Virtualiseringen är absolut här för att stanna. Den
är definitivt ingen dagslända och den kommer troligen vara lika
självklar som ett världsomspännande IP-nät. Det finns givetvis
massor kvar innan virtualiseringen är fulländat. Till skillnad från
det världsomspännande nätet, som är allt annat än proprietärt, så
är den virtualisering som nu sker så proprietär som den bara kan
bli. Förhoppningsvis nyktrar aktörerna till och kan enas kring
öppna standarder.
Jag tror få har varit så lyriska som just kring virtualiseringen.
Merparten av alla tidigare problem är som bortblåsta. Tyvärr går
tåget på sina håll så snabbt så att allt säkerhetstänk också är
helt bortblåst, trots att virtualiseringen har större påverkan på
vår informations- och IT-säkerhet än vad kanske många tror.
Många har kommit långt i sitt säkerhetsarbete. Exempelvis är
zonindelning utifrån informationsklass inte längre en utopi utan
snarare en realitet hos allt fler. Likaså går skydden i och mellan
de olika zonerna allt oftare i harmoni med vad de egentligen är
satta att skydda. När infrastrukturbygget nästan var perfekt, så
kommer en virvelvind i form av virtualisering och vänder upp och
ned på allting. Riktigt så illa är det kanske inte och det behöver
definitivt inte vara illa. Däremot krävs det ånyo en kraftsamling
för att inte säkerhetsarbetet skall backa ett par nivåer.
Det finns en läckageoro i den virtuella miljön och det finns det
givetvis fog för. Det fanns det redan när VLAN introducerades 1998
och givetvis är 802.1Q standarden inte fulländad utan det handlar
om att anstränga sig vad gäller design, implementation och
konfiguration. Annars kan man fortsätta med galvaniskt åtskilda nät
mellan olika säkerhetszoner. Det samma gäller i den virtuella
miljön. Det läcker titt som tätt, oftast mellan gäst och värd. Det
tätas och det uppstår nya läckor. Om vi har tänkt någorlunda sunt
så behöver läckorna inte vara ett säkerhetsproblem.
Det finns en nätoro när den virtuella miljön helt plötsligt är en
stor del av infrastrukturen. Vad händer med alla nätbaserade skydd
som brandväggar, IPS, innehållskontroller med flera? Självklart
kommer de i sin nuvarande form att vara fullständigt verkningslösa.
Den som tror sig stoppa en mask med en nätbaserad IPS kommer att
bli lätt olycklig när den virtualiserade miljön blivit helt
komposterad. Några har uttryckt sig stark och sagt att
virtualiseringen är slutet på nätsäkerhetseran. Riktigt så illa
behöver det inte vara, utan ånyo behövs lite ansträngning för att
se hur den virtualiserade miljön passar in säkerhetstänket.
Givetvis skall ni inte anpassa ert säkerhetstänk, som
förhoppningsvis vilar på en stabil grund, utan den virtualiserade
miljön skall anpassas och kompletteras med nödvändiga skydd som
kanske tidigare var avsedda för en fysisk infrastruktur.
Det finns en plattformsoro som inte är grundlös med tanke på att
äggen helt plötsligt hamnar i väldigt få korgar. Detta brukar de
flesta dock ha en plan för, inte minst ur ett
tillänglighetsperspektiv, och är därmed inte så sårbar som man
först kanske tror. Det som kanske inte är lika känt är att den
plattform som är satt till att hantera en mängd virtuella servar
inte har det underliggande skydd som krävs. Exempelvis har
vidareutveckling av hårdvaran för att förbättra skyddet mellan
olika gäster medfört helt nya typer av sårbarheter som i sin värsta
form innebär att en gäst obemärkt kan starta en egen hypervisor
ovanpå den egentliga värdens hypervisor. Utvecklingen fick motsatt
effekt men det är knappast förvånande att ny teknik innehåller nya
sårbarheter. Det är den krassa verkligheten. Nytt är däremot att
fokus breddas ytterligare, från att ha varit relaterad till
operativsystem, tjänster och tillämpning så är helt plötsligt ting
som hårdvara och BIOS under lupp i jakten på sårbarheter. Troligen
ser vi ännu bara toppen av isberget på det här området.
Trots orosmolnen så finns det ingen anledning att ha dem som enda
ursäkt till att inte virtualisera. Däremot gäller det att inse att
virtuell säkerhet i sig inte kommer att ge några besparingar. Det
kommer att kosta och sanningen är den att kostnaden uppstår även om
inget aktivt säkerhetsarbete görs i den virtuella miljön. Jag
behöver knappast tillägga att den oplanerade kostnaden är
oförutsägbar och i bästa fall bara sur i smaken.
Det är som alltid bättre att förekomma än att förekommas, inte
minst i den virtuella vär(l)den.
