Seguridad en Maquinas Virtuales

Las máquinas virtuales, o la virtualización de infraestructura a nivel de Servidores, se han convertido en una necesidad en cualquier ambiente corporativo.

Lo que antes era una característica novedosa de servidores de Rango Alto y Medio, en arquitectura RISC, Sparc y PA-RISC entre otros, se ha convertido en una herramienta común incluso en los PC´s de uso personal.

Debemos abonar el trabajo que hizo en su momento VMWARE para masificar esta técnica y que ahora lo tienen como líder del mercado, por lo menos en arquitecturas Intel. Lo que nació como una herramienta para montar ambientes de pruebas de manera eficiente y rápida se ha convertido hoy en una punta de lanza para ofrecer mecanismos ágiles de recuperación, backup, aprovisionamiento y porque no, BCP.

Hay que aclarar que vmware no fue el primero, ni es el único, pero por razones del artículo, sólo mencionaremos éste.

Ya no son simplemente ambientes de prueba, ahora son Datacenters enteros que se pueden virtualizar mejorando el aprovechamiento de capacidad ociosa y reduciendo de marea drástica los costos de TI.

Fue este enfoque el que llevó a pensar que no sólo se virtualiza el manejo de recursos como la CPU; Memoria y Almacenamiento, sino que también podemos virtualizar LA RED.

Efectivamente, las plataformas de virtualización actuales incluyen la opción de crear switches virtuales con casi todas las capacidades que tienen los elementos activos de red convencionales. Esto permite que el switch virtual permita comunicar efectivamente todas las máquinas virtualizadas sin tener que enviar los paquetes al "core" de la red (o BackBone).

Con tan grandes ventajas, podemos comunicar todas las máquinas sin "salir" a la red corporativa.

De esta forma estaríamos ahorrando ingentes recursos de cableado, puertos y tarjetas físicas sobre los equipos de la red y los servidores. Esto sin lugar a dudas representa un cambio de paradigma en todos aquellos que como yo, estamos acostumbrados a pensar en la red tradicional con routers y switches físicos.

Y la seguridad?
¿Que sucede con un Datacenter virtualizado o un conjunto considerable de máquinas virtuales que se comunican a través de "la red virtual"?

Todas las amenazas de seguridad que se propagan por la red, como virus, gusanos, trojanos etc, tienen la puerta abierta para pasar a sus anchas de una máquina a la otra sin que medie elemento de protección.
Lo más grave, no puedo restringir servicios de una máquina a otra si necesito que estén aisladas ya sea por un Firewall, IPS o IDS.

Dado que los elementos que conocemos de seguridad deben ir en medio de las redes o servidores que deseo proteger, esta virtualización de la red me impide contar con esas herramientas.

Sin embargo, checkpoint ha sacado lo que parece ser la solución a este problema. Se trata de la versión de su producto estrella, el Firewall VPN-1 de checkpoint para ambientes virtuales pero por el momento sólo está homologado para vmware.

Corriendo las mismas características que han hecho de este producto el líder del mercado, podemos contar con toda la seguridad requerida gracias a que el Firewall funciona a nivel del Hypervisor de vmware antes del sistema operativo.

En conclusión, existe ya la solución para proteger máquinas virtuales que intercambien paquetes por medio de switches virtuales, pero por el momento sólo para plataforma de virtualización vmware.

Antes de cerrar debemos preguntarnos si las plataformas de virtualización que tenemos (de otros fabricantes) ya sea en ambientes Legacy, UNIX, windows, Linux, tienen opciones de seguridad para cerrar las brechas antes mecionadas.