10 mối đe dọa về bảo mật trên máy chủ ảo
Các lỗ hổng của chương trình điều khiển máy ảo (Hypervisor), lừa đảo
máy ảo, lưu lượng mạng ngày càng tồi... Những rủi ro về công nghệ ảo
hóa lớn nhất hiện nay là gì và cách đối phó với chúng như thế nào? Đây
chính là lúc mà chúng ta phải tách rời cơ sở lập luận (thực tế) từ những
hư cấu và bắt tay vào làm việc cụ thể đối với vấn đề này.
Năm 2007, một câu hỏi lớn nhất về vấn đề ảo hóa trong các trung tâm dữ liệu
được đặt ra đó là “Cần phải tốn bao nhiêu tiền và bao nhiêu thời gian để bảo
vệ chúng ta trong vấn đề này?”. Năm 2008, câu hỏi lớn sẽ là “Chúng ta sẽ
được an toàn như thế nào?”. Đó là một câu hỏi rất khó để có thể trả lời. Hãy
xoay quanh các hãng và cố vấn trong lĩnh vực này. Một số nhà nghiên cứu
bảo mật đang cường điệu hóa những rủi ro mang tính lý thuyết như vấn đề
khẩn cấp malware có thể nhắm vào các chương trình điều khiển máy tính ảo
(một mối đe dọa vẫn chưa xuất hiện trong thế giới thực). “Có rất nhiều bàn
tán xung quan vấn đề ảo hóa này và nó có thể đang làm cho chúng ta rối trí”,
Chris Wolf, một nhà phân tích cho công ty nghiên cứu thị trường Burton
Group đã nói như vậy.
Như đổ thêm dầu vào lửa trong việc cường điệu hóa sự thật này, nhiều tổ
chức CNTT nói rằng họ đã ưu tiên tốc độ vận hành hơn cả các hệ số khác,
trong đó có việc lên kế hoạch bảo mật, khi họ bắt đầu việc tạo hàng trăm máy
ảo (VM) trong năm 2007. (Điều đó hoàn toàn không có gì ngạc nhiên, khi
bạn cho rằng hầu hết các doanh nghiệp đã bắt đầu với vấn đề ảo hóa trên các
máy tính phát triển ứng dụng và sự kiểm thử của họ, không cho các máy chủ
đang chạy trong các ứng dụng cốt yếu).
“Chúng tôi cho rằng vấn đề bảo mật sẽ là một vấn đề không thể bỏ sót trong
công nghệ ảo hóa. Thật là điên rồ khi bạn nghĩ về con số các máy tính ảo
mức sản xuất”, Stephen Elliott, giám đốc nghiên cứu về phần mềm quản lý
các hệ thống doanh nghiệp của IDC đã nói như vậy. Cũng theo số liệu của
IDC cung cấp, có tới 75% công ty với khoảng hơn 1.000 nhân viên đang triển
khai công nghệ ảo hóa ngày nay.
“Và tính đến năm 2009, khoảng 60% các máy tính ảo tham gia hoạt động sản
xuất sẽ kém an toàn hơn so với các máy tính vật lý”, Gartner, phó chủ tịch
Neil MacDonald đã dự đoán trong một phát biểu của ông vào tháng 10/2007.
Tuy nhiên nhiều thảo luận về vấn đề bảo mật công nghệ ảo này hiện cho thấy
có nhiều thiếu sót, chuyên gia bảo mật Chris Hoff đã nói vậy, ông cũng giải
thích thêm bởi vì mọi người thường dựng lên một thảo luận bằng cách hỏi
xem các máy chủ ảo sẽ an toàn hơn hoặc kém an toàn hơn những máy chủ vật
lý.
Đó hoàn toàn là một câu hỏi sai lầm, Hoff nói vậy, các blog của ông thường
nêu chủ đề. Câu hỏi đúng đối với thời điểm hiện nay cần nêu ra là “Bạn có
đang áp dụng những gì đã biết về bảo mật đối với môi trường ảo hóa của bạn
không?”
“Mọi người thường hay sa đà vào những vấn đề lý thuyết… khi thực tế có một
xu hướng rõ ràng những thứ có thể thực hiện ngày nay” Hoff nói thêm. Rõ
ràng, sự ảo hóa có dẫn đến một số vấn đề bảo mật mới, nhưng những thứ đầu
tiên đó là “Chúng ta phải thực tế. Hãy bảo đảm rằng chúng ta phải xây dựng
được các mạng ảo cũng như những gì chúng ta đã làm được với mạng vật
lý”.
Trong một ví dụ, ông ta chỉ ra một công cụ quản lý ảo hóa như VMotion của
Vmware, đây là một công cụ rất hữu dụng cho việc chuyển các máy ảo một
cách kịp thời khi gặp vấn đề, và cũng có thể cho phép ai đó với các quyền
quản trị viên có thể phối hợp hai hay nhiều máy ảo đó mà trong thế giới vật
lý, sẽ phải phân tách một cách thận trọng dưới dạng lưu lượng mạng cho
những lý do về bảo mật.
Một số tổ chức CNTT đang gặp phải một vấn đề lỗi mang tính căn bản hiện
nay. Họ đang cho phép nhóm máy chủ chạy những nỗ lực ảo một chiều mà
không đoái hoài gì đến vấn đề bảo mật, lưu trữ và kết nối mạng của đội
CNTT. Điều này có thể gây ra rất nhiều vấn đề về bảo mật mà sẽ không có gì
để làm với sự yếu kém cố hữu của công nghệ ảo hóa và các sản phẩm. “Đây
là một cơ hội hoàn hảo để đưa vào các nhóm hỗ trợ cùng với nó”, Hoff nói
như vậy.
“Ảo hóa là kế hoạch 90%, kế hoạch có cả nhóm hỗ trợ về mạng, bảo mật và
lưu trữ” Wolf của Burton Group đã nói như vậy. Tuy nhiên một thực tế là,
hầu hết các đội hỗ trợ CNTT đều không quan tâm nhiều đến công nghệ ảo
hóa và hiện phải tiến hành để đuổi kịp. Điều gì sẽ xảy ra nếu bạn bỏ lỡ mất
thời cơ lên kế hoạch với tất cả các chuyên gia của mình, hay bạn sẽ phải lo
lắng nhiều hơn khi mở rộng số lượng máy ảo và đưa vào các ứng dụng quan
trọng hơn cần đến độ bảo mật cao hơn vào các máy ảo này?