Server virtualizzati meno sicuri di quelli fisici. Per la Gartner,
fino al 2012, il 60% dei server virtualizzati sarà meno protetto
dei server fisici sostituiti. La situazione migliorerà entro la
fine del 2015 (30% dei server virtualizzati meno sicuri rispetto a
quelli fisici), ma gli analisti sottolineano comunque i rischi
connessi con la realizzazione di progetti che non tengono conto
delle esigenze di messa in sicurezza dei sistemi virtualizzati, fin
nelle fasi iniziali di pianificazione e disegno
dell’architettatura. “La virtualizzazione non è
intrinsecamente sicura”, afferma Neil MacDonald, vice president e
fellow Gartner.
Le ricerche condotte dalla Gartner indicano che alla fine del 2009
solo il 18% dei workload di data center aziendali che potrebbero
essere virtualizzati sono effettivamente passati su macchine
virtuali; nel 2012 la quota supererà il 50%. Ma con la
virtualizzazione di un numero crescente di macchine, la
combinazione di workload che comportano livelli differenziati di
protezione e la realizzazione anche di molti sistemi virtualizzati
mobili, sarà ancora più cruciale affrontare i problemi di
security associati a questa tecnologia.
Nel report "Addressing the most common security risks in data
center virtualization projects", la Gartner identifica i sei
rischi per la sicurezza che più comunemente si accompagnano alla
virtualizzazione. Il primo errore delle aziende è non coinvolgere
il dipartimento di information security: i sondaggi condotti dalla
Gartner a fine 2009 indicano che circa il 40% dei progetti di
virtualizzazione viene intrapreso senza avvalersi dell’apporto
dei team di information security nelle fasi iniziali di
pianificazione. L’intervento degli esperti di security è invece
necessario perché la virtualizzazione introduce un nuovo software,
il Vmm (virtual machine monitor).
Altro rischio da non sottovalutare: se viene compromesso uno strato
di virtualizzazione si possono compromettere anche tutti i workload
ospitati. “Lo strato di virtualizzazione rappresenta un’altra
importante piattaforma It e come ogni software contiene
inevitabilmente delle vulnerabilità nascoste che si scoprono solo
in un secondo momento”, avverte la società di analisi. “Gli
hacker hanno già cominciato a indirizzare i loro attacchi verso
questo strato per compromettere potenzialmente tutti i workload
ospitati al di sopra di esso”. La Gartner consiglia di trattare
questo strato come la piattaforma più critica del data center
aziendale.
Per la Gartner bisognerebbe anche controllare gli accessi degli
amministratori al Vmm: la società di ricerche raccomanda di
restringere l’accesso a questo strato e di scegliere di
preferenza piattaforme di virtualizzazione che permettono di
conferire agli amministratori autorizzazioni parziali
all’ambiente virtualizzato in base al loro ruolo: così si sa chi
accede a cosa. A questo proposito la Gartner nota anche che quando
i server fisici vengono consolidati in una sola macchina, il
rischio è che non solo gli amministratori ma anche gli utenti
abbiano accesso a più dati di quanto necessario in base al loro
ruolo.
Altro rischio evidenziato dalla Gartner: oggi, per garantire
efficienza nelle comunicazioni tra macchine virtuali (Vm), la
maggior parte delle piattaforme di virtualizzazione include la
capacità di creare reti virtuali software-based e switch dentro
l’host fisico per permettere alle Vm di comunicare direttamente.
Questo traffico però non è visibile dai device di protezione e
security. La Gartner ammonisce: occorrono per reti e workload
virtualizzati almeno lo stesso livello di controllo e le stesse
forme di protezione che per le reti fisiche.
Infine, attenzione: workload che richiedono differenti gradi di
protezione vengono spesso consolidati in un singolo server fisico
senza adeguata separazione. Anche in questo caso la Gartner
raccomanda alle aziende di adottare almeno lo stesso tipo di
separazione che usano nelle reti fisiche. Per gli analisti, meglio
non mescolare sullo stesso server workload che esigono diversi
livelli di protezione. Di queste e di altre questioni relative alla
sicurezza dei sistemi informatici si parlerà nei prossimi Security
Summit della Gartner, a Washington D.C. (21-23 giugno 2010) e a
Londra (22-23 settembre 2010).
