ního bezpečnostního úřadu známý jako kauza nbusr123 mluví za vše. Antivirová bouře Doprovodné technologie, mezi které patří i zabezpečovací subsystémy, hlavně EPP (Endpoint Protection Platforms), se snaží držet krok s velmi rychlým nástupem virtualizace na všech úrovních od datových center přes servery až po virtualizaci desktopů Bohužel byla koncepce fungování většiny v současnosti používaných EPP řešení navržena s předpokladem, že budou spuštěna přímo na fyzickém hardwaru. Z uvedeného vyplývá, že se jedná o řešení samostatné, nezávislé, a tedy nekoordinované. koncepce EPP Ačkoliv většina klasických EPP řešení poběží ve virtuálním prostředí prakticky bez úprav, problémem se může stát zátěž hostitelských serverů hlavně při plánovaných kontrolách. Proto při nasazení klasických řešení do virtualizovaného prostředí občas dochází k nežádoucímu stavu, pro který se vžilo označení antivirová bouře. Jde o stav, kdy velké množství virtuálních strojů (často všechny) hostovaných na jednom fyzickém serveru, které jsou chráněny EPP řešeními fungujícími na principu agentů provádějících plánované úkoly, začne skenovat nebo aktualizovat své databáze. antivirová bouře K soupeření antimalwarových úloh o fyzické prostředky a přenosovou kapacitu sítě může samozřejmě dojít i na virtualizovaných serverech, avšak tento problém je mnohem soupeření virtuálních strojů o prostředky
výraznější u hostovaných virtuálních desktopů. Souvisí to s hustotou virtuálních strojů (VM) hostovaných na fyzickém serveru. Paralelní skenování na více virtuálních strojích není jedinou příčinou problémů souvisejících se soupeřením virtuálních strojů o prostředky. I nekoordinovaná paralelní distribuce aktualizací antimalwarových databází může v daném, relativně krátkém okamžiku vygenerovat velkou zátěž. P Malá případová studie: Rozsah potenciální antivirové bouře si nejlépe uvědomíte na praktickém příkladu. Předpokládejme jako hostitelský hardware čtyřsoketový server IBM System x3750 M4 formátu 2U osazený procesory Intel Xeon z rodiny E5-4600. Podle zkušeností s virtualizací desktopů lze server optimálně zatížit přibližně šesti virtuálními desktopy na jeden logický procesor. Na našem serveru s 64 jádry bychom tedy mohli teoreticky vytvořit 384 virtuálních desktopů, a to ještě v případě, že by se jednalo o tzv. heavy workers čili uživatele, kteří by například na svém desktopu dělali lokálně analýzy v Excelu. Běžných uživatelů by server zvládl dvou- a čtyřnásobek čili 500 až 1000 průměrně zatížených virtuálních desktopů, přičemž občasné zvýšené požadavky na výpočetní kapacitu některého z nich by díky rozdělování zátěže na úrovni virtualizační platformy nepředstavovaly žádný problém. Pokud se však na 500 virtuálních počítačích rozběhne současně antivirová kontrola náročná i na kapacitu procesoru, ale hlavně zatěžující diskový systém, může to znamenat velký problém.
Optimalizace s ohledem na specifika virtuálního prostředí Masovému nasazování virtualizačních řešení, ať už v oblasti virtualizace serverů, nebo desktopů, se začínají přizpůsobovat i EPP řešení. Využívají sofistikované metody, jejichž cílem je dosáhnout rovnoměrnějšího rozdělení zátěže. Využívá se náhodné, případně rozložené skenování, skenování virtuálních strojů, které jsou v režimu offline, náhodná aktualizace databází, skenování do mezipaměti či tzv. gold image whitelisting, kdy se vytvoří seznam kmenových souborů, společných pro všechny klonované virtuální stroje. Tyto soubory pak nejsou skenovány při periodických kontrolách, ale zvlášť. Explicitní podpora a optimalizace pro virtualizovaná prostředí by se měla stát povinnou součástí každého moderního EPP řešení. Vzniká i nová filozofie tzv. bezagentových antivirových nástrojů (agentless antivirus). Navzdory problémům s paralelním skenováním nebo aktualizací, které jsou vhodnou koordinací snadno řešitelné, umožňuje virtualizované prostředí dosáhnout mnohem většího výkonu, hlavně při virtualizaci desktopů či aplikací. Mnoho virtuálních strojů je vytvořeno klonováním ze společné šablony virtuálního obrazu. Pak přece nemá smysl skenovat při plánovaných kontrolách stejnou sadu souborů pro všechny virtuální desktopy znovu a znovu, stokrát až tisíckrát, podle toho, kolik desktopů je hostováno na jednom fyzickém serveru. klonování virtuálních desktopů Proto moderní EPP řešení využívají koordinační agenty v základním obraze (obraz, z něhož vznikly klony) a vyrovnávací zlatý obraz
paměti. Ještě sofistikovanější řešení představuje vytvoření tzv. zlatého obrazu (gold image whitelisting) neboli seznamu souborů, které nemají být následně testovány. Protože přece jen existuje malé riziko, že i soubory patřící do tohoto zlatého obrazu by mohly být napadeny, provádějí se pravidelné kontroly těchto šablon. Rozdíl v nárocích na fyzické zdroje je zřejmý na první pohled. Soubory patřící do zlatého obrazu se zkontrolují pouze jednou, a nikoliv při kontrole každého virtuálního stroje, jenž z nich byl naklonován. Nejlepší řešení představuje použití optimalizované architektury využívající jeden sdílený soubor s podpisem napříč všemi VM. I EPP řešení využívající vyhledávací mechanismus v cloudu, například Smart Protection Network od Trend Micro, by měla mít implementovány techniky, které zabrání přetížení síťové kapacity. Přístup do kontejnerů virtualizovaných aplikací a knihoven VM obrazů Obraz kompletního virtualizovaného stroje tvoří fyzicky jeden soubor, který se dá jednoduše přesouvat mezi fyzickými servery, dokonce i za běhu VM, a stejně jednoduše jej lze zálohovat. Proto firmy stále více využívají řešení pro virtualizaci aplikací od výrobců, jako jsou VMware nebo Microsoft, i na zabalení a vnitřní distribuci složitějších konfigurací. distribuce serverového prostředí Takto je například možné distribuovat ve virtuálních obrazech celé předkonfigurované serverové prostředí pro lokální pobočky. Proto musí být bezpečnostní řešení schopna přistupovat i do nitra těchto kontejnerů a provádět v nich v reálném čase antimalwarové skenování a další EPP
funkce, například kontrolu aplikací. Jedním z intuitivních řešení je zabudování EPP přímo do kontejnerů, avšak taková nízká integrační úroveň způsobuje již zmíněné problémy se zátěží. Mnoho firem soubory s obrazy virtuálních strojů skladuje a udržuje si jejich knihovny, například za účelem možnosti obnovy po nepředvídatelné události a podobně. Problémem je nejen skenování, ale i aktualizace antimalwarových databází EPP v těchto skladovaných virtuálních obrazech. Sami si umíte domyslet, jak účinné by bylo skenování podle databáze staré několik měsíců. Proto je nutné mít možnost periodicky skenovat i tyto offline obrazy, aby neobsahovaly vložený malware. Neexistuje žádný technický důvod, proč by skenování VM muselo být provedeno na stejném fyzickém serveru, kde se předpokládá jeho spuštění. Pravděpodobně nejlepším řešením je spouštět takovéto zakonzervované virtuální stroje v karanténě a skenovat je v živém stavu. Aktualizace databází by měla být provedena během bootování virtuálního stroje. skenování offline obrazů Doporučení při výběru EPP řešení Nové revoluční technologické a v neposlední řadě i filozofické změny v IT jsou zároveň velkou výzvou nejen pro dodavatele souvisejících technologií, ale i pro poskytovatele IaaS řešení či firmy budující privátní cloudy. Vzhledem k tomu, že virtualizace a konsolidace představují vlajkové trendy, jejichž nasazení nemůže v blízké budoucnosti vyloučit ani nejkonzervativnější firma či organizace, doporučuje
Gartner preferovat antimalwarová řešení, jež mají skenování optimalizováno pro nasazení ve virtualizovaném prostředí. Jistotu poskytují dodavatelé, kteří nabízejí řešení zahrnující fyzické a virtuální servery nebo desktopy s jednotnou správou, řešení umožňující nastavit politiky napříč všemi prostředími. Chcete -li snížit složitost a konsolidovat licenční poplatky, doporučuje Gartner nasadit stejné antimalwarové řešení pro všechny servery i desktopy fyzické i virtuální. V ideálním případě by mělo být řešení spravovatelné jednotně a komplexně prostřednictvím aplikace typu EPP Management Console.