Virussuojaus virtuaalisessa ympäristössä

Transkriptio

1 Virussuojaus virtuaalisessa ympäristössä TechWorld-lehden testi numero 4-6/2014, Virtuaalisessa konesalissa ei saa tinkiä turvallisuudesta! TechWorld-lehden asiantuntijat testasivat neljä tuotetta, jotka toimivat hieman eri tavoin. Kaikki suoriutuivat tehtävästä, mutta ennakkosuosikki nousi ylitse muiden. Skenaario Suurin osa yrityksen palvelimista on virtuaalisia. Nyt on tarkoitus ottaa käyttöön VDI. IT-johto epäilee, että kaikkiin VDI-työasemiin paikallisesti asennettu perinteinen virussuojaus heikentää tallennusratkaisun suorituskykyä merkittävästi. Tämä vaikuttaisi sekä työasemiin että palvelimiin. Siksi halutaan ottaa käyttöön kehittyneempi virussuojaus. Yrityksen käytössä on 10 virtuaalista Windows-palvelinta ja 150 VDI-työasemaa jaetussa ympäristössä, jota ajetaan kolmessa kahdella prosessorilla varustetussa isäntäpalvelimessa. Yhä useampi palvelin on virtuaalinen, joten muulle palvelimia ympäröivälle ekosysteemille asetetaan uusia vaatimuksia. Kaikki ovat yhtä mieltä siitä, että virussuojausratkaisua tarvitaan, mutta perinteinen ratkaisu ei todennäköisesti ole paras mahdollinen virtuaalisessa ympäristössä. Jos halutaan ottaa käyttöön VDI-ratkaisuja myös työasemat virtualisoidaan, kannattaa perehtyä vaihtoehtoisiin virussuojausmenetelmiin. Jos jokaiseen työasemaan asennetaan perinteinen virussuojausagentti, kiintolevyjen suorituskyky aiheuttaa todennäköisesti ongelmia, koska monet palvelimet ja työasemat tarkastavat tiedostojärjestelmän samanaikaisesti ajastettuna. Silloin paraskin SAN-järjestelmä hyytyy. Lisäksi aiheutuu perinteinen ongelma. Virukset ja virussuojaus ottavat toisistaan mittaa samalla taistelukentällä eli samassa käyttöjärjestelmässä. Kuormitus vältetään älykkään ratkaisun avulla Ongelma on siis ratkaistava uudella tavalla. Ratkaisu voi olla hypervisor-integroitu virussuojaus. Siitä on runsaasti hyötyä. Ennen kaikkea se tuo tullessaan älykkään tarkistuksen. Silloin koko ratkaisua ei ylikuormiteta, koska hypervisor-tasolla toimivalla tuotteella on kokonaiskuva tarkistettavista virtuaalikoneista. Lisäksi nämä laitteet tarkistetaan mahdollisesti perusteellisemmin virusten varalta, koska viruksen on paljon vaikeampi piiloutua ulkoisen tarkistuksen aikana. Tällöin koko virtuaalikoneratkaisu otetaan haltuun ja tarkastetaan ikään kuin ulkopuolelta käsin. Näin tiedostoja ja meneillään olevia prosesseja voidaan valvoa tehokkaammin. VMware antaa käyttöön API-rajapinnan Tällainen ratkaisu kannattaa ottaa käyttöön virtuaalisessa ympäristössä. VMware antaa käyttöön ESXi-APIn, jonka avulla toimittajat voivat luoda ulkoisia virussuojausratkaisuja. API asennetaan lisäämällä Vshield Endpoint nykyiseen Vsphere-ympäristöön. Vshield Endpoint - lisenssi sisältyy Essentials Plus- ja korkeamman tason lisensseihin. Erillistä lisenssiavainta ei tarvita. Riittää, että Vshield ladataan VMwarelta ja asennetaan nykyiseen ympäristöön. Lisäksi virtuaalikoneisiin on asennettava pieni Vshield Driver -agentti niiden suojaamiseksi. Se otetaan käyttöön VMware Tools -ohjelmistossa. Vshield Endpoint hallitsee nykyään vain Windows-pohjaiset virtuaalikoneet, mutta Linux-tuki on suunnitteilla. Kun käytössä on tällainen virussuojaus, on tärkeää, että tarkistuksesta vastaavan virtuaalikoneen yhteyttä isäntäpalvelimeen ei katkaista. Siinä ei saa olla käytössä mitään HA-klustereita eikä DRS-toimintoja. Vmotion-yhteyttä ei saa katkaista, kun isäntäpalvelin onsammutettava. Lisäksi kutakin isäntäpalvelinta varten tarvitaan tällainen virtuaalikone. Se

2 on sammutettava manuaalisesti, ja sen tulee olla viimeinen virtuaalikone, jonka isäntäpalvelin sammuttaa ja ensimmäinen, joka käynnistetään isäntäpalvelimen käynnistymisen jälkeen. VMware käyttää tarkistuksesta vastaavasta virtuaalikoneesta SVAnimitystä (security virtual appliance). Hallinnasta vastaavan virtuaalikoneen nimi on SVC (security virtual console). Monet toimittajat tarjoavat Vshield-integroituja ratkaisuja. Olemme valinneet ja asentaneet niistä neljä selvittääksemme, mikä niistä on paras. Lähtökohtana oli Vsphere 5.1 -ympäristö ja siihen asennettu Vshield. Tuotteet asennettiin yksitellen arvioitaviksi. Käyttäjä voi kummastella Tuotteita voidaan ajaa täysin ilman agenttia, joten virtuaalikoneemme eivät huomaa joutuneensa tarkistuksen kohteiksi. Tämä voi kylläkin aiheuttaa kummastusta käyttäjässä, jos esimerkiksi saastunut tiedosto poistetaan varoittamatta. Tämä ongelma voidaan usein ratkaista lisäämällä virtuaalikoneeseen agentti, mutta suojaaminen ei edellytä tätä. Tutustuimme kaikkien tuotteiden valintaruutuihin, otimme selville niiden toiminnan ja laadimme arvion. Vshield Endpoint koostuu useista osista. Vshield Manager toimii virtuaalikoneena, jonka avulla ESXi-hypervisorin Endpoint-moduuli aktivoidaan. Lisäksi jokaiseen virtuaalikoneeseen on asennettava pieni VMware Tools -agentti (kuvassa näkyvä Vshield-virtuaalikoneagentti). Varsinaisesta virustarkistuksesta vastaava virtuaalikone (SVA) luodaan kolmannen osapuolen ratkaisun avulla. Sitä hallitaan SVC-toimittajan konsolin avulla. Toimittaja voi myös laatia pienen virtuaalikoneeseen asennettavan agentin, joka ilmoittaa käyttäjälle viruksen havaitsemisesta. Trend Micro Deep Security Trend Micro on ollut mukana jo pitkään, joten odotimme sen tuotteelta paljon. Emme joutuneet pettymään. Asennusohjeet olivat testin selkeimmät, ja asentaminen sujui kuin tanssi. Tuote oli käyttökunnossa jo muutaman minuutin kuluttua. Meidän tarvitsi vain katsella vierestä tyytyväisinä. Asennus eteni täysin automaattisesti. Vain muutama salasana piti syöttää. Ensin asennettiin SVC eli Deep Security Manager. Sitä hallitaan täysin Web-

3 pohjaisesti. Testi jatkui. SVA asennettiin isäntäpalvelimeen. Lisäksi ESX-isäntäpalvelimeen asennettiin pieni suodatusohjain hallintamahdollisuuksien laajentamiseksi. Isäntäpalvelimeen on saatavana myös UEFI-eheydenhallinta. VMware ei tarjoa sitä itse. Mukana valmiita määrityksiä Kun kaikki oli valmista, määritettiin SVA-asetukset ja testissä käytettävä virtuaalikone määritettiin käyttöjärjestelmänsä mukaisesti. Trend Micron toimitukseen sisältyy valmiita asetuksia useimpia käyttöjärjestelmiä varten. Testasimme avaamalla tartunnan saaneen testitiedoston. Se katosi virtuaalikoneesta heti. Se asetettiin karanteeniin määritysten mukaisesti. Noin minuutin kuluttua Deep Security Manager ilmoitti tartunnasta ja tiedoston asettamisesta karanteeniin. Näimme heti, mikä virtuaalikone oli saanut tartunnan, joten tiedosto voidaan poistaa tai ladata lähempää tarkastelua varten. Raportointimahdollisuudet ovat erinomaiset. Oli helppo laatia siisti PDF-asiakirja, josta näkyy, mitä kuluneen vuorokauden aikana on tapahtunut. Testasimme myös pienen vain 2 megatavun kokoisen agentin lataamista virtuaalikoneeseen. Sen jälkeen saimme selkeitä tietoja virtuaalikoneen suojaamisesta. Kun yritimme uudelleen päästä käsiksi viruksen sisältävään tiedostoon, näkyviin tuli ilmoitus sen saastumisesta ja käsiksi pääseminen estettiin. Erittäin laajat valvontamahdollisuudet Mahdollisuudet luoda periaatteita ovat erittäin laajat. Virustorjunnan lisäksi on mahdollista tarkastella lokeja, valvoa virtuaalikoneen käyttöjärjestelmän eheyttää tiedostotasolla sekä määrittää palomuuri- ja tunkeutumissäännöt esimerkiksi Javascript redirect -hyökkäysten torjumiseksi. Lisäksi saimme käyttöön URL-suodatuksen, joka perustuu Trend Microlta jatkuvasti ladattaviin sääntöihin. Se tunnistaa vaaralliset sivustot ja estää pääsyn niihin. URL-osoitteita voi lisätä luetteloon ja poistaa siitä itse. Asennusmahdollisuudet tuntuvat lähes loputtomilta. Tehtäväksemme jäi lähinnä ihastella, kuinka yksityiskohtaisesti virtuaalikoneen tietoturvaa voi ohjata. Trend on onnistunut luomaan Deep Securitystä todellisen huipputuotteen. Se nousi ylivoimaiseksi testivoittajaksi. Olisimme ehkä toivoneet Deep Security Manager - yleiskatsaussivun tietojen päivittyvän nopeammin, mutta toisaalta sitä tuijotetaan aika harvoin jatkuvasti. Jos pitäisi ottaa käyttöön jokin testatuista tuotteista, se olisi ilman muuta Trend Deep Security. Trendin SVA muistuttaa ESXi-konsolia.

4 Virussuojauksen lisäksi Trend Deep Security sisältää sivustosuojauksen, palomuurin, tunkeutumisenestojärjestelmän ja käyttöjärjestelmän eheyden valvonnan. Testitulokset: BitDefender Security for Virtualized Environments - Helppo asentaa. Selkeät tiedot loppukäyttäjille. Helppo laajentaa agenttipohjaiseksi ratkaisuksi. - Puutteita raportointimahdollisuuksissa. McAfee Move Antivirus - Hyvät raportointimahdollisuudet. Tehokas SVC, useita asennusmahdollisuuksia. - Monimutkainen asentaa. Epäselvä dokumentointi.

5 Trend Micro Deep Security - UEFI-eheydenvalvonta ESXi-käynnistyssuojausta varten. Helppo ja selkeä asentaa. Hyvät tiedot. Loistavat monipuoliset hallintatoiminnot. Selkeät raportit. - Kojetaulu päivittyy joskus hitaasti. Sophos Anti-Virus for VMware Vshield - Helppo asentaa. Toimii yhdessä Vsphere 5.5:n kanssa. - Tartunnan saaneen palvelimen löytäminen on vaikeaa. Ei sisällä toimintoja, joita tarvitaan vuorovaikutukseen käyttäjän kanssa. Kallis tuote. Ei Web-rajapintaa. Suojaa yhtä hyvin kuin tavallinen - tai paremmin Sen lisäksi, että ratkaisu tarjoaa paremman suorituskyvyn jaetussa ympäristössä, vähintään samantasoinen suojaus kuin perinteisiä agentteja käytettäessä tuntuu hyvältä. Virtuaalikoneiden hypervisor-tasolla tarkastamiskonseptista on vaikea löytää mitään haittoja. Suosittelemme kaikkia virtuaalisten ympäristöjen käyttäjiä tutustumaan tähän menetelmään viruksilta suojautumiseksi. Näin testattiin Kokosimme testausympäristön, johon kuului ESXi 5.1 -isäntäpalvelin, jota hallittiin Vcenter 5.1:n avulla, ja toimialueen ohjain. Loimme virtuaalikoneen, jossa otettiin käyttöön Vshield Endpoint -agentti, ja asensimme isäntäkoneeseen Vshield Endpoint -ohjelmiston. Tämän jälkeen testattavat tuotteet asennettiin yksi kerrallaan. Kaikki testit aloitettiin uudessa Vsphere-ympäristössä, jotta tuotteiden toisiaan häiritsemisen riskit jäisivät mahdollisimman vähäisiksi. Virtuaaliseen palvelimeen laitettiin Eicar-testitiedosto, jotta saadaan selville, mitä tuotteet tekevät tartunnalle. Jokainen toimittaja tarjoaa myös perinteistä ratkaisua, jossa virtuaalikoneisiin asennetaan agentti, mutta tässä testissä keskityttiin agentittomaan asennukseen tai vain pienikokoisen agentin käyttämiseen lähinnä vuorovaikutuksen aikaansaamiseksi käyttäjän kanssa. * * * * Yhteenveto Kaikki testatut tuotteet täyttivät perustason vaatimukset, joten ne soveltuvat käytettäviksi, mutta ne selviytyvät tehtävistä eri tavoin ja niiden asentamisen helppous vaihtelee. Bitdefenderin yksinkertaisuus ja EPOn raportointimahdollisuudet miellyttävät, mutta Trend Micro nousi selkeäksi testivoittajaksi huolellisesti suunnitellun ja runsaasti toimintoja sisältävän tuotteensa ansiosta. Testivoittaja Trend Deep Security VDI-ratkaisut yleistyvät, joten kaikki yritysten palvelimet ovat yhä useammin virtuaalisia. Tällöin tarvitaan uusia menetelmiä suojautua viruksilta. Jos virtuaalikoneissa käytetään perinteisiin virussuojausagentteihin perustuvaa ratkaisua, ympäristön kuormittumisen välttämiseksi kannattaa tutustua testaamiimme tuotteisiin. Trend Deep Security on suosituksemme ratkaisuksi, ellei jokin kolmesta muusta tuotteesta sovellu nykyiseen ympäristöön paremmin. Lisätietoja: Trend Micro Suomi Kauppakatu 31 A Keilaranta Jyväskylä Espoo info_fi@trendmicro.com