Die Sicherheit von VMware vcloud Air TECHNISCHES WHITE PAPER

Transkript

1 Die Sicherheit von VMware vcloud Air TECHNISCHES WHITE PAPER

2 Das gemeinsame Sicherheitsmodell für vcloud Air Die End-to-End-Sicherheit von VMware vcloud Air (der Service ) wird zwischen VMware und dem Kunden aufgeteilt. VMware ist für die Sicherheit der Elemente des Services verantwortlich, über die VMware die alleinige physische, logische und administrative Kontrolle hat. Der Kunde ist für die Elemente des Services verantwortlich, bei denen der Kunde über administrativen Zugriff oder administrative Kontrolle verfügt. Die Hauptverantwortlichkeitsbereiche von VMware und Kunde werden unten aufgeführt. VMware unternimmt wirtschaftlich angemessene Maßnahmen, um Folgendes bereitzustellen: Physische Sicherheit: VMware schützt die Rechenzentren, in denen vcloud Air gehostet wird, vor physischen Sicherheitsverletzungen. Informationssicherheit: VMware schützt die Informationssysteme für die Bereitstellung von vcloud Air, über die VMware die alleinige administrative Kontrolle besitzt. Netzwerksicherheit: VMware schützt die Netzwerke, die seine Informationssysteme enthalten, bis zu dem Punkt, ab dem der Kunde über die Kontrolle, die Berechtigung oder den Zugriff zur Modifizierung des Kundennetzwerks verfügt. Sicherheitsüberwachung: VMware überwacht Sicherheitsereignisse in Verbindung mit den zugrunde liegenden Infrastrukturservern, Storage-, Netzwerk- und Informationssystemen, die für die Bereitstellung von vcloud Air verwendet werden und über die VMware die alleinige administrative Kontrolle hat. Diese Verantwortung reicht nur bis zu dem Punkt, ab dem der Kunde über die Kontrolle, die Berechtigung oder den Zugriff zur Modifizierung eines Elements des Services verfügt. Patching und Schwachstellenmanagement: VMware wartet die zur Bereitstellung des Services verwendeten Systeme und führt Patches durch, die für die Zielsysteme als kritisch erachtet werden. Zur Erkennung von Risikobereichen bei den Systemen, die zur Bereitstellung des Serviceangebots eingesetzt werden, führt VMware regelmäßige Sicherheits-Scans aus. Kritische Schwachstellen werden zeitnah behoben. Der Kunde trägt die Verantwortung für Folgendes: Informationssicherheit: Der Kunde trägt die Verantwortung für den angemessenen Schutz der Informationssysteme, Daten, Inhalte und Anwendungen, die der Kunde bereitstellt oder auf die er mittels vcloud Air zugreift. Dazu zählen unter anderem Patches, die Behebung von Sicherheitslücken, Datenverschlüsselung, Zugriffskontrollen, Rollen und Berechtigungen, die den internen und externen Benutzern des Kunden oder Dritten erteilt werden, usw. Netzwerksicherheit: Der Kunde trägt die Verantwortung für die Sicherheit der Netzwerke, über die der Kunde administrative Kontrolle hat. Dazu zählen unter anderem die Verwaltung effektiver Firewall- Regeln, die Offenlegung von Kommunikations-Ports, die nur für den Geschäftsbetrieb benötigt werden, die Einschränkung des Zugriffs auf autorisierte Anwender und andere vergleichbare Kontrollen. Sicherheitsüberwachung: Der Kunde trägt die Verantwortung für die Erkennung, Klassifizierung und Behebung aller Sicherheitsereignisse, die innerhalb des vcloud Air-Kundenkontos auftreten, einschließlich virtueller Maschinen, Betriebssysteme, Anwendungen, Daten oder Inhalte, die beim Scannen von Schwachstellen offengelegt werden oder für die ein Compliance- oder Zertifizierungsprogramm erforderlich sind, an dem der Kunde teilnehmen muss und das nicht im Rahmen eines VMware-Sicherheitsprogramms stattfindet. WHITE PAPER / 2

3 Externes Netzwerk (Firewall, Routing, Ports, Richtlinien, Protokolle) Internes Netzwerk (Segmentierung, Ports, Richtlinien usw.) Zugriffsschicht für Anwendung/Portal/Inhalte Anwendung/Inhalte Anwendung/Inhalte Betriebssystem Betriebssystem Betriebssystem Virtuelle Maschinen Virtuelle Maschinen Virtuelle Maschinen VMware vcloud Air-Managementsysteme (Hypervisor, einheitliches Portal, Systeme zur Unterstützung des Betriebs, Systeme zur Unterstützung des Business) Physische Infrastruktur von VMware vcloud Air (Server, Storage-Systeme, Backup-Systeme, Switch-Netzwerk) VMware vcloud Air-Rechenzentrum Abbildung 1: In diesem Verantwortlichkeitendiagramm werden die Kontrollgrenzen und Bereiche der individuellen Verantwortung von VMware und den Mandanten von vcloud Air dargestellt. Die blauen Bereiche unterliegen der Verantwortung von VMware, während die grauen Bereiche der Verantwortung des Kunden unterliegen. Umgang mit Sicherheitsbedrohungen Im folgenden Abschnitt werden die verschiedenen Sicherheitsbedrohungen beschrieben, gegen die VMware innerhalb der vcloud Air-Plattform vorgeht: Sicherheit auf Virtualisierungs-/Hypervisor-Ebene VMware vcloud Air verwendet VMware vsphere -Virtualisierung und VMkernel. VMkernel wird ausschließlich zur Unterstützung virtueller Maschinen verwendet und nutzt Absicherung des Arbeitsspeichers, digitale Signaturen für Integrität und Authentifizierung sowie Intel Trusted Platform Module/Trusted Execution Technology (TPM/TXT), um einen Remote-Nachweis des Hypervisor-Images basierend auf Hardware Root of Trust zu erhalten. Die vsphere-plattform wird regelmäßig auf Common Criteria Certification überprüft. Die aktuellen Zertifikate finden Sie unter Informationen zum Schutz Ihrer VM-Workloads finden Sie unter com.vmware.icbase/pdf/vsphere-esxi-vcenter-server-55-security-guide.pdf. Datensicherheit Der gesamte Storage wird logisch mittels VMware vcloud Director und Storage-Profilen zwischen Mandanten isoliert. Block-Storage wird unterteilt und jedem Mandanten zugewiesen. Jeder Mandant hat nur Zugriff auf den eigenen Storage-Block. VMware unterstützt gastinterne Verschlüsselung. Hierbei können Kunden ihre Daten innerhalb der virtuellen Maschine verschlüsseln, um Datenschutz und Compliance sicherzustellen. Datenverschlüsselung während der Übertragung: Bei VMware vcloud Air müssen Kunden verschlüsselte SSL-VPN-/IPsec-VPN-Tunnel einrichten oder Direct Connect nutzen, um die verschlüsselte Datenübertragung zwischen Kundenstandort und vcloud Air sicherzustellen. Datenverschlüsselung während der Speicherung: VMware empfiehlt bei vcloud Air die Verwendung von Tools für gastinterne Verschlüsselung, um gespeicherte Kundendaten innerhalb des Services zu schützen. Unser Partner CloudLink kann Sie bei der Verschlüsselung Ihrer Daten mit Ihrer bestehenden Schlüssel-Managementlösung unterstützen. Genauere Informationen zur Lösung finden Sie hier: WHITE PAPER / 3

4 Netzwerksicherheit Bei vcloud Air Virtual Private Cloud (VPC) handelt es sich um isolierte Ressourcen mit einem eigenen internen Netzwerk und einem Edge-Gateway zu einem virtuellen Netzwerk, in dem Kunden ihre eigenen Firewall- und NAT-Regeln einrichten können. Die Netzwerksegmentierung wird durch virtuelle erweiterbare LANs (VxLANs) erreicht, die Kunden eine breite Palette an isolierten Netzwerken ermöglichen. Kunden können mittels IPsec-VPN-Tunneln auf ihre virtuellen Maschinen zugreifen. vcloud Air Dedicated Cloud bietet von allen anderen vcloud Air-Mandanten physisch isolierte und reservierte Computing-Ressourcen mit einem oder mehreren virtuellen Edge-Gateways zu einem virtuellen Netzwerk, in dem Kunden ihre eigenen Firewall- und NAT-Regeln einrichten können. Die Netzwerksegmentierung wird durch VxLANs erreicht, die Kunden eine breite Palette an isolierten Netzwerken ermöglichen. Kunden können mittels IPsec-VPN-Tunneln auf ihre VMs zugreifen. Physische Sicherheit Für das Hosting seiner Workloads nimmt VMware die Dienste etablierter Rechenzentrumsanbieter in Anspruch. Diese Anbieter wurden von einem unabhängigen Dritten auf Erfüllung der physischen Sicherheitsanforderungen von ISO/IEC 27001, SOC 1 Type 2/SSAE 16/ISAE 3402 und SOC 2 Type 2 hin untersucht und überprüft. Vollständige AT101-Berichte, in denen die Spezifikationen aufgeführt sind, können auf Nachfrage zur Verfügung gestellt werden. Compliance-Zertifizierungen vcloud Air wurde von einem unabhängigen Dritten erfolgreich auf die Erfüllung von ISO sowie SSAE16 SOC2 Type 2 und HIPAA geprüft. Der Service befindet sich aktuell im Zertifizierungsprozess für die Standards SSAE 16 SOC3 und PCI DSS 2.0. Mit vcloud Government Service richtet VMware derzeit eine separate Community-Cloud ein, die aktuell vom Autorisierungsgremium der US-Regierung (Joint Authorization Board; JAB) nach FedRAMP-Kriterien zertifiziert wird, um eine vorläufige Betriebserlaubnis zu erhalten. Patch-Management VMware strebt die Bereitstellung von erforderlichen Patches innerhalb von 30 Tagen an; sicherheitsbezogene Patches für kritische oder ernste Fehler werden nach Einzelfall abhängig von Umfang und betroffener Komponente behandelt. Reaktionsverfahren auf Sicherheitsvorfälle VMware trägt die Verantwortung für die Reaktion auf Sicherheitsvorfälle (z.b. Erkennung, Schwere/ Bedrohungsklassifizierung, Forensik und Behebung) in Verbindung mit der Managementinfrastruktur, bei der VMware über den/die unmittelbare(n), administrative(n) und/oder physische(n) Zugriff/Kontrolle verfügt, wie Server, Storage, Anwendungen und Netzwerkgeräte von vcloud Air. Diese Verfahren werden intern von VMware durchgeführt, um VMware-Kunden einen hohen Qualitätsstandard bieten zu können. Überwachung und Meldung von Datenlecks Wenn VMware feststellt, dass Kundeninhalte ohne Autorisierung aufgerufen, genutzt oder offengelegt wurden, unternimmt VMware unter Berücksichtigung aller geltenden Gesetze und behördlichen Auflagen alle angemessenen Schritte, um die betroffenen Kunden zu benachrichtigen. Verfahren zur Erkennung von Eindringversuchen VMware überwacht Sicherheitsereignisse in Verbindung mit den zugrunde liegenden Infrastrukturservern, Storage-, Netzwerk- und Informationssystemen, die für die Bereitstellung von vcloud Air verwendet werden und über die VMware die alleinige administrative Kontrolle hat. Das Ziel dieses Verfahrens ist die Ermittlung von Sicherheitsvorfällen und eine proaktive Reaktion. Diese Verantwortung reicht nur bis zu dem Punkt, ab dem Kunden über die Kontrolle, die Berechtigung oder den Zugriff zur Modifizierung eines Elements des Services verfügen. Der Kunde trägt die Verantwortung für die Netzwerke, die unter seiner administrativen Kontrolle stehen. Dazu zählen unter anderem die Verwaltung effektiver Firewall-Regeln, das Offenlegen von Kommunikations- Ports, die nur für den Geschäftsbetrieb benötigt werden, das Einschränken des Zugriffs auf autorisierte Anwender und ähnliche Funktionen. WHITE PAPER / 4

5 Proaktive Sicherheitsüberwachung über Internet und Social Media (z.b. Durchsuchen von Filesharing-Seiten nach Kundendaten, Hinterlegen von Daten mit Honeytokens) Die Sicherheitsteams von VMware führen im Internet eine OSINT-Überwachung aller Produkte und Services von VMware durch. Dazu zählt die Erfassung von Daten von Suchmaschinen, auf Filesharing-Seiten und aus sozialen Netzwerken. Diese Daten werden auf Schlüsselwörter und andere besondere Hinweisen analysiert. Im Bezug auf Datenlecks ist allein der Kunde für den Schutz seiner Inhalte verantwortlich, einschließlich des Zugriffs von Mitarbeitern, Kunden und Dritten. vcloud Air bietet gewisse Software und Funktionen zum Schutz der Inhalte vor unberechtigtem Zugriff, wie Firewalls, Load Balancer und IPsec-VPNs. Kunden wird empfohlen, zusätzliche Sicherheitsmaßnahmen ähnlich ihres Rechenzentrums bereitzustellen, um Bereiche wie Datenverschlüsselung, Erkennung von Eindringversuchen, Überwachung der Dateiintegrität sowie andere Branchen- und behördliche Auflagen, die das Kundenunternehmen betreffen, abzudecken. Sicherheitsorganisation und Betrieb VMware beschäftigt mehrere Sicherheitsteams, die für die verschiedenen Aspekte der Bereitstellung von Produkten und Services sowie für den Schutz der Unternehmensnetzwerke von VMware verantwortlich sind. VMware verfügt über einen speziellen Security Product Line Manager, der für die Sicherstellung angemessener Sicherheitskontrollen und -funktionen innerhalb des VMware-Services verantwortlich ist. VMware verfügt über ein Produktsicherheitsteam, das für die Bewertung der Schwachstellen von VMware- Software und -Produkten verantwortlich ist. Dieses arbeitet eng mit F&E- und Technikerteams zusammen, um sichere Programmierpraktiken sicherzustellen und sicherheitsrelevante Leitfäden zu veröffentlichen. VMware verfügt über ein Information Security-Team, das für die Sicherung der Cloud-Services von VMware verantwortlich ist und Sicherheitsstandards und -richtlinien sowie die Bereitstellung und Implementierung neuer Sicherheitstechnologien festlegt. VMware verfügt über ein eigenes, rund um die Uhr aktives Security Operations-Team, das für die Überwachung der Cloud-Services von VMware verantwortlich ist. Dieses reagiert auf Vorfälle und führt forensische Untersuchen sowie OSINT-Überwachung durch. Außerdem stellt es die Einhaltung interner Richtlinien und Standards sicher. Die Sicherheitsteams von VMware verfügen über verschiedene Zertifizierungen wie ISC2, GIAC und weitere für den jeweiligen Fachbereich relevante Zertifizierungen. Mehrere Mitglieder der Sicherheitsteams von VMware verfügen auch über Sicherheitsfreigaben für das US-Verteidigungsministerium und sind Mitglieder in anderen Organisationen wie des FBI InfraGard- Programms und der HTCIA. Alle Mitarbeiter von VMware nehmen an Weiterbildungen, Schulungen und Zertifizierungen teil. VMware unterzieht alle neuen Angestellten einer Zulässigkeitsprüfung. Diese umfasst die Überprüfung von Sozialversicherungsnummer, Ausfuhrkontrolle/DPL, Ausbildung, Beschäftigungsverhältnissen sowie des polizeilichen Führungszeugnisses. WHITE PAPER / 5

6 VMware, Inc Hillview Avenue Palo Alto CA USA Tel Fax Zweigniederlassung Deutschland Freisinger Str Unterschleißheim/Lohhof Telefon: Fax: Copyright 2014 VMware, Inc. Alle Rechte vorbehalten. Dieses Produkt ist durch US-amerikanisches und internationales Copyright und Gesetze zum Schutz des geistigen Eigentums geschützt. VMware-Produkte sind durch ein oder mehrere Patente geschützt, die auf der folgenden Webseite aufgeführt sind: VMware ist eine eingetragene Marke oder Marke der VMware, Inc. in den USA und/oder anderen Ländern. Alle anderen in diesem Dokument erwähnten Bezeichnungen und Namen sind unter Umständen markenrechtlich geschützt. Artikelnr.: VMW6437-TWP-vCLD-AIR-SECURITY-A /14