maschine bereitstellt. Wie virtuelle Maschinen für das Computing, werden auch virtuelle Netzwerke programmatisch bereitgestellt und unabhängig von der zugrunde liegenden Hardware verwaltet. NSX reproduziert das gesamte Netzwerkmodell als Software, sodass jede Netzwerktopologie von einfa- chen bis hin zu komplexen mehrschichtigen Netzwerken in Sekunden erstellt und bereitgestellt werden kann. Die Lösung bietet eine Bibliothek logischer Netzwerkele- mente und - services, wie logische Switches, Router, Firewalls, Lastausgleichsfunktionen, VPNs und Sicher- heitsfunktionen für Workloads. Anwender können mittels angepasster Kombinationen dieser Funktionen isolierte virtuelle Netzwerke erstellen. Herausforderungen für RZ- Netzwerke Die aktuellen Netzwerk- und Sicherheitslösungen sind starr, komplex und häufig anbieterspezifisch. Dadurch entsteht eine kostspielige Barriere für das Erzielen der insgesamt möglichen Agilität des Softwaree Defined Datacenter. Im aktuellen Betriebsmodell ist die Netzwerkbereitstel- lung langsam und Platzierung sowie Mobilität der Work- loads werden durch die physische Topologie und die manuelle Bereitstellung eingeschränkt. Die Einschrän- kungen durch physische Lösungen für Netzwerk und Sicherheit binden eine zunehmend dynamische und virtuelle Welt weiter an unflexible, dedizierte Hardware und bilden so künstliche Barrieren für die Optimierung von Netzwerkarchitektur und Kapazitätsauslastung. Die manuelle Bereitstellung und die fragmentierten Manage- mentschnittstellen reduzieren die Effizienz und schrän- ken die Möglichkeiten von Unternehmen ein, Anwen- Februar 2015 Seite 5

6 VMware NSX stellt eine vollständige Suite von vereinfachten logischen Netzwerkelementen und - services bereit: Logische Switches, Router, Firewalls, Lastausgleichsfunktionen, VPNs, QoS, Überwachung und Sicherheit. dungen und Daten schnell bereitzustellen, zu verschieben, zu skalieren und zu schützen, um geschäftlichen Anforde- rungen nachzukommen. VMware NSX VMware NSX löst diese Herausforderungen für Rechenzen- tren durch die Bereitstellung eines völlig neuen Betriebs- modells für Netzwerke. Dieses Modell durchbricht die aktuellen Barrieren, die durch physische Netzwerke ge- schaffen werden, und bietet Rechenzentrumsbetreibern wesentliche Verbesserungen bei Agilität und Wirtschaft- lichkeit. VMware NSX stellt eine vollständige Suite von vereinfachten logischen Netzwerkelementen und - services bereit: Logische Switches, Router, Firewalls, Lastausgleichsfunkti- onen, VPNs, QoS, Überwachung und Sicherheit. Diese Ser- vices werden in virtuellen Netzwerken über jede Plattform für Cloud- Management bereitgestellt, die die NSX- APIs nutzt, und können in jeder Topologie mit Isolation und Mandantenfähigkeit bereitgestellt werden. Virtuelle Netz- werke werden störungsfrei auf jedem vorhandenen Netz- werk und auf jedem vorhandenen Hypervisor bereitgestellt. Typische Anwendungsszenarien im Überblick 1. Rechenzentrumsautomatisierung Beschleunigung der Netzwerkbereitstellung Vereinfachte Integration von Services, virtuell und physisch Optimierung von DMZ- Änderungen 2. Self- Service- IT in Unternehmen Schnelle Bereitstellung von Anwendungen durch automatisiertes Provisioning von Netzwerk und Services für Private Clouds sowie für Forschungs- und Entwicklungsumgebungen Isolation von Entwicklungs-, Test- und Produkti- onsumgebungen innerhalb derselben physischen Infrastruktur 3. Mandantenfähige Clouds Automatisierung der Netzwerkbereitstellung für Mandanten mit Anpassung und vollständiger Isolation Maximierung der Hardwarefreigabe über Man- danten hinweg Funktionsweise Anwendungsszenarien NSX ist eine ideale Lösung für Rechenzentren mit mehr als 500 virtuellen Maschinen. Die Plattform bietet für Anbie- tern von innovativen, mandantenfähigen Cloud- Services, für Private Clouds und R&D- Clouds großer Unternehmen sowie für Cloud- Umgebungen mit verschiedenen Hypervi- soren unmittelbare Vorteile. Wie die Servervirtualisierung für das Computing, ermög- licht der NSX- Ansatz für die Netzwerkvirtualisierung Re- chenzentrumsbetreibern die Behandlung ihres physischen Netzwerks als Pool von Transportkapazitäten, die be- darfsorientiert genutzt, zurückgewonnen und neuen Zwe- cken zugeordnet werden können. Wie eine virtuelle Ma- schine einen Software- Container darstellt, der einer An- wendung einen logischen Prozessor, logischen Arbeits- speicher und logischen Storage bereitstellt, so stellt ein virtuelles Netzwerk einen Software- Container dar, der Februar 2015 Seite 6

7 Die Netzwerkvirtualisierung bildet ein Overlay auf der physischen Netzwerkhardware und funktioniert mit jeder Server- Hypervisor- Plattform. NSX Gateway ermöglicht Zuordnung älterer VLANs und physischer Hosts zu virtuellen Netzwerken verbundenen Workloads logische Netzwerkkomponenten bereitstellt logische Switches, Router, Lastausgleichs- funktionen, VPNs und mehr. Virtuelle Netzwerke werden programmatisch erstellt, bereitgestellt und verwaltet. Dabei wird das zugrundeliegen- de physische Netzwerk als einfache Backplane zur Weiter- leitung von Paketen genutzt. Die Netzwerkservices werden unabhängig von der zugrundeliegenden Netzwerkhard- ware oder - topologie programmatisch an die einzelnen virtuellen Maschinen verteilt, sodass Workloads dynamisch hinzugefügt oder verschoben und alle der virtuellen Ma- schine zugewiesenen Netzwerk- und Sicherheitsservices mit dieser an jeden Ort im Rechenzentrum verschoben werden können. Vollständige Ablösung von der physischen Netzwerkhardware Die Netzwerkvirtualisierung bildet ein Overlay auf der physischen Netzwerkhardware und funktioniert mit jeder Server- Hypervisor- Plattform. Die einzige Anforderung, die das physische Netzwerk erfüllen muss, ist die Fähigkeit, IP- Transport bereitzustellen. Es gibt keine Abhängigkeit von der zugrundeliegenden Hardware oder vom Hypervisor. NSX Gateway ermöglicht die Zuordnung älterer VLANs und physischer Hosts zu virtuellen Netzwerken. Reproduktion des physischen Netzwerkmodells als Software NSX reproduziert die gesamte Netzwerkumgebung (L2-, L3-, L4 L7-Netzwerkservices) als Software innerhalb der einzelnen virtuellen Netzwerke. NSX stellt L2 L7-Services Februar 2015 Seite 7

8 eine verteilte logische Architektur bereit einschließlich logischer Switches, Router, Firewalls, Lastausgleichsfunkti- onen und VPNs. Diese logischen Netzwerkservices werden programmatisch während des Provisioning virtueller Maschinen bereitgestellt und mit den virtuellen Maschinen verschoben. Die vorhandenen Anwendungen werden unverändert ausge- führt und stellen keinen Unterschied zwischen der Verbin- dung mit einem virtuellen und einem physischen Netzwerk fest. Automatisierung Das System stellt eine RESTful API bereit und ermöglicht so Plattformen für Cloud- Management die automatisierte Bereitstellung von Netzwerkservices. Die Netzwerkbereit- stellung, die zuvor Tage oder Wochen dauerte, dauert nun Sekunden. Da die Netzwerkservices den Anwendungen jetzt über das virtuelle Netzwerk bereitgestellt werden, müssen physische Netzwerkgeräte nicht mehr manuell neu konfiguriert werden. Der NSX Service Composer ermöglicht die Automatisierung der Nutzung von Services und ihre Zuordnung zu virtuellen Maschinen mittels einer logischen Richtlinie. Kunden kön- nen Gruppen von virtuellen Maschinen Richtlinien zuwei- sen. Werden der Gruppe weitere virtuelle Maschinen hin- zugefügt, wird die Richtlinie automatisch auch auf diese virtuellen Maschinen angewendet. Kunden können erwei- terte Workflows entwickeln, mit denen Sicherheit, Compli- ance und Netzwerkbereitstellung automatisiert werden, einschließlich Regeln für Lastausgleich und Firewall. Erweiterungsfähigkeit NSX bietet eine Plattform für die Integration von Services anderer Anbieter. Die Reihe der integrierten Produkte von Software- und Hardwarepartnern reicht von Services für Netzwerk- Gateways und Anwendungsbereitstellung über Plattformen für Netzwerksicherheit bis hin zu Sicher- heitsservices. Optionen NSX ist eine Plattform für die Netzwerkvirtualisierung, die die Verwaltung mehrerer Hypervisoren und Clouds ermög- licht. Die NSX- Plattform bildet die Grundlage für Layer 2- und Layer 3- Netzwerkvirtualisierung mit Add- On- Softwaremodulen für spezifische Layer 4 7- Netzwerkservices, wie etwa Firewalls, Lastausgleichsfunk- tionen und VPNs. NSX kann in einer VMware vsphere- Umgebung bereitgestellt werden, in der die Lösung vollständig mit VMware vsphere, VMware vcloud Director und VMware vcloud Automation Center integriert ist. NSX kann außerdem in Umgebungen mit mehreren Hypervisoren bereitgestellt werden, wie Xen Server, KVM oder VMware ESXi, wobei aus verschiedenen Lösungen für Cloud- Management aus- gewählt werden kann, z.b. vcloud Automation Center, OpenStack und CloudStack. Die wichtigsten Funktionen von NSX Logisches Switching Reproduzieren der vollständi- gen L2- und L3- Switching- Funktionalität in einer virtuellen Umgebung, unabhängig von der zugrundeliegenden Hardware NSX- Gateway L2- Gateway für die nahtlose Verbin- dung mit physischen Workloads und älteren VLANs Logisches Routing Routing zwischen logischen Swit- ches, wodurch dynamisches Routing zwischen verschiedenen virtuellen Netzwerken ermöglicht wird Logische Firewall Verteilte Firewall, kernelaktivierte optimierte Performance, virtualisierungs- und identi- tätsorientiert, mit Überwachung der Aktivität Logischer Lastausgleich Lastausgleich mit vollstän- diger Funktionalität und SSL- Beendigung Logisches VPN Standort- zu- Standort- VPN und Re- mote- Zugriff- VPN als Software NSX- API RESTful API für die Integration in jede Plattform für Cloud- Management Februar 2015 Seite 8

9 Bild 1: Architektur der VMWare Virtualisierungsplattform. Die wichtigsten Vorteile im Überblick Reduktion des Zeitaufwands für die Netzwerkbe- reitstellung von Tagen auf Sekunden Effizienter Betrieb durch Automatisierung Platzierung und Verschiebung von Workloads un- abhängig von der physischen Topologie Bereitstellung auf jedem Hypervisor und Nutzung über jede Plattform für Cloud- Management Störungsfreie Bereitstellung auf vorhandenen physischen Netzwerken oder Topologien der nächsten Generation Weitere Informationen: Integration von Netzwerk- und Sicherheitslösungen von Drittanbietern über Standard- APIs Februar 2015 Seite 9

10 Ratgeber Datensicherung virtueller Umgebungen Virtualisierung ist längst kein Trend mehr sie ist inzwischen zur Rea- lität geworden. Unternehmen sehen sich inzwischen mit einem weite- ren Trend konfrontiert: Sie müssen gleichzeitig physische, virtuelle und Cloud- Umgebungen absichern und sich deshalb mit der Komplexi- tät von Backup in heterogenen Umgebungen auseinandersetzen. Das zeigen auch aktuelle Studien: 37 % der befragten Unternehmen müssen sich demnach dieser Herausforde- rung stellen. Von denen, die mit virtuellen Infrastruktu- ren arbeiten, verwalten zusätzlich 54 % mindestens zwei verschiedene Hypervisor. Ein vernünftiges Datensiche- rungskonzept ist das A und O für Unternehmen, um alle Daten, egal in welchen Umgebungen, bestmöglich absichern zu können. (Acronis Data Protection Studie in Zu- sammenarbeit mit IDC) Individuelle Anforderungen ähnliche Herausforderungen In Gesprächen mit Unternehmen findet sich oft ein ähnli- ches Szenario: Gerade mittelständische Unternehmen mit interner IT, die gerade die Umstellung von physische auf virtuelle Systeme planen und auf der Suche nach einer geeigneten Datensicherungslösung sind, um alle ihre Umgebungen zu sichern. Oft kommt die Frage auf, ob die interne IT die technologischen Herausforderun- gen, die mit Virtualisierungslösungen einhergehen, auch ausreichend adressieren kann. Dabei sind die Anforde- rungen von Unternehmen individuell ganz Februar 2015 Seite 10

11 Ein weiterer Punkt, über den sich Unternehmen in der Planungsphase Gedanken machen sollten, ist, ob sie eine Lösung nur für virtuelle Umgebungen einsetzen möchten. Wie stelle ich am effektivsten von physisch auf virtuell um? unterschiedlich, allerdings gibt es vier Hauptaspekte, die mit denen sich die meisten auseinandersetzen: Erstens die Suche nach neuen Datensicherungstechnologien, zweitens die geplante Migration von physischen auf virtuelle Umge- bungen, drittens der Wunsch nach zentralem Management und viertens die Auswirkungen auf die IT- Abteilung und Fragen nach Training und Outsourcing. Dedizierte oder Gesamtlösung? In der konkreten Planung angekommen gilt der Hauptge- danke zunächst dem Thema: Wie stelle ich am effektivsten von physisch auf virtuell um? Bei physischen Systemen geschieht die Datensicherung auf jeder Maschine, die gesi- chert werden soll, über einen Agenten. Wenn man dieses Muster auf die virtuelle Welt überträgt, ist es am einfachs- ten, einen Agenten/Klienten in jede virtuelle Maschine zu installieren. Dieser Ansatz zieht die kleinste Veränderung in Bezug auf die Backup- Strategie nach sich und ist eine Me- thode, die die meisten vorhandenen Backup- Lösungen im physischen Umfeld anbieten. Es empfiehlt sich vor allem bei kleinen Unternehmen, die auch nur kleine virtuelle Umgebungen im Einsatz haben oder für Datenbanksysteme. Dies ist oft ein einfacher ers- ter Schritt und hält weitere Datensicherungsmöglichkeiten, auch zu einem späteren Zeitpunkt, offen. Ein wesentlich effizienterer Ansatz mit einer Vielzahl von Vorteilen ist die agentenlose Sicherung auf Hypervisor- Ebene. Zur optima- len Anpassung an die virtuelle Welt werden hierbei zum Beispiel VMware eigene Schnittstellen genutzt, um die Daten der virtuellen Maschinen zu sichern. Das ist ressour- censchonend, benötigt nur einen Agenten/Klienten und lässt sich daher wesentlich einfacher verwalten. Ein weiterer Punkt, über den sich Unternehmen in der Planungsphase Gedanken machen sollten, ist, ob sie eine Februar 2015 Seite 11

12 Lösung nur für virtuelle Umgebungen einsetzen möchten. Diese dedizierten Lösungen haben den Vorteil, dass sie speziell auf die Virtualisierungsplattformen zugeschnitte- nen sind und damit spezielle Technologien der Plattform ausschöpfen können. Der Nachteil besteht allerdings darin, dass zu der vorhandenen Lösung für physische Systeme noch eine zweite für virtuelle Umgebungen hin- zukommt. Alternativ können Unternehmen eine Hybridlö- sung wählen, also eine Gesamtlösung für alle IT- Umgebungen, die die Besonderheiten der virtuellen Welt versteht, aber trotzdem auch umgebungsübergreifend agieren kann. Eine Gesamtlösung bietet unter anderem wesentlich mehr Recovery- Szenarien, beispielsweise durch die Möglichkeit erst schrittweise Systeme zu virtua- lisieren oder bei Problemen nur vorübergehend auf virtuelle Server umzustellen. Eine gute Möglichkeit bietet dabei die Acronis AnyData Engine. Sie verkörpert eine neue Softwarearchitektur, auf der alle Acronis- Produkte basieren. Die modulare Architek- tur lässt sowohl die Nutzung einzelner, für eine bestimmte Aufgabe optimierte Produkte zu als auch die Integration mehrerer Produkte zu einer Gesamtlösung zu. Sie bietet die Flexibilität mit einer dediziert auf eine Plattform zuge- schnittenen Datensicherungslösung zu beginnen und jederzeit auf eine Hybridlösung ohne Kompatibilitätsschwie- rigkeiten zu migrieren. Es ist daher wichtig, dass sich Un- ternehmen klar werden, ob sie eine dedizierte oder eine übergreifende Lösung benötigen. Bild 1: Das AnyData Weel. Februar 2015 Seite 12

13 Die Migrationsmöglichkeiten der Backup- Lösung hängen von unterschiedlichen Faktoren ab: Unterstützt sie beispielsweise nur eine Vir- tualisierungsplatform oder mehrere? Wie sieht das Lizenzmodell aus: Ist für jede Migration eine weitere Lizenz nötig? Wie hoch ist der administrative Aufwand? Zusatzfaktor Migrationsmöglichkeit Letztendlich ist die Migration nichts anderes als die Wie- derherstellung einer Maschine auf einem anderen Medi- um. Anders gesagt: eine Hardware- unabhängige Wieder- herstellung. Gerade in kleineren Unternehmen ist aus Kostengründen nicht immer gewährleistet, dass alle physischen Systeme gleich sind. Dabei spielt das Thema Migrati- on eine große Rolle. Die Migrationsmöglichkeiten der Ba- ckup- Lösung hängen von unterschiedlichen Faktoren ab: Unterstützt sie beispielsweise nur eine Virtualisierungsplat- form oder mehrere? Wie sieht das Lizenzmodell aus: Ist für jede Migration eine weitere Lizenz nötig? Wie hoch ist der administrative Aufwand? Die vorhandene Backup- Lösung für die Migration zu nut- zen, hat den Vorteil, dass bei Problemen im Migrationspro- zess die Wiederherstellung der physischen Systeme jederzeit gewährleistet ist, weil Anwender immer auf die beste- henden Backups zugreifen können. Ein großer Pluspunkt ist es, wenn eine solche Lösung die Möglichkeit bietet, die Migrationsrichtung zu ändern, also eine Migration von virtuelle auf physische Systeme vorzunehmen. Wenn beispielsweise ein Datenbanksystem in einer virtuellen Ma- schine läuft und die Ressourcen nicht mehr ausreichend vorhanden sind, können Anwender wieder den rückwärti- gen Weg auf physische Hardware wählen. Das gibt Unter- nehmen ein Mehr an Flexibilität und Unabhängigkeit. Im Idealfall bietet die Backup- Lösung diese Möglichkeiten ohne zusätzliche Lizenzkosten und mit zentralen Manage- mentfunktionalitäten. Oft unterschätzt: Verwaltung & Training Im Idealfall nutzt der Anwender eine Gesamtlösung, die alle IT- Umgebungen unterstützt und alle bisher genannten Themen unter einer zentralen Managementoberfläche adressieren kann. In Bezug auf das zentrale Management gibt es mehrere valide Ansatzmöglichkeiten, die von den Anforderungen des Anwenders abhängen. Beispielsweise gibt es Lösungen, die sich in die Managementoberfläche der Virtualisierungsplattform integrieren lassen. Bei einer speziellen Lösung nur für die virtuellen Umgebungen sollte das auf jeden Fall eine Grundvoraussetzung sein. Wenn ein Unternehmen sich für eine Gesamtlösung für alle IT- Umgebungen entscheidet, empfehlen wir eine zentrale Managementoberfläche für alle Umgebungen. Setzt das Unternehmen aber eher auf eine spezielle Lösung für die virtuelle Plattform, ist es wichtig, dass die Backup- Lösung sich in die Managementoberfläche dieser virtuellen Platt- form integrieren lässt. Je nachdem ob sich Unternehmen für eine Gesamtlösung mit eigener zentraler Managementoberfläche oder für eine spezielle virtuelle Lösung mit Integrationsmöglichkeit in die Virtualisierungsplattform entscheidet, ist der Aufwand für IT- Abteilungen unterschiedlich. Bei einer Speziallösung ist der Trainingsaufwand anders gelagert. Hier geht es für die IT- Abteilung darum, die Virtualisierungsplattform kennen- zulernen. Ist das Management der Datensicherung in die Managementoberfläche der Virtualisierungsplattform integriert, ist damit der Trainingsaufwand schon abge- deckt. Bei hybriden Umgebungen, brauchen IT- Abteilungen Kenntnisse sowohl zu den physischen als auch zu den virtuellen Umgebungen. Fällt die Wahl auf eine Gesamtlösung mit einem Managementtool, können sie damit alle Umge- bungen bedienen und haben den größten Lernaufwand hauptsächlich in Bezug auf dieses Managementtool. Be- trachtet man diese Lösungsalternativen unter dem Out- sourcing- Gesichtspunkt, dann empfiehlt sich das Februar 2015 Seite 13

14 Outsourcing vor allem bei einer Speziallösung für virtuelle Umgebungen. Nur die virtuelle Umgebung auszulagern ist wesentlich einfacher als die gesamte IT an externe Partner abzugeben, gerade wenn ein Unternehmen wei- terhin auch auf die interne IT- Abteilung setzen möchte. Ein weiterer wichtiger Punkt, gerade wenn Unternehmen über das Thema Outsourcing nachdenken, ist der Zugriff von außen. Unternehmen sollten hier bei der Wahl der geeigneten Lösung darauf achten, dass das Management der Datensicherung Browser- basiert erfolgen kann und sich auch von mobilen Geräten wie Smartphones und Tablets aus bedienen lässt. Die richtige Lösung Sind sich Unternehmen über ihre Anforderungen im Klaren, müssen die Hersteller das jeweilige Szenario auch in Gänze abbilden können. Und hier trennt sich dann die Spreu vom Weizen. Acronis etwa kann beide Ansätze lösungstechnisch unterstützen. Benötigt das Unterneh- men eine umgebungsübergreifende Gesamtlösung, empfiehlt sich Acronis Backup Advanced, eine Lösung für physische, virtuelle und Cloud- Umgebungen, die auch zentrale Managementfunktionalitäten bietet. Basierend auf der Acronis AnyData Engine vereinfacht Acronis Ba- ckup Datensicherung und Disaster Recovery der ge- schäftskritischen Daten und schützt so das gesamte System. Der Anwender muss dafür kein IT- Experte sein. Jedes Produkt der Acronis Backup- Familie ist eine umfassende Lösung, optimiert für Windows Server / Windows Server Essentials / Linux Server, VMware und einzelne PCs, um Ausfallzeit, Datenverlust und IT- Verwaltungs- aufwand zu reduzieren. Mit Kernfunktionen wie Wieder- herstellung auf fabrikneue Hardware (Bare Metal Resto- re) und Acronis Active Restore reduzieren Anwender ihre Wiederherstellungszeit um durchschnittlich 50%. Einen zusätzlichen Sicherungsaspekt bietet die Cloud- Option, die sowohl einzeln genutzt als auch mit anderen Acronis Produkten kombiniert werden kann und es den Anwen- dern ermöglicht, jederzeit und überall auf ihre Daten zugreifen zu können. So ist es für jedes Unternehmen möglich, alle ihre gemischten Umgebungen bestmöglich abzusichern und dem Ernstfall vorzubeugen. Daniel Model Weitere Informationen: Webinare: de/events/webinars/ Events: de/events/events/ Daniel Model Februar 2015 Seite 14

15 Hypervisor-Technologie für die IT-Sicherheit Gezielte Angriffe zählen nach wie vor zu den aktuellsten Themen in der IT-Sicherheit. Wie sind sie wirkungsvoll zu stoppen? Meist werden gezielte Angriffe so durchgeführt, dass nicht nur ein einzelner Hacker, sondern eine ganze Grup- pe von Tätern hartnäckig und mit massiven Ressourcen sowie umfassenden Kenntnissen versucht, die IT- Systeme eines individuellen Opfers zu kompromittieren. Zu den beliebtesten Angriffszielen gehören die Endanwender.. Klassische Virenschutzlösungen, Intrusion- Prevention- Systeme oder auch Next- Generation- Firewalls sind mit derartigen Angriffen überfordert, da sie nur bekannte Malware erkennen können. Eine professionelle Gruppe von Angreifern ist jedoch in der Lage, eigene und daher der Öffentlichkeit noch unbekannte Malware zu entwickeln. Zahlreiche Hersteller integrieren daher eine neue Technik in ihre Sicherheits- Gateways, bei der potentieller Schadcode in einer simulierten oder virtualisierten Um- gebung ausgeführt und beobachtet wird. Der übliche Name für diese Technik lautet Sandbox- Analyse heute wird sie von den bekannten Firewall- Herstellern wie Checkpoint, Watchguard oder Palo Alto, Virenschutzher- stellern wie McAfee oder TrendMicro sowie von speziali- sierten Herstellern wie FireEye, Ahnlab oder Cyphort verkauft. Die Sandbox- Analyse erkennt heute eine hohe Zahl an Malware, die von Virenschutzlösungen noch nicht identi- fiziert werden kann, das eigentliche Problem löst sie allerdings nicht. Malware- Entwickler vermeiden Februar 2015 Seite 15

16 Organisationen, die das Problem vorausschauender angehen, stellen daher mit Recht den Sinn einer Sandbox- Analyse im Netzwerk in Frage. Alternativ kann auch direkt eine Lösung auf die Endgeräte der Anwender gebracht werden, die dort Schadcode erkennt oder am besten gleich verhindert. neuerdings ein einfach erkennbares Verhalten, oder sie erkennen die simulierte Umgebung selbst und führen dort erst gar keinen Schadcode aus. Individuelle Malware, wie sie bei tatsächlich neuen gezielten Angriffen von Profis zum Einsatz kommt, wird daher in der Regel von einer Sandbox- Analyse auch nicht erkannt. Hinzu kommt, dass sich der Betrieb einer solchen Technik als sehr aufwendig erweist. Infektionen mit Malware kön- nen in der Regel weder verhindert werden, noch sind die Meldungen aus einer Sandbox- Analyse fehlerfrei. So müs- sen viele Meldungen einer möglichen Infektion mit teurem Personal auf dem potentiell betroffenen Endgerät nachge- prüft werden. Einige Hersteller versuchen daher, nicht nur das Verhalten von potentieller Malware, sondern auch zusätzliche Informationen, beispielsweise die ausgehende Kommunikation von infizierten PCs, in die Bewertung ein- fließen zu lassen. Doch auch hier entwickeln sich die Auto- ren von Malware weiter: Sie verwenden beispielsweise SSL- Verschlüsselung, die von Sicherheits- Gateways nicht mehr analysiert werden kann. Daher benötigen Organisationen, die bereits in Sandbox- Analyse- Technik investiert haben, im nächsten Schritt eine Lösung zur detaillierten Analyse potentiell infizierter End- geräte. Derartige Lösungen werden auf den Endgeräten selbst installiert. Dort erkennen sie Schadcode zum Beispiel an seinem tatsächlichen Verhalten auf dem Endgerät oder anhand von Spuren im Hauptspeicher. Organisationen, die das Problem vorausschauender angehen, stellen daher mit Recht den Sinn einer Sandbox- Analyse im Netzwerk in Frage. Alternativ kann auch direkt eine Lösung auf die Endgeräte der Anwender gebracht werden, die dort Schadcode erkennt oder am besten gleich verhindert. Entsprechend zeigt sich am Markt eine Renais- sance von Host- Intrusion- Prevention- Systemen (HIPS) und Sandbox- Lösungen für Endgeräte. Hersteller wie Cyvera (2013 von Palo Alto übernommen), Trustware oder In- vincea treten in die Fußstapfen von Herstellern, die bereits vor mehr als zehn Jahren ähnliche Ideen implementierten. Damals konnten sich die Systeme noch nicht durchsetzen: Einerseits waren die Betriebssysteme noch nicht so weit wie heute und die Integration eines HIPS in Windows XP oder NT 4.0 war sehr fragil. Andererseits war der Bedarf vor zehn Jahren noch lange nicht so groß wie heute in Anbetracht gezielter und professioneller Angriffe. Mikrovirtualisierung - ein neuer Ansatz Ein neuer technischer Ansatz, der die Grundidee einer Sandbox auf dem Endgerät auf eine neue technische Basis hebt, kommt von den ursprünglichen Erfindern des Xen- Hypervisor, die die Firma Bromium gegründet haben. Sie verwenden einen sogenannten Microvisor: Innerhalb des laufenden Betriebssystems isoliert er einzelne Tasks individuell von dem Rest des Systems, ohne dass sich für den Anwender etwas ändert. Ein Microvisor ist technisch be- trachtet ein spezieller Hypervisor, der jedoch nicht wie bei Xen oder VMware verwendet wird, um mehrere Betriebs- systeme unabhängig voneinander auf der gleichen Hard- ware laufen zu lassen. Ein Microvisor arbeitet innerhalb eines vorhandenen Betriebssystems. Bei einem Microvisor werden beispielsweise alle Browser- Sessions zu nicht vertrauenswürdigen beziehungsweise externen Websites zur Laufzeit in individuellen Micro- VMs abgeschottet; von dort aus haben sie keinen unkontrollierten Zugriff auf lokale Ressourcen mehr. Durch eine Copy- on- Write- Technik ist der zusätzliche Ressourcen- Bedarf so gering, dass er nicht weiter auffällt. Ebenso wenig kommt es zu spürbaren Ver- zögerungen. Das Erzeugen einer Micro- VM erfolgt bei- spielweise innerhalb von 10 Millisekunden. Auf einem Februar 2015 Seite 16

17 Bild 1: Architektur der Micro VM von Bromium. Isolation statt nur Erkennung. normalen Arbeitsplatz- PC kann ein Anwender daher durchaus 50 Micro- VMs gleichzeitig erzeugen, ohne etwas davon zu bemerken. Der Sicherheitsgewinn der Mikrovirtualisierung von Bromi- um entsteht nicht durch das Erkennen von Schadcode, sondern durch die Isolation aller potentiell gefährlichen Aktivitäten in einzelne Micro- VMs. Daher muss Schadcode überhaupt nicht erkannt werden. Er ist in einer virtualisierten Umgebung gefangen und hat keinen Kontakt zum ei- gentlichen lokalen Betriebssystem oder zum internen Netzwerk.Ein Anwender bemerkt in der Praxis nichts davon. Er kann ungehindert im Web surfen, Dokumente öff- nen und auf Mail- Attachments klicken, selbst wenn es sich um verseuchte Phishing- Mails handelt. Wird dabei Schadcode ausgeführt, so sieht dieser nur eine isolierte Umgebung und wird beim Schließen der betroffenen Browser- Session zusammen mit der jeweiligen Micro- VM gelöscht. Auch die Grundidee der Isolation von externen Zugriffen ist eigentlich nicht neu. In den Anfangszeiten des Internets führten zahlreiche Organisationen dedizierte Internet- PCs ein, die keinen Anschluss an das lokale Netz hatten. Auch bei sogenannten ReCoBS- Lösungen (Remote Controlled Browsing System) basiert Sicherheit darauf, dass das Web- surfen isoliert von der normalen Arbeitsumgebung der Anwender stattfindet. Im Fall von ReCoBS ist es ein isolier- ter Server, von dem aus die Webbrowser ins Internet ge- langen, und die Anwender greifen über eine Windows- Terminal- Session auf den Server zu. Dieser Ansatz ist aus Anwendersicht heute kaum noch akzeptabel, denn die Integration zwischen einer modernen Office- Umgebung, Mail und Browser ist sehr eng und wird durch die Verlage- rung der Browser auf einen isolierten Server auseinander- gerissen. Zudem bleibt meist die Frage offen, wie mit Dokumenten verfahren werden soll, die ein Anwender aus dem Internet herunterladen muss, um sie intern weiter zu bearbeiten. Der Anwender benötigt dann einen Weg, um Dokumente aus der isolierten Umgebung in das interne Netz zu trans- ferieren. Dafür sind zusätzliche Prüf- und Freigabeprozesse nötig, die zwar Arbeit erzeugen, jedoch Schadcode in der Regel auch nicht zuverlässig erkennen können. Februar 2015 Seite 17

18 Der andere, bessere Weg Bromium geht hier einen anderen Weg und erlaubt dem Anwender das Abspeichern und Weiterbearbeiten von Dokumenten im internen Netz. Die Isolation bleibt so lange wie möglich aufrechterhalten. Dazu markiert der Microvisor von Bromium Dokumente beim Abspeichern, wenn sie aus einer nicht vertrauenswürdigen Quelle kommen. Die Markierung wird dabei auf der Host- Seite der Virtualisierung verwaltet und ist aus den Micro- VMs heraus nicht sichtbar. Wenn ein Anwender nun ein abge- speichertes Dokument öffnet, das entsprechend markiert ist, so öffnet es sich wieder in einer isolierten Micro- VM. Selbstverständlich besteht auch bei solchen Ansätzen das Restrisiko von Schwachstellen im Sicherheitsprodukt selbst. Es ist jedoch sehr viel geringer als das Risiko, dass eine Erkennungsmethode versagt. Ein theoretischer Aus- bruch aus einer Micro- VM ist von der Komplexität her vergleichbar mit dem Ausbruch aus einem Gast- System einer VMware- Virtualisierung. Derartige Szenarien sind zwar vorstellbar, die Sicherheitshürde für einen Angreifer ist jedoch sehr viel höher als bei Sicherheitslösungen im Netzwerk oder bei Sicherheitsprodukten, die auf klassi- schen Sandboxen auf dem Endgerät basieren. Vorteile der Hypervisor- Architektur Ein völlig anderer Aspekt, der Mikrovirtualisierung attraktiv macht, ist die automatische Malware- Analyse, die nebenbei erfolgt. In einer Hypervisor- Architektur lassen sich vom Host- System aus die Gast- Systeme beobachten. So ist es von VMware und anderen Hypervisor- Produkten bekannt. Bisher wird diese Technik beispielsweise genutzt, um auf einem ESX- Server den Virenscanner nicht mehr in den Gast- Systemen selbst zu installieren, sondern ihn über den Hypervisor- Zugriff außerhalb und für alle Gast- Systeme unsichtbar und zentral zu positionieren. Bei Bromium existiert auch eine Komponente, die die Ab- läufe innerhalb der Micro- VMs analysiert und erkennen kann, wenn Schadcode offensichtlich bösartige Dinge aus- führt. Diese Komponente läuft außerhalb der Micro- VMs und ist aus diesen heraus nicht sichtbar. Falls ein Anwen- der per Mail oder von einer Website mit Malware infiziert wird, so geschieht dies nur in einer Micro- VM. Die Malware hat folglich keinen Zugriff auf interessante Daten oder Systeme. Ihr Verhalten in der Micro- VM liefert jedoch eine detaillierte Malware- Analyse, und somit können die Ände- rungen an Registry, auf der Festplatte oder die Kommuni- kation mit Command- und Control- Servern grafisch aufbe- Bild 2: Der Bromium Mikrovisor. Februar 2015 Seite 18

19 0 Virtualization to go Bild 3: Umfassende Darstellung aller relevanten Details zu Angriffen über die LAVA-Konsole von Bromium. Mikrovirtualisierung stellt somit eine spannende Option für die Zu- kunft dar. Sie eröffnet neue Perspektiven für den Schutz vor gezielten Angriffen und löst nebenbei zusätzlich noch weitere Probleme der IT- Sicherheit. reitet werden. Da sich das Verhalten nur innerhalb einer Micro- VM abspielt, kann kein echter Schaden entstehen und alle Manipulationen in der virtuellen Umgebung werden beim Schließen des Browsers mitsamt der Micro- VM verworfen. Die Malware- Analyse ist daher keine notwendi- ge Voraussetzung für den Schutz, sondern ein Zusatznut- zen, mit dem die Organisation lernen kann, was ein Angrei- fer eigentlich beabsichtigt und wie er arbeitet. Mikrovirtualisierung stellt somit eine spannende Option für die Zukunft dar. Sie eröffnet neue Perspektiven für den Schutz vor gezielten Angriffen und löst nebenbei zusätzlich noch weitere Probleme der IT- Sicherheit. So lassen sich Paradigmen, die in der Vergangenheit gesetzt waren, jedoch nie befriedigend funktioniert haben, in Frage stellen: Kann und muss man einem Anwender tatsächlich beibrin- gen, dass er jede Mail hinterfragt, bevor er sie öffnet oder bevor er ein angehängtes PDF- Dokument anklickt? Kann und muss man tatsächlich wöchentlich neue Patches von Java- Interpretern, Flash- Playern oder PDF- Readern auf allen Endgeräten verteilen, obwohl die Zeit für das Testen und eine Rollout- Planung nicht ausgereicht hat? Wenn das Öffnen von externen Mails und das Surfen im Internet durch Virtualisierungstechnik abgeschottet wird, können gefahrlos Dokumente aus Mail- Attachments geöff- net und Links angeklickt werden. Dies ist zum Beispiel in einer Personalabteilung, die täglich Bewerbungsunterlagen von unbekannten Absendern erhält, unabdingbar. Februar 2015 Seite 19

20 1 Virtualization to go Ebenso kann auf panisches Testen und Ausrollen von Patches, die bisher bei neu bekannt gewordenen Schwachstellen in Browsern oder deren Plug- ins nötig waren, verzichtet werden. Zwar bleibt ein alter und ungepatchter Browser damit angreifbar, doch in einer isolierten Micro- VM kann ein potentieller Schadcode keinen echten Schaden anrichten und sich nicht weiter verbreiten. Stefan Strobel Weitere Informationen: Video: Stefan Strobel Impressum IT Verlag für Informationstechnik GmbH Michael- Kometer- Ring Aying Deutschland Tel.: +49 (0) E- Mail: it- management@it- verlag.de Web: daily.net Geschäftsführer: Ulrich Parthier Chefredakteur: Ulrich Parthier, V.i.S.d.P. u.parthier@it- verlag.de Erscheinungstermin: Februar 2015 Illustrationen: Haftungshinweis: Für den Fall, dass Artikel oder Informationen un- zutreffend oder fehlerhaft sind, haftet der Verlag nur beim Nachweis grober Fahrlässigkeit. Für namentlich gekennzeichnete Artikel ist der jeweilige Autor verantwortlich. Externe Links: Trotz sorgfältiger inhaltlicher Kontrolle übernehmen wir keine Haftung für die Inhalte externer Links. Für den Inhalt der verlinkten Seiten sind ausschließlich deren Betreiber verantwortlich. Copyright: IT Verlag für Informationstechnik GmbH. Alle Rechte vorbehalten. Nachdruck, digitale Verwendung jeder Art, Vervielfältigung nur mit schriftlicher Genehmigung der Redaktion. Nachdruck und Online- Nutzung: Wenn Sie Teile dieses s für eigene Veröffentlichungen wie Websites, Kundenzeitschriften oder Sonderdrucke verwenden möchten, wenden Sie sich bitte an den Chefredakteur. Februar 2015 Seite 20