Virtualiseringen är absolut här för att stanna. Den är definitivt ingen dagslända och den kommer troligen vara lika självklar som ett världsomspännande IP-nät. Det finns givetvis massor kvar innan virtualiseringen är fulländat. Till skillnad från det världsomspännande nätet, som är allt annat än proprietärt, så är den virtualisering som nu sker så proprietär som den bara kan bli. Förhoppningsvis nyktrar aktörerna till och kan enas kring öppna standarder.
Jag tror få har varit så lyriska som just kring virtualiseringen. Merparten av alla tidigare problem är som bortblåsta. Tyvärr går tåget på sina håll så snabbt så att allt säkerhetstänk också är helt bortblåst, trots att virtualiseringen har större påverkan på vår informations- och IT-säkerhet än vad kanske många tror.
Många har kommit långt i sitt säkerhetsarbete. Exempelvis är zonindelning utifrån informationsklass inte längre en utopi utan snarare en realitet hos allt fler. Likaså går skydden i och mellan de olika zonerna allt oftare i harmoni med vad de egentligen är satta att skydda. När infrastrukturbygget nästan var perfekt, så kommer en virvelvind i form av virtualisering och vänder upp och ned på allting. Riktigt så illa är det kanske inte och det behöver definitivt inte vara illa. Däremot krävs det ånyo en kraftsamling för att inte säkerhetsarbetet skall backa ett par nivåer.
Det finns en läckageoro i den virtuella miljön och det finns det givetvis fog för. Det fanns det redan när VLAN introducerades 1998 och givetvis är 802.1Q standarden inte fulländad utan det handlar om att anstränga sig vad gäller design, implementation och konfiguration. Annars kan man fortsätta med galvaniskt åtskilda nät mellan olika säkerhetszoner. Det samma gäller i den virtuella miljön. Det läcker titt som tätt, oftast mellan gäst och värd. Det tätas och det uppstår nya läckor. Om vi har tänkt någorlunda sunt så behöver läckorna inte vara ett säkerhetsproblem.
Det finns en nätoro när den virtuella miljön helt plötsligt är en stor del av infrastrukturen. Vad händer med alla nätbaserade skydd som brandväggar, IPS, innehållskontroller med flera? Självklart kommer de i sin nuvarande form att vara fullständigt verkningslösa. Den som tror sig stoppa en mask med en nätbaserad IPS kommer att bli lätt olycklig när den virtualiserade miljön blivit helt komposterad. Några har uttryckt sig stark och sagt att virtualiseringen är slutet på nätsäkerhetseran. Riktigt så illa behöver det inte vara, utan ånyo behövs lite ansträngning för att se hur den virtualiserade miljön passar in säkerhetstänket. Givetvis skall ni inte anpassa ert säkerhetstänk, som förhoppningsvis vilar på en stabil grund, utan den virtualiserade miljön skall anpassas och kompletteras med nödvändiga skydd som kanske tidigare var avsedda för en fysisk infrastruktur.
Det finns en plattformsoro som inte är grundlös med tanke på att äggen helt plötsligt hamnar i väldigt få korgar. Detta brukar de flesta dock ha en plan för, inte minst ur ett tillänglighetsperspektiv, och är därmed inte så sårbar som man först kanske tror. Det som kanske inte är lika känt är att den plattform som är satt till att hantera en mängd virtuella servar inte har det underliggande skydd som krävs. Exempelvis har vidareutveckling av hårdvaran för att förbättra skyddet mellan olika gäster medfört helt nya typer av sårbarheter som i sin värsta form innebär att en gäst obemärkt kan starta en egen hypervisor ovanpå den egentliga värdens hypervisor. Utvecklingen fick motsatt effekt men det är knappast förvånande att ny teknik innehåller nya sårbarheter. Det är den krassa verkligheten. Nytt är däremot att fokus breddas ytterligare, från att ha varit relaterad till operativsystem, tjänster och tillämpning så är helt plötsligt ting som hårdvara och BIOS under lupp i jakten på sårbarheter. Troligen ser vi ännu bara toppen av isberget på det här området.
Trots orosmolnen så finns det ingen anledning att ha dem som enda ursäkt till att inte virtualisera. Däremot gäller det att inse att virtuell säkerhet i sig inte kommer att ge några besparingar. Det kommer att kosta och sanningen är den att kostnaden uppstår även om inget aktivt säkerhetsarbete görs i den virtuella miljön. Jag behöver knappast tillägga att den oplanerade kostnaden är oförutsägbar och i bästa fall bara sur i smaken.
Det är som alltid bättre att förekomma än att förekommas, inte minst i den virtuella vär(l)den.
Thomas Nilsson
