Strategien zum Schutz virtueller Server und Desktops

Strategien zum Schutz virtueller Server und Desktops Die richtige Balance zwischen Schutz und Performance Autor: Jonathan Tait, Product Marketing Manager Virtualisierung heute In den letzten Jahren hat Virtualisierungstechnologie Rechenzentren revolutioniert. Mittels Server-Virtualisierung können zahlreiche virtuelle Server über nur einen physikalischen Server betrieben werden. Hiermit gehen erhebliche Kosteneinsparungen einher, die diese Technologie so lukrativ machen. Kein Wunder also, dass immer mehr Unternehmen versuchen, diese Vorteile auch auf Desktop-Ebene zu übertragen. Desktop-Virtualisierung steckt noch in den Kinderschuhen, lockt jedoch mit signifikanten Einsparungen bei Betriebskosten und Unternehmensumstrukturierungen. Dieses White Paper nimmt die Sicherheit beim Einsatz von Virtualisierung unter die Lupe. Es geht auf heutige Strategien zum Schutz virtueller Umgebungen ein und erstellt Prognosen über zukünftige Technologien, mit denen die Sicherheit in Virtualisierungen noch weiter erhöht werden kann. Außerdem verrät Ihnen dieses White Paper, wie Sie Ihre virtuelle Umgebung ohne Kompromisse bei Schutz oder Performance optimal sichern. Vorteile von Virtualisierungstechnologie in die Tat umsetzen Beim Einsatz von Virtualisierungstechnologie erreichen Sie mit weniger Ressourcen mehr und sparen somit Zeit und Geld. Dank Server-Virtualisierung können Servergruppen als wieder verwendbare Pools konfiguriert werden. Eine solche Server-Virtualisierung wurde in der Vergangenheit vor allem zur Einsparung von Hardware- Kosten eingesetzt. Mit voranschreitender Entwicklung dieses Verfahrens ergeben sich jedoch auch auf dem Gebiet der Verfügbarkeit und Zuverlässigkeit entscheidende Vorteile. Insgesamt können 50 70 % der gesamten IT-Aufwendungen eingespart werden. Strategien zum Schutz virtueller Server und Desktops 1

Nicht verwunderlich daher, dass Server-Virtualisierung den Markt wie im Sturm erobert hat. Laut Marktforschungsinstitut IDC sind 50 % aller heutzutage verkauften Server-Lizenzen für virtuelle und nicht physische Server bestimmt. Unternehmen sind nun bestrebt, das Konzept der Server-Virtualisierung auch auf ihre Desktops zu übertragen. Bisher sind zwar nur rund 1 % aller Desktops virtualisiert. Aber Unternehmen wissen um die Vorteile dieser Technologie und der Markt wächst rasend schnell. Von 2008 bis 2013 prophezeit Gartner eine jährliche Wachstumsrate von 84 %, welches einem Umsatzzuwachs von 38 Mio. USD (ca. 29 Mio. EUR) auf 795 Mio. USD (614 Mio. EUR) innerhalb von nur fünf Jahren entspräche. Eine besondere Herausforderung bei der Virtualisierung von Desktops besteht darin, dass Investitionen in die Infrastruktur vorgenommen und die Verwaltungsstruktur überarbeitet werden müssen. Hierzu zählen Upgrade-Server im Rechenzentrum und Thin- Client-Hardwaregeräte sowie neue Nutzungs- und Schulungsrichtlinien für Benutzer. Diese Variante amortisiert sich also u.u. langsamer als eine Server- Virtualisierung. Der größte Vorteil beim Einsatz von Virtualisierungstechnologie liegt in der Tatsache, dass Finanzmittel eingespart und anderweitig in den Unternehmenserfolg investiert werden können. Da Mitarbeiter heutzutage auf flexible und mobile Arbeitsmethoden angewiesen sind, hat ein zentraler Zugriff auf Desktops (Laptop, Internet, Café, ipad oder Smartphone) klare Produktivitätsvorteile. Bei einer Desktop-Virtualisierung werden alle Programme, Anwendungen, Prozesse und Daten des Benutzer-Desktops zentral ausgeführt und somit die Datensicherheit erhöht. Zusätzlich erleichtert eine Desktop-Virtualisierung die Implementierung eines Unternehmensstandards durch die IT-Abteilung. Strategien zum Schutz virtueller Server und Desktops 2

Herausforderungen an die Sicherheit in virtuellen Umgebungen Virtualisierungstechnologien bieten auf dem Gebiet der Sicherheit bestimmte Vorteile. Zum Beispiel ist es für Sie einfacher, spezifische Server für die Ausführung unternehmenskritischer Software-Anwendungen bereitzustellen. In vielen Kreisen der Branche gelten virtuelle Umgebungen sogar als sicherer, da Daten unterschiedlicher Unternehmensbereiche entsprechend isoliert werden können. Sie können beispielsweise einen Server speziell für die Finanzabteilung und einen separaten für die Personalabteilung bereitstellen. Laut Schätzungen von Gartner-Analyst Neal MacDonald sind jedoch 60 % aller virtualisierten Server im Vergleich zu ihren traditionellen Äquivalenten weniger sicher. Bis 2015 wird dieser Prozentsatz auf 30 % fallen. In seinem im Januar 2010 veröffentlichten Bericht Addressing the Most Common Security Risks in Data Center Virtualization Projects 1 hat Virtualisierungstechnologie hauptsächlich in folgenden Bereichen Schwachpunkte: Datensicherheit ist gemeinhin kein Bestandteil von Virtualisierungsprojekten (über 40 % aller befragten Unternehmen gaben an, bei solchen Projekten keine Sicherheitsexperten hinzuzuziehen). Adäquate Kontrollen des Administratorzugriffs auf die Hypervisor-Ebene (Monitortreiber) und auf Verwaltungsprogramme fehlen. Es sollte an dieser Stelle darauf hingewiesen werden, dass, obwohl die Möglichkeit einer Einschleppung neuer Risiken durch Virtualisierung besteht, z.b. in Form eines Hypervisor-Angriffs Sicherheitsanbieter die Situation kontinuierlich beobachten und bisher keinerlei Schädlinge identifizieren konnten. Die Bedrohung ist also theoretischer Natur. Um das Thema Schutz für Virtualisierungen hat sich ein regelrechter Hype entwickelt. Wir empfehlen jedoch, das Wesentliche im Auge zu behalten. Am besten übertragen Sie bestehende Maßnahmen, die Sie zur Sicherung physikalischer Systeme erfolgreich einsetzen, auf Ihre virtuellen Maschinen (VMs). Allerdings gilt es, Leistungsbeschränkungen zu berücksichtigen. Viele Unternehmen haben Virtualisierungstechnologie getrieben von möglichen Kosteneinsparungen übereilt eingeführt und dabei entscheidende Anforderungen an die Sicherheit sowie mögliche Leistungseinbußen außer Acht gelassen. Ein Kompromiss auf Virtualisierungsebene könnte Einschränkungen bei allen gehosteten Arbeitsauslastungen zur Folge haben (auch bekannt unter der Bezeichnung Hypervisor- Angriff). Arbeitsauslastungen unterschiedlicher Vertrauensstufen werden auf einem physikalischen Server ohne hinreichende Separierung konsolidiert. Strategien zum Schutz virtueller Server und Desktops 3

Grundlegende Sicherheitsanforderungen an virtuelle Endpoints Um innerhalb Ihres gesamten Unternehmens von führendem Schutz zu profitieren, benötigen Sie auf Ihren virtuellen Computern den gleichen Endpoint- Schutz wie auf Ihren physikalischen Systemen. Einfacher Virenschutz ist in keinem Fall ausreichend. Und da Einsparungen bei den Betriebskosten die treibende Kraft sind, benötigen Sie auch ein einfaches Verwaltungs- und Installationskonzept. Bei physikalischen Systemen wird jeder physikalische Computer mit seiner eigenen Kopie der Anti-Virus- Software aktualisiert. In einer virtuellen Umgebung herrschen jedoch andere Systembeschränkungen, die aus der Tatsache resultieren, dass ein physikalischer Host zehn oder mehr VMs beherbergen muss, die sämtlich ein und dieselbe CPU I/O und den gleichen Arbeitsspeicher beanspruchen. Dieser Engpass kommt bei einer Desktop-Virtualisierung deutlicher zum Tragen, da hier mehr VMs pro Server betrieben werden. Demzufolge bekommen Benutzer Performance-Probleme leichter zu spüren. Updates Updates erstrecken sich auf zahlreiche Bereiche, vom Vorgang der Einspielung regelmäßiger Kennungsupdates bis hin zu monatlichen Software-Upgrades. Eine der Herausforderungen von Updates liegt im Montag morgens um 9.00 Uhr Problem : Sämtliche VMs beziehen Updates gleichzeitig und überlasten das Netzwerk. Ein weiteres Problem bei Updates ist die Speicherbeanspruchung. Wenn auf jeder VM lokale Kopien der Virusdaten bereitgehalten werden, hat der physikalische Host mit einer unnötigen Speicherlast zu kämpfen. Das dritte Problem besteht in der Verarbeitung von Updates. Mit jedem Update werden Systemressourcen erheblich beansprucht und dies mit noch weitreichenderen Folgen als beim Update von Virusdaten. Zwei kritische Komponenten von Endpoint-Schutz Updates und Scans leiden besonders unter den Systembeschränkungen von Virtualisierungen. Strategien zum Schutz virtueller Server und Desktops 4

Scans Probleme bei On-Demand-Scans in virtuellen Umgebungen konzentrieren sich auf die beiden folgenden Bereiche: Erstens haben Sie eventuell nicht genug Zeit, um alle Scans innerhalb eines bestimmten Zeitraums abzuschließen. In diesem Fall liegt Ihr Ziel darin, eine bestimmte Anzahl von Scans innerhalb eines definierten Zeitraums durchzuführen. Scans können zwar gestaffelt werden. Aber oft wird ein Punkt erreicht, an dem für die wöchentlichen Updates Hunderter Computer einfach nicht mehr genügend Zeit vorhanden ist. Außerdem kann die Endbenutzer-Performance in Folge der gleichzeitig erfolgenden Scans geschmälert werden. Denn wenn zahlreiche VMs auf die gleichen physikalischen Systemressourcen zurückgreifen, können die Leistungseinbußen beim Endbenutzer erheblich sein. Eine Staffelung ist daher unausweichlich. Auch ist im Falle eines Malware-Ausbruchs u.u. die Durchführung eines vollständigen Scans notwendig, was aufgrund einer Überlastung von Ressourcen im Zweifelsfall unmöglich werden kann. Die richtige Balance zwischen Schutz und Performance Da immer mehr Unternehmen Virtualisierungstechnologie in ihrem Netzwerk einen hohen Stellenwert einräumen, ist es unumgänglich, einen hinreichenden Schutz dieser Umgebungen ohne Performance- Einbußen zu realisieren. Ohne Weiterentwicklungen auf dem Gebiet der Virtualisierung ist es für Sicherheitsanbieter schwierig, Kunden ein ausgeglichenes Verhältnis zwischen Schutz und Performance bereitzustellen. In der jüngsten Vergangenheit haben Virtualisierungs- und Sicherheitsanbieter sich hauptsächlich auf den Performance-Aspekt konzentriert, um pro physikalischem System mehr VMs beherbergen zu können auf Kosten des Endpoint-Schutzes. Daher mag es Moment den Anschein haben, als müssten Sie die Qual der Wahl zwischen Performance und Schutz treffen. Beide Strategien haben ihre Vor- und Nachteile; wie Sie die richtige Balance zwischen Performance und Schutz schaffen, verraten wir Ihnen im weiteren Verlauf dieses White Papers. Auf dem Gebiet der Virtualisierung müssen Sie ferner auf lange Sicht planen, da die Weiterentwicklung dieser Technologie in Zukunft noch bessere Sicherheitslösungen hervorbringen wird. Schutz Performance Mit Sophos erwartet Sie maximaler Schutz bei maximaler Performance Strategien zum Schutz virtueller Server und Desktops 5

Heutige Strategien zum Schutz virtueller Umgebungen Aktuell existieren eine Reihe von Strategien zum Schutz virtueller Server und Desktops, die eine gleichzeitige Performance-Maximierung ermöglichen. Bei Servern eröffnen sich Ihnen zahlreiche Optionen. Sie können für Virtualisierungen optimierten Virenschutz installieren und dann Schutz für sonstige Server-Tools hinzufügen. Bei Desktops hingegen dürfen Sie auf dem Gebiet der Sicherheit keine Kompromisse eingehen. Grundlegende Schutzfunktionen wie Application Control, Device Control, proaktiver Virenschutz, Host Intrusion Prevention-Systeme (HIPS) und URL-Filterung müssen berücksichtigt werden. Um auf einem Host möglichst viele VMs ohne Leistungseinbußen beherbergen zu können, muss die von Ihnen gewählte Lösung zahlreiche virtuelle Maschinen mit minimalem System- und Netzwerkeinfluss scannen und aktualisieren können und zwar, ohne den Arbeitsspeicher des Hosts unnötig zu belasten. Um sich maximalen Schutz ohne Performance- Einbußen zu sichern, befolgen Sie ganz einfach unsere folgenden Tipps: Optimieren Sie den Update- und Scanvorgang: Installieren Sie ein Produkt, mit dem Sie Scans zeitsteuern und Updates staffeln können. So halten Sie den Einfluss auf Ihre Benutzer im Rahmen. Reduzieren Sie Verwaltungskosten: Implementieren Sie eine Lösung, die einfach und bequem parallel zu Ihrer bestehenden Schutzlösung für physikalische Endpoints verwaltet werden kann. Betriebskosten können auch bei Reduzierung von Hardware-Ausgaben steigen. Sie müssen daher in jedem Fall sicherstellen, dass Ihr Schutz für physikalische und VMs parallel verwaltet und aktualisiert werden kann. Vermeiden Sie in jedem Fall unnötige Zeit- und Ressourcenaufwendungen bei der Verwaltung Ihres Schutzes in virtuellen Umgebungen. Installieren Sie Lösungen, die weniger Arbeitsspeicher beanspruchen: Speicherplatz ist immer Gold wert. Wenn Sie eine maximale VM-Anzahl auf einem physikalischen System unterbringen möchten, sollten Sie Produkte, die unnötig Speicher vergeuden, unbedingt vermeiden. Halten Sie nach Sicherheitsprodukten Ausschau, die wenig Arbeitsspeicher beanspruchen. Dies gilt insbesondere für potenziell systembelastende Vorgänge wie zeitgesteuerte Scans und Updates. Strategien zum Schutz virtueller Server und Desktops 6

Schützen Sie virtuelle Bilddateien offline: Sie steigern die Performance und stellen Ihre User zufrieden, indem Sie sich dem Schutz Ihrer virtuellen Bilder widmen, wenn diese offline sind. Es geht ganz einfach: Scannen Sie Bilddateien im Offline-Zustand. Somit reduzieren Sie den Negativeinfluss auf Systeme und Benutzer, wenn die Bilddatei wieder online geht. Alternativ kann auch ein Zentral-Scan vorgenommen werden, um den Scanner auf den neuesten Stand zu bringen. Ändern Sie Ihr Scanverhalten: Durch eine Reduzierung der zu überprüfenden Dateien kann die Performance erheblich gesteigert werden. Wird der virtuelle Desktop auf Basis eines Gold Image erstellt, ist keine Überprüfung der einzelnen Bildinstanzen nach dem Scan des Images mehr erforderlich. Sie können die Scans auf Dateien des virtuellen Desktops beschränken, die von dem Master Gold Image abweichen. Strategien zum Schutz virtueller Server und Desktops 7

Zukünftige Entwicklung von Sicherheitsprodukten für Virtualisierungen Da Virtualisierungsverfahren in den kommenden Jahren einen höheren Entwicklungsstand erreichen werden, wird es für Sicherheitsanbieter in Zukunft einfacher sein, mehr Funktionen ohne Performance-Einbußen bereitzustellen. So brauchen Sie keinen Kompromiss zwischen Sicherheit und Performance mehr einzugehen. In den meisten Unternehmen befindet sich die Desktop-Virtualisierung noch in der Planungsphase. Der Schlüssel zum Erfolg liegt in diesem Stadium darin, langfristig zu planen: Sowohl aktuelle als auch zukünftige Sicherheitsverfahren sowie eine mit den Jahren expandierende Anzahl virtueller Maschinen müssen berücksichtigt werden, um auf lange Sicht bestmöglichen Schutz realisieren zu können. Um unter den aktuellen Voraussetzungen Maximalperformance zu erreichen und den Einfluss von Sicherungsverfahren auf die Systemleistung zu minimieren, arbeiten Virtualisierungsanbieter eng mit Sicherheitsanbietern zusammen. Eine solche Kooperation kann jedoch, wie bereits erwähnt, nur unter Beschneidung der üblichen Schutzfunktionen von Erfolg gekrönt sein und auf dem Gebiet der Desktop-Virtualisierung potenzielle Sicherheitsrisiken auf den Plan rufen. Die derzeitige Lösung eines Zentralscans bietet Performance-Vorteile, jedoch ist das Schutzpotenzial begrenzt. Bei der Auswahl von geeignetem Schutz für virtuelle Desktops sollten Sie sich nicht nur auf Virenschutz beschränken. Ziel der Kooperation von Sicherheitsund Virtualisierungsanbietern ist es, die Versorgung virtueller Umgebungen mit innovativen Endpoint- Schutz-Funktionen wie HIPS, URL-Filterung, Data Loss Prevention (DLP), Application Control und Device Control über den zentralen Scan-Weg zu verbessern. Unsere Strategie besteht darin, auf VMs den gleichen Sicherheitsgrad zu schaffen wie auf physikalischen Systemen. Unser Ziel ist es, dies ohne Leistungseinbußen bei einer maximalen Anzahl virtueller Maschinen per Host zu erreichen. Unsere aktuellen Sicherheitsstrategien verfolgen das Ziel, den Balanceakt zwischen Schutz und Performance in idealer Weise zu meistern. Und wir arbeiten bereits an neuen Sicherheitslösungen um parallel zur Weiterentwicklung von Virtualisierungsverfahren führenden Schutz für physikalische und virtuelle Endpoints bereitzustellen. Mehr Tipps erhalten Sie im Sophos White Paper Eine praktische Anleitung zum Schutz virtueller Datencenter unter www.sophos.de/security/topic/ keep-your-virtual-data-center-safe.html. 1. Gartner, Addressing the Most Common Security Risks in Data Center Virtualization Projects, von Neil MacDonald. 25. Januar 2010. http://www.gartner.com/displaydocument?ref=clientfriendlyurl&id=1288115 Boston, USA Oxford, UK Copyright 2010. Sophos Ltd. Alle Rechte vorbehalten. Alle Marken sind Eigentum ihres jeweiligen Inhabers.