La virtualisation accroît les risques de sécurité

5.3.2008 par christophe.croisant.

Synonyme de flexibilité et d’économie, la virtualisation présente un certain nombre de risques encore trop peu pris en compte par les entreprises. Le principal argument consiste à rappeler qu’une machine virtuelle peut être régénérée beaucoup plus rapidement qu’une machine physique.

Or, une machine supportant plusieurs serveurs virtuels est mathématiquement plus vulnérable qu’un serveur physique doté d’une seule instance de système. Sur un serveur physique virtualisé, un problème sur l’un des moteurs d’émulation, dû à l’exploitation d’une faille par exemple, peut en effet entraîner des perturbations au sein des autres instances voire la mise hors service de l’ensemble de la chaîne, notamment si la mémoire est saturée.

De plus, lors de la récente conférence de sécurité Black Hat à Washington DC du 18 au 21 février, un étudiant de l’Université du Michigan, a présenté un logiciel qui permet de prendre le contrôle de l’hyperviseur ESX Server de VMWare et, dès lors, de télécharger des données d’une machine virtuelle.
Plus grave, une autre vulnérabilité découverte par la société Core Security Technologies concernant les clients VMware Workstation, VMWare Player et VMWare ACE autorise un attaquant à prendre le contrôle complet de la machine virtuelle, création, modification et exécution de code comprises. De là, l’attaquant peut accéder au système d’exploitation.

Parmi les règles basiques à suivre, il est impératif de s’assurer de la mise à niveau permanente de ses machines virtuelles et des systèmes qu’elles supportent en matière de correctifs.
Autre élément fondamental, la gestion des droits d’accès doit être exemplaire. On préférera idéalement une centralisation de celle-ci par le biais d’une plate-forme d’annuaire d’entreprise, avec la mise en place de pare feu spécifiques ou la définition de politiques de segmentation réseau au sein des LAN virtuel.

Dans certains cas, la mise en place de zone démilitarisée (virtuelle) est conseillée, en vue notamment de protéger une base de données “sensible” : on peut citer la perte de l’infrastructure dédiée aux services de nom de domaine comme potentiel point de départ d’une défaillance de plus grande importance.

Les solutions de sécurité virtuelles sont encore limitées en comparaison de leurs équivalents physiques. A mesure que la virtualisation progresse, de nouvelles problématiques de sécurité se font jour et le caractère évolutif de ces technologies remet en question l’efficacité des protections traditionnelles.

A ce sujet, l’annonce de VMsafe par VMware est une étape particulièrement importante pour la sécurité des infrastructures virtuelles. En effet, l’éditeur s’apprête à ouvrir son hyperviseur aux éditeurs de sécurité afin que ces derniers soient en mesure de faire fonctionner leurs solutions au coeur même de l’environnement, et non plus sur chaque machine virtuelle comme c’est aujourd’hui le cas.

Posté dans Sécurité | Aucun commentaire »