Sicherheit für virtualiserte Welten. Thorsten Schuberth Senior Technical Consultant & Security Evangelist

Transkript

1 Sicherheit für virtualiserte Welten Thorsten Schuberth Senior Technical Consultant & Security Evangelist 2010 Check Point Software Technologies Ltd. [Unrestricted] For everyone 1

2 Agenda Grundsätzliches: Sicherheit auf Netzwerkebene Virtualisierungseinmaleins Virtualisierung und Sicherheit Check Point Firewall - Funktionsübersicht VPN-1 VE-Besonderheiten VE-Anwendungsszenarien SMB / Office-in-a-Box Enterprise Data Centers Managed Services (MSP) 2

3 Virtualisierung und Security 2010 Check Point Software Technologies Ltd. [Unrestricted] For everyone 3

4 Cloudsecurity - in der Wolke Schutz der virtualisierten Systeme Service Console VPN Gateway DB Server Web Server Exchange+ File Server VPN-1 VE vswitch 0 vswitch 1 vswitch 2 vswitch 3 vswitch 4 VMware ESX Option 2 4

5 Sicherheit in der Wolke Teil 2 Trennung der virtualisierten Maschinen Kontrolle zwischen Maschinen (nicht nur vswitches)? ce ole VPN Gateway DB Server Web Server Exchange+ File Server VPN-1 VE h 0 vswitch 1 vswitch 2 vswitch 3 vswitch 4 VMware ESX? 5

6 Check Point Firewall Features 2010 Check Point Software Technologies Ltd. [Unrestricted] For everyone 6

7 Virtualisierungsmodelle Virtualisierung von Sicherheit Sicherheit für Virtualisierung Konsolidierung von Sicherheitsgateways auf einer physikalischen Hardware (VSX) Mehrere Gateways auf einer Serverplattform Sicherheit für virtualisierte Umgebungen, somit Sicherheit für die virtuellen Server (VE) Hinzufügen von Gateways innerhalb der Virtualisierung 7

8 Check Point Firewall Check Point: Erfinder der Stateful Firewall in 1993 Firewall Zugangskontrolle Auch für komplexe Protokolle / individuelle Applikationen Dynamisches öffnen von Ports falls/ wenn notwendig VPN (Site-to-Site und Remote-Access): IPsec, SSL NAT, Authentication, Alerting & Reporting, Stateful Inspection an sich Zentrales Management für alle Check Point Produkte Von Einzelinstallationen bis zu Multi-Tier-/ Multi-Client- Umgebungen 8

9 Erweiterte Firewall Funktionalitäten Unified Threat Management (UTM) Komponenten: Gateway-Antivirus AntiSpam URL-Filtering Integriertes IDS / IPS mit vollem Funktionsumfang Spezielle Add-ons VoIP Web Security NAC / Identitätsbasiertes Firewalling Workflow-Administration Entwicklung von FireWall-1 / VPN-1 zu Security Gateway 9

10 VPN-1 VE Funktionen VE = Virtual Edition 2010 Check Point Software Technologies Ltd. [Unrestricted] For everyone 10

11 Check Point VPN-1 Virtual Edition Entwickelt für VMware ESX/ESXi Versionen 3.0 und 4.0 Basierend auf Check Points Firewall-Technologie inklusive aller Funktionen Zertifiziert durch VMware als Virtual Appliance für ESX Liefert Security innerhalb der Virtualisierung 11

12 VE und VMwares VMotion Migration laufender Virtueller Maschinenvon einem ESX- Server zu einem anderen Zero Downtime Durchgängige Verfügbarkeit Unterstützung für durch VE geschützte Maschinen VPN-1 VE an sich 12

13 Schutz innerhalb des Hypervisors Hypervisor 13

14 Security Gateway VPN-1 VE Avatar Firewall, IPS und UTM Sicherheit innerhalb des VMkernels (Hypervisor) durch VMwares VMsafe-Technologie auf dem vswitch aufsetzend basierend auf Security Gateway R70 entworfen für hohen Durchsatz identisch mit den Gateway-Produkten, die für den Schutz der Fortune 100 sorgt Lauffähig ab VMware vsphere

15 VMware VMsafe-Integration Untersuchung der Pakete auf vswitch-ebene Ohne Mit Avatar pkt Security API VMkernel (Hypervisor) Avatar Firewall IPS/IDS UTM Antivirus Anti-Spam\Malware Mail scanning Web Filtering 15

16 Security Gateway VE Avatar - Security Schutz einzelner VM, auch zwischen VM auf dem selben vswitch hochgranulare Sicherheit per vswitch, Portgruppe oder VM Detect only -Modus Schutz vor Fehlkonfigurationen Schutz vor Inter-VM- und externen Bedrohungen Schutz der Virtualisierungsressourcen (z.b. Service Console) 16

17 Security Gateway VE Avatar - Management Automatische & nahtlose L2-Integration Interoperabel mit VMware vsphere Management Ein Management für die Security Policy auf virtuellen und physikalischen Systemen Alarmierungsfunktion für diverse Virtualisierungsdienste Vollständige Integration und das Bewusstsein von VMware-Funktionen: VMotion, DRS, Maintenance Mode 17

18 Anwendungsfall 1/3: Office-in-a-Box For SMB market / Branch Offices 2010 Check Point Software Technologies Ltd. [Unrestricted] For everyone 18

19 Anwendungsfall Office in a box Office in a box (SMB & Branch offices) Konsolidiert und virtualisiert alle physikalischen Geräte auf einem Server Ermöglicht einfaches Einrichten von entfernten Stadtorten VPN-1 VE schützt die konsolidierte Umgebung und die physikalischen Server & Client VPN-Services (IPSec und/ oder SSL) Ein Management für mehrere SMB/BR 19

20 Office in a box pkt The Internet Ext VPN Tunnel Trunk port VE Int V3 Web DB FTP pkt Service Console pkt 20

21 Anwendungsfall 2/3: Enterprise Data Center Click To Edit Master Subtitle Style 2010 Check Point Software Technologies Ltd. [Unrestricted] For everyone 21

22 Anwendungsfall Data Center Virtualization 22

23 Von Maschinen- zu Anwendungspolicy Vorher IIS #1 Firewall Load Balancer IIS #2 Firewall Tomcat App Server Oracle Nachher 23

24 VMotion & ClusterXL Pkt The Internet pkt pkt ESX server 1 ESX server 2 ext Web ext Vswitch Web Web Web Vswitch Web Vswitch ext VE Active Vswitch sync Sync Sync Vswitch sync VE Standby Active Vswitch ext Vswitch App int Switch int Vswitch App App1 App2 App3 Mgmt 24

25 ESX Server-Farmen pkt pkt pkt The Internet Ext Ext ESX 1 ESX 2 ESX 3 ESX 4 Ext Ext Active Standby Sync App Sync App Sync App 25

26 Anwendungsfall 3/3: Managed Service For Providers offering hosted Applications & hosted Security Click To Edit Master Subtitle Style 2010 Check Point Software Technologies Ltd. [Unrestricted] For everyone 26

27 Service Providers Virtualisierte Sicherheit für die Cloud Schutz durch und mit Check Point VPN-1 VE VPN-1 VE pro Kunde VPN-1 VE pro Dienst Einzelne Dienste für einzelne Kunden AntiVirus AntiSpam/ -Malware Mail Scanning Web Filtering VoIP 27

28 Anwendungsfall pkt MSPs pkt Customer A Customer B Customer C Int ext Int ext Int ext VE VE VE UTM-1 full-set UTM-1 Antivirus UTM-1 Web Filtering ESX Server 28

29 Q&A Any (virtual) questions? 29