دپارتمان امنيت اطلاعات شركت پيشگامان كي پاد
اگر فكر مي‌‌كنيد با امنيت بيشتري برقرار كرده‌ايد در اشتباه هستيد
اگر تنها راه حل شما براي جداسازي اينترانت از اينترنت (وي دي آي) است، در اين مقاله سعي داريم با بيان چند موضوع، نشان دهيم كه مجازي‌سازي دسكتاپ، دليلي بر افزايش امنيت نبوده و براي بالا بردن سطح امنيت سازمان، به راهكار‌ها و تمهيدات پيشرفته‌تري نياز است
با وجود مزاياي متمركزسازي داده‌ها كه عبارتند از:
تسهيل به اشتراك‌گذاري داده‌ها
تسهيل گرفتن نسخه پشتيبان
شناسايي سريع‌تر جرائم
واكنش سريع به وقايع امنيتي
داشتن زيرساخت واحد
و از دلايلي كه برخي افراد در مورد بالا رفتن امنيت در صورت پياده‌سازي مجازي‌سازي به آن اشاره مي‌كنند، اين است كه با استفاده از مجازي‌سازي، در صورت سرقت كامپيوتر پرسنل، اطلاعات حياتي بر روي سيستم‌ها وجود نخواهد داشت و باعث از دست رفتن و افشاي داده‌ها نخواهد شد.
براي پاسخ به اين افراد بايد گفت، داده‌ها را مي‌توان به دو دسته تقسيم كرد:
داده‌هاي خارج از دسترس، مانند داده‌هاي موجود بر روي يك كامپيوتر خاموش. از آن‌جا كه دسترسي به اين داده‌ها وجود ندارد، تنها خطري كه آن‌ها را تهديد مي‌كند، گم‌شدن و از دست رفتن اطلاعات است كه مي‌تواند با سرقت دستگاه اتفاق افتد. در اين نوع از داده‌ها در صورتي‌كه مكانيزم‌هاي رمزنگاري به خوبي رعايت شده باشد، حتي در صورت سرقت دستگاه، اطلاعاتي از سازمان افشا نخواهد شد و امنيت سازمان به خطر نمي‌افتد. انجام مجازي‌سازي، با توجه به اين كه اطلاعاتي روي كامپيوتر اشخاص ذخيره نمي‌شود، احتمال از بين رفتن اطلاعات، با ناپديد شدن يا سرقت كامپيوتر افراد، كاهش مي‌يابد.
داده‌هاي در دسترس، به داده‌هاي موجود بر روي دستگاه‌هايي گفته مي‌شود كه دستگاه موردنظر، روشن و در دسترس باشد، مانند داده‌هاي موجود در بحث مجازي‌سازي كه در اين دسته قرار مي‌گيرند. در اين نوع از داده‌ها حتي درصورتي كه مكانيزم‌هاي رمزنگاري اتخاذ شده باشد، براي در‌دسترس‌بودن داده‌ها، نياز است تا رمز آن‌ها باز‌شده و در اختيار افراد سازمان قرار گيرند. اين امر باعث مي‌شود، همواره خطر حمله به اطلاعات سازمان و افشاي اطلاعات وجود داشته باشد.
sad
شكل۱: شماتيك اتصال به VDI
امروزه همه با مفهوم بدافزارها آشنا هستند، هر روزه شاهد نوع پيشرفته‌تري هستيم، اما در كل هدف از انتشار آن‌ها، تسخير، كنترل كردن و دريافت فرمان از مبدأ ارسالي مي‌باشد، به زبان ساده تا جايي كه اطلاعات حساسي براي رصد داشته باشند، مخفي مي‌مانند و در غير اين صورت تبديل به يك بات خواهند شد.
كامپيوتر ها چگونه آلوده مي‌شوند؟
همه كامپيوترها توسط يكي از طرق عمومي زير آلوده مي‌گردند:
بارگذاري نرم‌افزارهاي حاوي فايل‌هاي آلوده
اتصال يك Removable Storage حاوي فايل‌هاي آلوده با قابليت اجراي اتوماتيك. در صورتي كه كاربر تمايلي به اجراي فايل نداشته باشد، مكانيزم اجرايي بدافزار از طريق Firmware فعال خواهد شد. ( البته بهتر از اين قطعات كوچك به عنوان يك massive threats نام ببريم، چرا كه فراتر از اجراي يك فايل آلوده، قابليت دارند).
اجراي فايل‌هاي embedded همچون: .docx,.xsls,.pdf,.pptx حاوي محتواي آلوده. با وجود اين كه شركت‌هايي همچون Microsoft و Adobe تمهيدات بسياري بابت ورود نرم‌افزارهايشان در يك Sandbox براي جلوگيري از بروز هر تهديدي از اين سمت، سرمايه گذاري كلان كرده‌اند، بازهم شاهد نگراني‌هايي همچون كشف ايميل‌هاي يك سازمان و اعمال حملاتي همچون Spear-Phishing با مهندسي اجتماعي قدرتمند هستيم و در نهايت اجراي سرآيندهايي، حاوي Shellcodeهاي فوق‌العاده Encrypt شده كه هيچ AV/IDPS/HIDPS قابليت تشخيص آن را ندارد.
مشاهده يك وب سايت و تزريق كدهاي آلوده و اعمال حملاتي همچون Client side Applets,JS,SWF، XSS، CSRF و ساير بردارهاي حملات تحت وب.
از تهديدات تشريح شده، موارد ۳ و ۴ بيش‌ترين ميزان و تعداد را از آمارها به خود تخصيص مي‌دهند.
اهميت مكان قرارگيري دسكتاپ براي حملات تشريح شده چقدر است؟
اهميتي در مكان فيزيكي وجود ندارد، درصد موفقيت يكي از حملات در بستر VDI يا Physical Desktop به پارامتر خاصي وابسته نيست. كاربر نهايي مي‌تواند بر روي يك VDI Desktop در ديتاسنتري با ۱۰۰Mbps يا بر روي ماشيني مجزا با ساختار قديمي و با اينترنت ۳G فعاليت كند، براي Attacker تفاوتي ندارد. اگر برايتان امنيت دسكتاپ‌هاي مجازي مهم نيست بايد بگوييم يك Payload در هر محيطي كه باشد، اجرا مي‌شود و قرار نيست از خطرات Post-Exploitation در امان باشيد. در حملات مدرن شما با پويش پورت يا اسكن موجوديت‌ها روبه رو نيستيد، در نتيجه قرار نيست سيستم UTM موجود در لبه چيزي از اين مراودات متوجه شود.
چگونه “پايداري و تداوم” امنيت را تحت تاثير قرار مي‌دهد!
وقتي تكنولوژي مبتني بر VDI را بررسي مي كنيم، ۲ مفهوم جديد تحت عنوان پايداري و عدم پايداري سيستم عامل مطرح مي‌شود. اگر بخواهيم مقايسهاي داشته باشيم به موارد زير اشاره خواهيم كرد:
الف: دسكتاپ‌هاي پايدار
در اين نوع به موجب نوع سيستم عامل، فايل سيستم داراي مجوز R/W براي پارتيشن‌ها مي‌باشد كه به طور كامل دسترسي خواندن و نوشتن را براي كاربري كه لزوماً مديرسيستم نيست مهيا مي‌كند. در واقع مهم‌ترين ويژگي اين نوع دسكتاپ پايداري فايل‌ها بعد از راه‌اندازي مجدد سيستم مي‌باشد.
ب: دسكتاپ‌هاي ناپايدار
در اين نوع، نوشتن بر روي فايل سيستم محفوظ نيست و عملاً بعد از راه‌اندازي مجدد، سيستم عامل تمامي تغييرات را حذف مي‌كند.
هردو روش پياده‌سازي دسكتاپ‌هاي مجازي را به اختصار بررسي كرديم، از نقطه نظر امنيت، اكثرا به مورد ب: دسكتاپ‌هاي ناپايدار رأي مثبت مي‌دهند، چرا كه اذعان مي‌كنند بعد از شروع دوباره سيستم عامل تمامي تغييرات حذف شده و عملاً چنانچه آلودگي رخ دهد، بعد از راه‌اندازي مجدد مرتفع خواهد شد، اما در حالي كه با اين بيانيه موافقت جمعي وجود دارد ولي يك رويه از جهل در اطراف اين مفهوم و آن‌چه واقعاً امن است، وجود دارد. اجازه بدهيد تا پارامترهاي مورد بحث را از چند منظر بررسي و تحليل نماييم:
آيا ناپايداري بهتر از پايداري از نظر حفظ بدافزارها براي مدت زمان طولاني است؟
بله – قطعاً
آيا ناپايداري به منزله برقراري امنيت است؟
خير، اگر يك نفوذگر (اعم از بدافزار يا شخص) دسكتاپ شما را براي حداقل ۸ ساعت آلوده كند، مي‌تواند، تقريباً تمامي اطلاعات شما را سرقت كند.
آيا راه‌اندازي مجدد سيستم راه مناسبي براي مقابله به بدافزارها است؟
خير، تعدادي از افراد بر اين معتقدند كه دسكتاپ‌هاي ناپايدار حتي نيازي به AV هم ندارند ولي وقتي يكي از سيستم‌ها راه‌اندازي مجدد شود، اگر حمله nation-state باشند قطعا گره ديگري در شبكه نيز آلوده شده و عملاً re-infection صورت خواهد گرفت.
به اين ترتيب، تكنولوژي‌هاي متعددي براي افزايش سطح امنيت دسكتاپ‌ها مطرح است، اميد داريم تا با مطالعه اين مقاله و فهم چالش‌‌هاي موجود بهترين انتخاب را در جهت راه‌اندازي مجازي سازي در اين سطح داشته باشيد. اگرچه جذاب‌ترين موضوع در اين حوزه “دسكتاپ‌هاي ناپايدار” هستند ولي براي مقايسهاي گسترده پياده سازي، كنترل و پشتيباني آن‌ها به طور باورنكردني سخت و دشوار است، علاوه بر اين، ناپايداري، قسمتي از نگراني ما را در برقرار امنيت، پوشش مي‌دهد. به علت انتشار اين مقاله به صورت عمومي از تشريح خيلي از موضوعات پيشرفته همچون Hypervisor Breaking و يا VM-Scaping در سطح PaaS و يا تشريح حملات لايه ۳ و ۴ در سطح شبكه‌اي و vswitchها و همچنين تهديدات بسياري كه براي VDI agentها بر بستر Smart deviceها وجود دارد خودداري كرديم، با اين‌كه تمامي اين موارد در حوزه DaaS و به ويژه VDI وجود دارند و قابل انكار نيستند.
امروزه چيزي به اسم -بهترين روش- براي نيل به اين هدف وجود ندارد ولي انتخاب يك راه‌كار با ارزيابي درصد پذيرش ريسك، متوازن با مقياس سازمان و همچنين بررسي هزينه‌هاي احتمالي در صدر است. هيچ ضمانتي براي امنيت وجود ندارد، ولي همواره استفاده از مكانيزمي ناآشنا، اتكا به محصولات كاملاً بومي و همچنين توزيع موجوديت‌هاي مجازي در سطح سازمان و توجه زيركانه به CVEهاي منتشر شده براي hypervisorها از پارامترهاي يك انتخاب خوب خواهد بود. چنانچه به دنبال راه كار خوبي هستيد، مشاوره آن را به كارشناسان ما بسپاريد.