Bảo mật trong ảo hóa và những điều đáng lo ngại

Bảo mật trong ảo hóa và những điều đáng lo ngạiTrong một hội nghị các nhà lãnh đạo ngành công nghệ thông tin hồi tháng Ba, một giám đốc công nghệ thông tin đã bày tỏ những quan ngại của mình về tính bảo mật của các cơ sở hạ tầng ảo, vốn đã được tích hợp vào hơn phân nửa số máy chủ của công ty của ông. Hai nhà lãnh đạo khác cũng bày tỏ chung quan điểm. Không ai trong số các lãnh đạo tham dự hội nghị muốn thừa nhận rằng họ đang cảm thấy bất...
Nội dung trích xuất từ tài liệu:
Bảo mật trong ảo hóa và những điều đáng lo ngại Bảo mật trong ảo hóa và những điều đáng lo ngạiTrong một hội nghị các nhà lãnh đạo ngành công nghệ thông tin hồi tháng Ba,một giám đốc công nghệ thông tin đã bày tỏ những quan ngại của mình vềtính bảo mật của các cơ sở hạ tầng ảo, vốn đã được tích hợp vào hơn phân nửasố máy chủ của công ty của ông. Hai nhà lãnh đạo khác cũng bày tỏ chung quanđiểm.Không ai trong số các lãnh đạo tham dự hội nghị muốn thừa nhận rằng họ đangcảm thấy bất an, nhưng Jai Chanani, giám đốc dịch vụ và cơ sở hạ tầng kỹ thuậtcủa Rent-A-Center Inc. đã nhận ra được điều đó. Ông cho biết “Một trong nhữngnỗi sợ hãi lớn nhất của tôi chính là khả năng các máy chủ ảo bị đánh cắp”.Những điều đáng lo ngại từ sự ảo hóaKhi được hỏi về việc doanh nghiệp của bạn cảm thấy lo ngại như thế nào về vấn đềbảo mật trong các môi trường ảo hóa, các câu trả lời được đưa ra như sau: * Rất lo ngại hoặc cực kỳ lo ngại: 32.7% * Hơi lo ngại: 36% * Ít lo ngại: 23.7% * Không hề lo ngại: 7.6% Nguồn: Cuộc điều tra của TheInfoPro với 214 chuyên gia bảo mật, tháng 11/2010.Chanani và các đồng sự của ông hiện đang có khoảng 200 máy chủ ảo, hoạt độngdưới dạng tài liệu, in ấn, hoặc trong một số trường hợp là các máy chủ ứng dụng.Tuy nhiên, vì lý do bảo mật, ông không sử dụng ảo hóa cho hệ thống ERP, cơ sởdữ liệu hoặc thư điện tử cho công ty ông.Michael Israel, CIO của Six Flags Inc. lại thế hiện mối quan ngại ở khía cạnh khác.Theo ông, viễn cảnh đáng lo ngại nhất chính là việc các nhà quản trị “láu cá”chuyển các máy chủ ảo từ phần được bảo mật sang các phần không được bảo mậtcủa máy chủ thông thường, hoặc tạo ra các máy chủ ảo mới mà không được cấpphép và tích hợp. Ông cho biết “điều cuối cùng tôi mong muốn tìm ra là 25 máychủ bên ngoài mà tôi không biết là chúng hiện đang tồn tại”.John Kindervag, chuyên gia phân tích của Forrester Research Inc. cho biết, ông đãđược nghe một số câu chuyện từ các khách hàng có phần mềm quản lý vCenter củaVMware bị xâm nhập, từ đó, những kẻ tấn công có thể sao chép một máy ảo và sửdụng máy ảo này để xâm nhập dữ liệu. Ông cho hay, “Khi bạn đánh cắp một phầnmềm VM, bạn có thể xâm nhập vào trung tâm dữ liệu và đánh cắp được một phầncủa thiết bị phần cứng. Đây thực sữ sẽ trở thành một thảm họa”.Venu Aravamudan, giám đốc tiếp thị sản phẩm của Vmware Inc. cho biết: “Chúngtôi đã tiến hành nghiên cứu cùng với khách hàng trong nhiều năm để giải quyếtvấn đề này”. Theo ông, hầu hết người dử dụng xác định những rủi ro dạng này nhờvào việc tuân thủ những chuẩn mực thực hành tốt nhất, ví dụ như nhờ vào việc tạora một phần mạng lưới tách biệt để quản lý nguồn lực và điều khiển việc trup nhậpdựa vào chức vụ.Việc tích hợp vào các máy chủ ảo giúp doanh nghiệp tiết kiệm được rất nhiều chiphí nhờ vào tính đồng nhất và tính hiệu quả được cải thiện, nhưng khi sự ảo hóa“tiêu tốn” ngày càng nhiều máy chủ sản xuất thì một vài giám đốc công nghệ thôngtin lại bắt đầu cảm thấy lo lắng. Liệu có điêu gì bị bỏ qua ở đây hay không? Liệumột sự xâm nhập trái phép nào đó có thể phá hủy các trình ứng dụng quan trọng,hay thậm chí là toàn bộ trung tâm dữ liệu hay không?Kris Lovejoy, phó chủ tịch chiến lược của IBM Security Solutions và cũng là mộtchuyên viên tư vấn về vấn đề bảo mật cho biết: “Một ngày nào đó, các khách hàngthức dậy và nhận ra rằng 50% trong số các trình ứng dụng kinh doanh quan trọngcủa mình đang nằm trên cơ sở hạ tầng ảo và băn khoăn tự hỏi: “Điều này có antoàn hay không?”. Đây là một thực trạng khá phổ biến.Vấn đề không phải nằm ở chỗ rất khó để bảo vệ cơ sở hạ tầng ảo mà là ở chỗ rấtnhiều công ty vẫn không thể thích ứng được với những chuẩn mực thực hành tốtnhất (trong trường hợp họ đã có các chuẩn mực thực hành này) trong các môitrường mới.Những vấn đề tồn tạiSự ảo hóa đòi hỏi cần có các công nghệ - bao gồm các dòng phần mềm mới và sựkiểm soát. Ngoài ra còn có các nhân tố mới như sự chuyển đổi ảo nhằm giúp cáclưu lượng trên mạng giữa các máy chủ ảo sẽ lưu thông theo các cách có thể đượctheo dõi bởi các công cụ được thiết kế để theo dõi lưu lượng trên các mạng thôngthường.Hơn nữa, sự ảo hóa cũng giúp phá vỡ những sự phân quyền truyền thống trongngành công nghệ thông tin thông qua việc cho phép các quản trị viên riêng rẽ cóthể cho chạy các máy chủ ảo hóa chỉ nhờ một nút ấn mà không cần phải có sự chấpthuận từ bộ phận mua hàng hay quản lý đầu vào, kho lưu giữ, các nhóm duy trìcông việc kinh doanh hay nhóm bảo mật công nghệ thông tin.Trong khi đó, theo Lovejoy, các công nghệ bảo mật dựa vào ảo hóa và các chuẩnmực thực hành tốt nhất thì vẫn đang được phát triển. Thị trường các công nghệ nàyphát triển rộng rãi đến mức khách hàng không thể theo kịp với các chuẩn mực thựchành. Vẫn còn thiếu khá nhiều hiểu biết và kỹ năng trong lĩnh vực này.Bill Trussell, giá m đốc quản lý nghiên cứu ...