Nuovo servizio Virtual Infrastructure Security Assessment

McAfee ha rilasciato oggi il primo servizio realizzato appositamente per supportare le aziende nell’adozione sicura delle tecnologie di virtualizzazione. Come parte della propria strategia che intende fornire la più completa soluzione per rendere sicura la virtualizzazione, i McAfee® Foundstone® Professional Services hanno delineato una serie di indicazioni di sicurezza che riguardano persone, processi e tecnologia per educare le grandi aziende che utilizzano le tecnologie di virtualizzazione. “A seguito della popolarità della virtualizzazione e della corsa a trarne i benefici, le aziende non sempre possono seguire le migliori best practices di sicurezza,” afferma Bill Hau, vice president of McAfee Foundstone Professional Services. “Molte delle pratiche di sicurezza che funzionano nell’ambiente informatico fisico sono valide anche nel mondo virtuale, ma ci sono alcuni requisiti specifici di questo ambiente. Il nostro nuovo servizio aiuterà gli utenti a soddisfare le necessità di sicurezza di questi nuovi ambienti virtuali.”

“La nuova offerta dei Foundstone Professional Services si integra con le potenti caratteristiche di sicurezza peresenti nel software di virtualizzazione VMware,” aggiunge Brian Byun, vice president of global partners and solutions di VMware. “Insieme, VMware e McAfee permettono ai clienti di continuare ad utilizzare i propri ambienti virtualizzati con una sicurezza ancora maggiore rispetto agli ambienti puramente fisici.”

I McAfee Foundstone Professional Services supportano le grandi aziende nel creare, implementare e manutenere l’infrastruttura virtuale con la più elevata sicurezza possibile. I consulenti Foundstone offrono un aiuto per identificare e attenuare il rischio di un’infrastruttura virtuale esaminando le persone, i processi e la tecnologia che ruotano intorno a questa installazione virtuale.

"Grazie alla formulazione di un approccio olistico nei confronti di persone, processi e tecnologia, i professionisti della sicurezza possono essere sicuri che la loro strategia di virtualizzazione è in linea con il resto della loro tradizionale politica di sicurezza", ha detto Hau. "Le organizzazioni possono ora godere di tutti i vantaggi della virtualizzazione con maggiore sicurezza, attuando un approccio basato sull’analisi del rischio. Questo non è solo consigliato, ma direi proprio essenziale nel momento in cui i cambiamenti sono su così larga scala e così radicali".

Requisiti della sicurezza virtualizzata

La virtualizzazione sta dando un notevole impulso al mercato a livello globale, perché è in grado di fornire significativi vantaggi per i clienti business: riducendo il capitale e le spese di gestione, assicurando la continuità del business, intensificando la sicurezza, favorendo l’impegno ecologista.

Tuttavia, le implicazioni di sicurezza date dall’introduzione di macchine virtuali in un ambiente aziendale devono essere considerate con molta attenzione. All’interno di un sondaggio realizzato da InformationWeek nel 2007 su professionisti del settore informatico, solo il 12% ha dichiarato di aver adottato strategie di sicurezza per proteggere le proprie macchine virtuali.

Proprio come per i sistemi fisici, i dipartimenti IT che utilizzano le tecnologie di virtualizzazione devono concentrarsi su persone, processi e tecnologia per mettere in sicurezza gli ambienti con cui hanno a che fare. Alcuni degli aspetti che le aziende devono considerare nel momento in cui implementano ambienti virtuallizzati comprendono:

· Protezione dei dati. Proprio come nei sistemi fisici, gli utenti dovrebbero considerare che i dati verranno memorizzati sui sistemi virtuali. Una violazione può esporre le organizzazioni alla perdita dei dati. I dischi virtuali sono in genere memorizzati su host in un formato non protetto, per questo la crittografia e un solido controllo degli accessi dovrebbero essere presi in considerazione laddove opportuno.

· I controlli di gestione devono essere protetti. Molte console di gestione Web delle macchine virtuali (VM) prevedono la certificazione self-signed SSL che dovrebbe essere sostituita con certificati assegnati da terze parti autorevoli, al fine di prevenire attacchi di tipo man-in-the-middle. Inoltre, proprio come con gli ambienti fisici, le aziende dovrebbero comprendere il rischio dato dall’esposizione su Internet delle interfacce di gestione, o almeno dall’ampliamento del numero delle persone che possono accedervi. La possibilità di intercettare il traffico di gestione potrebbe avere un impatto significativo.

· E’ importante considerare a cosa hanno accesso gli utenti in relazione all’host. Per gestire i sistemi di provisioning e le autorizzazioni può essere saggio creare e definire nuovi ruoli che includano gli amministratori delle virtual machine (VM), gli autori VM e gli utenti VM.

· Gli amministratori devono comprendere le sfumature e gli attacchi che sono possibili sui sistemi che stanno implementando. Mentre questo è altrettanto vero negli ambienti fisici, la tecnologia di virtualizzazione possiede in sé caratteristiche peculiari che ampliano o modificano la superficie dell’attacco. Dato il suo ruolo nell’infrastruttura, questo deve essere compreso chiaramente.

· Modifiche hardware o firmware su una macchina fisica potrebbero pregiudicare la riservatezza, l'integrità e la disponibilità delle macchine virtuali in esecuzione su quella macchina. Similmente, consolidate e comprovate tecniche di gestione delle patch utilizzate oggi, potrebbero dover essere aumentate avendo a che fare con infrastrutture virtualizzate. Le organizzazioni hanno bisogno di tracciare quali software, incluse le applicazioni, sono installati sui propri sistemi fisici e virtuali e di rimanere aggiornati con le patch, compreso lo stesso software di virtualizzazione.

· Gestione degli asset e inventario. Le organizzazioni devono sempre avere il controllo del numero delle licenze in uso, in particolare delle virtual machine che vengono create, dimesse o duplicate.

· Le strategie di contingency planning e disaster recovery possono essere ottimizzate per ottenere significative sinergie dalle implementazioni virtualizzate.

L’offerta di security risk management di McAfee è completamente compatibile con gli ambienti virtuali e può supportare le imprese a creare un ambiente informatico sicuro. ePolicy Orchestrator®, la premiata tecnologia di gestione della sicurezza di McAfee, fornisce una potente gestione unificata, funzionalità di reportistica e monitoraggio per i sistemi fisici e virtuali.

McAfee offre ulteriori informazioni su come rendere sicuri gli ambienti virtuali in “Virtualization and Risk – Key Security Considerations for your Enterprise Architecture,” un nuovo white paper scaricabile all’indirizzo http://www.mcafee.com/virtualization/. Maggiori informazioni sul servizio Foundstone Virtual Infrastructure Security Assessment sono disponibili all’indirizzo www.foundstone.com/virtualization .

Disponibilità

Il nuovo servizio Virtual Infrastructure Security Assessment è attualmente disponibile.