Безопасность ЦОД-часть 1

Назим Латыпаев, [email protected]

[email protected]

mailto:[email protected]




Организационные вопросы

1. Нам очень важно Ваше мнение – заполняйте, пожалуйста,

предложенные анкеты, после каждой сессии!

2. Пожалуйста, помните, что в зале курить запрещено!

3. Пожалуйста, выключите ваши мобильные телефоны!

4. Пожалуйста, используйте мусорные ведра!

5. Пожалуйста, держите Ваш регистрационный пропуск при себе!

Основные вызовы безопасности в виртуальной

среды

Риски эксплуатации Изоляция и сегментация Server

Team Security

Team

Network

Team Физический сервер

Sensitive Non-Sensitive

Как внедрять политику?

Физический сервер

Отсутствие

видимости

Интернет

Партнеры

Сервисы VM Виртуальн.

доступ Доступ

Агрегация и сервисы

Ядро Граница IP-

магистраль SAN Вычисления

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

App

OS

IP-NGN

Firewall Contexts

Virtual Device Contexts

Fabric Extension

Zones, vSANs

Port Profiles & VN-Link

Port Profiles & VN-Link

VRFs

Virtual Device Contexts

Service Profiles

Virtual Machine Optimization

Архитектура Cisco Data Center

Зоны виртуализации

Cisco ASA

5585-X

Cisco Catalyst® 6500

Series ASA Services

Module • Масштабируемая производительность

• Политики безопасности для Edge

• Гибкая модель развертывания

Физические устройства и модули Cisco Multi-Scale™ data center-class Cisco®

ASA devices

Cisco VSG Cisco ASA 1000V

Cloud Firewall

• Надежный фаервол для облака

• Специфические политики для

арендаторов и виртуальных машин

• Автоматизация и развертывание по

политике

Облачный фаервол

Продвинутая облачная безопасность

Физические Виртуальные и облачные

Физические устройства защиты

Физические устройства защиты

Сервисный Модуль ASA

Устройства ASA 5585 Hypervisor

Traditional Service Nodes

Virtual Contexts

VLANs

App Server

Database Server

Web Server

Устройства защиты от атак Cisco IPS

Межсетевые Экраны Cisco ASA 5585-X

ASA 5585-SSP10 ASA 5585-SSP20

ASA 5585-SSP40

ASA 5585-SSP60

4 Гбит/c — пропускная

способность

межсетевого экрана

2 Гбит/с — пропускная

способность системы

IPS

50 000 соединений в

секунду

10 Гбит/с —

пропускная





IPS


секунду

20 Гбит/с —






IPS


секунду

40 Гбит/с —




10 Гбит/c —



IPS


секунду

Комплекс зданий Центр обработки данных

Новый модуль ASA для Catalyst 6500

Показатель Значение

Производительность шасси 64 Гбит/сек

Производительность модуля 16 Гбит/сек

Одновременных сессий 10M

Новых соединений в секунду 350K

Контекстов безопасности 250

VLANs 1K

Высокий уровень масштабируемости • Выход за рамки традиционных

решений

• Наращивание мощностей в

соответствии с ведущими

отраслевыми системными

возможностями

– 64 Гбит/с

– 1,2 млн. соединений в секунду

– 1 000 виртуальных контекстов

– 4 000 сетей VLAN

• Поддержка решений для ЦОД,

например развертываний

частных облачных

инфраструктур

Устройства Cisco IPS серии 4500

• Специализированные высокоскоростные устройства IPS с учетом контекста

• Обработка с аппаратным ускорением Regex

• Развертывания на уровне ядра ЦОД или предприятия

• Один интерфейс Gigabit Ethernet, один интерфейс 10 Gigabit Ethernet и слот SFP

• Масштабируемость: доступен слот для будущего наращивания мощностей

Cisco IPS 4510

Производительность • Реальный средний показатель: 3 Гбит/с • Реальный диапазон показателей: 1.2-5 Гбит/с • Транзакционная передача по HTTP: 5 Гбит/с

Характеристики платформы: • 2 RU (шасси) • Многоядерный ЦП корпоративного класса (8

ядер, 16 потоков) • 24 ГБ ОЗУ • Резервный источник питания • Аппаратное ускорение Regex • Открытый слот (в верхней части) для

использования в будущем

Места развертывания • Средние и крупные предприятия • ЦОД кампуса • Требуется 3 Гбит/с реальной пропускной

способности IPS • Требуется резервный источник питания • Требуется специализированная система IPS

Порт AUX и

консоль

Интегрированный

ввод-вывод 6 GE Cu

Индикаторы

состояния

Порты

управления

Отсеки для

жесткого диска

(пустые)


ввод-вывод 4 слота 10 GE

SFP

2 порта

USB

Cisco IPS 4520

Производительность • Реальный средний показатель: 5 Гбит/с • Реальный диапазон показателей: 2.5-7.7 Гбит/с • Транзакционная передача по HTTP: 7,6 Гбит/с

Характеристики платформы: • 2 RU (шасси) • Многоядерный ЦП корпоративного класса (12

ядер, 24 потоков) • 48 ГБ ОЗУ • Резервный источник питания • Аппаратное ускорение Regex (x2) • Открытый слот (в верхней части) для

использования в будущем

Места развертывания • Средние и крупные предприятия • Центр обработки данных • Требуется 5 Гбит/с реальной пропускной

способности IPS • Требуется резервный источник питания • Требуется специализированная система IPS

Порт AUX и

консоль


ввод-вывод 6 GE Cu

Индикаторы

состояния

Порты

управления Отсеки для

жесткого

диска (пустые)


ввод-вывод 4 слота 10 GE

SFP

2 порта

USB

CSR 1000V – Cloud Services Router

13

Server

Hypervisor

Virtual Switch

VPC/ vDC

OS

App

OS

App

CSR 1000V

Основан на IOS-XE

Избранный функционал IOS-XE для Облачных архитектур

Инфраструктурно независимый

Сервер, Коммутатор и Мульти-Гипервизор

Cisco UCS – Intel Nehalem и выше

Работает на N1KV,vSwitch,dVS.

Поддерживается VMware ESXi 5.0. Xen и Red Hat KVM

Поддержка Amazon AMI в будущем

Шлюз для Single Tenant WAN

4 vCPU (2 ядра *2 = 4 vCPU с поддержкой Hyper Threading)

APIs для Облачной Автоматизации

Поддерживаемый функционал – IOS / Виртуализация IOS-XE Поддерживаемые функции

Маршрутизация BGP, EIGRP, OSPFv3, RIPv2, ISIS, MPLS, LISP

Безопасность Zone Based Firewall, Site-to-Site VPN, EZVPN, DMVPN, FLEX VPN

L2 OTV, VPLS, L2TPv3, EVC

Отказоустойчивость HSRP, VRRP

Оптимизация WAN WCCPv2, AppNav

Управление Flexible NetFlow , EEM, IP SLA

Инфраструктура NAT, ACL, QoS, GRE, Multicast, NBAR2 / AVC

Поддерживаемый функционал VMWare ESXi

Поддерживаемый Cloning, Templates, vMotion, NIC Teaming, High Availability, DRS, Fault

Tolerance (FT) Не

Поддерживаемый Snapshots

VSG

Public

Zone

Protected

Zone Zone

1

Zone

2

Zone

3

Sub

-

Zon

e

W

Sub

-

Zon

e X

Sub

-

Zon

e Y

Sub

-

Zon

e Z

FE Zones

Простая Виртуальная Топология в Приватном

и/или Публичном Облаке ПО

• Пример дизайна виртуальных сервисов

• Виртуальный сервер – с единой точка контроля для арендатора (tenant)

• Выделенная зона VSG для распределения рабочей нагрузки

• Виртуальный маршрутизатор для арендатора

• Миграция рабочей нагрузки Публичное облако ПО

L3 VPN

Internet

Back-end Zones

ASA1000v CSR1000v

Nexus 1kv + VPATH

Load balancers vNAM vWaaS

15

Citrix NetScaler 1000V в Портфолио Облачных

Сервисов

VSM = Virtual Supervisor Module

DCNM = Data Center Mgt. Center

Nexus 1000V

vPath

Any Hypervisor

VM VM VM

• Citrix лучший в своем классе Контроллер

предоставления виртуальных приложений

(virtual application delivery controller - vADC)

• Продается и поддерживается Cisco

• Интеграция с Nexus 1110/1010, vPath

Cisco Cloud Network Services (CNS) Citrix

NetScaler

1000V

Prime virtual

NAM

Imperva

SecureSphere

WAF

Virtual

Security

Gateway

Nexus 1110 Платформа Облачных Сервисов

VSM VSM DCNM*

Citrix

NetScaler

1000V

NetScaler 1000V – Поддерживаемый функционал

Безопасность приложений Platinum

Edition

Enterprise

Edition

Standard

Edition

Защита от L4 DoS X X X

L7 фильтрация контента и перезапись

HTTP/URL

X X X

Коннектор XenMobile NetScaler X X X

Поддержка SAML2 X X X

Защита от L7 DoS X X

AAA для Управления Трафиком X X

МСЭ приложений Citrix с поддержкой XML X

• VSG это прозрачный фаервол • Используется внутри арендатора

(трафик восток-запад) • Независит от топологии и VLAN • Может фильтровать между

виртуальными машинами в одной подсети и VLAN

• ASA 1000V маршрутизирующий МСЭ • Используется на границе арендатора

(трафик север-юг) • Разрешает только трафик к/от VM с

inside интерфейса (нет физических серверов в Inside)

• Служит default gateway для VMs с inside стороны

• Все IP с inside интерфейса должны быть в одной подсети с inside интерфейсом

ASA/VSG Развертывание и дизайн размещения

ASA 1000V

Virtual Security

Gateway

(VSG)

• Взаимодополняющая модель безопасности

Cisco Virtual Secure Gateway (VSG) для внутренней безопасности зоны арендатора

Cisco ASA 1000V для безопасности границы арендатора

• Прозрачная интеграция

С помощью Cisco Nexus® 1000V коммутатора и Cisco vPath

• Расширяем гибкость решения для решения потребностей облака

Много-экземплярное развертывание для масштабирования в ЦОД

Арендатор B Арендатор A VDC

vApp

vApp

Hypervisor Cisco Nexus® 1000V

Cisco vPath

VDC

Cisco® Virtual Network Management Center (VNMC)

VMware vCenter

Cisco

VSG Cisco

VSG

Cisco

VSG

Cisco ASA

1000V

Cisco ASA

1000V

Cisco

VSG

• Один арендатор может иметь до трех уровней вложенности

• Каждый подуровень может иметь множественные организации

• Поддерживаются пересекающиеся адресные планы арендаторов

Root Арендатор A

Арендатор B DC 3

DC 2

DC 1 App 1

App 2

Tier 2

Tier 3

Tier 1

Уровень

Арендатора vDC

Уровень

vApp

Уровень Уровень

узла

Уровень доступа арендатора

VMware

vCenter

Cisco®

VNMC

Cisco

Nexus®

1000V

Отдел серверной

поддержки

Управление

сетью

Атрибуты VM

Профили

портов

Профили

безопасности

Сторонние

утилиты

управления

и

оркестрации XML API

Мультиарендаторный менеджер

Динамическое управление по

политикам

Гибкость по средствам XML API

Отдел

безопасности

ASA Inside

и Outside

Профили безопасности и профили устройств

VM атрибуты

Взаимодействие портовых профилей

VM атрибуты

VSG Путь данных

VM-to-IP Binding

Пакеты

ESX Servers

Nexus 1000V vPath

VMWare

vCenter

VSM VSM (Nexus) VSN

VSG

Пакеты

VSN

Virtual Network Management

Center (VNMC)

ASA

Профили безопасности профили устройств

Nexus VSM

VNMC

ASA 1000V

VSG

Nexus 1000V

Distributed Virtual Switch

VM VM 1 VM

VM VM

VM

VM VM VM

VM

VM

VM VM

VM VM 2 VM

VM

vPath

ASA не участвует в

пути связи между VM

одной подсети

1

Inside

2

vPath Encap links

ASA

VSG

Traffic Path

Outside

Nexus 1000V


VM VM 1 VM

VM VM

VM

VM VM VM

VM

VM

VM VM

VM VM 2 VM

VM

vPath Inside

3

vPath Encap links

4

ASA

VSG

Traffic Path

Outside

Пример внедрения

Nexus 1000V


VM VM 1 VM

VM VM

VM

VM VM VM

VM

VM

VM VM

VM VM 2 VM

VM

vPath Inside

vPath Encap links

vPath применяет политику

на VEM уровне и

политика сгружается от

VSG к VEM

ASA

VSG

Traffic Path

Outside

Пример внедрения

Nexus 1000V


VM VM VM

VM VM

VM

VM VM VM

VM

VM

VM VM

VM VM VM

VM

vPath Inside

2

1

vPath Encap links

ASA

VSG

Traffic Path

Outside

VSG решение

загружается на VEM

Очередность сервисов

Nexus 1000V


VM VM VM

VM VM

VM

VM VM VM

VM

VM

VM VM

VM VM VM

VM

vPath

Пакет выходит из

виртуализированной

инфраструктуры

5

ASA Outside

Inside

ASA Inline

Enforcement

4

3

vPath Encap links

Traffic Path

VSG

Очередность сервисов

VMWare vSphere 4.0+ и Virtual Center

Nexus 1000V Series коммутатор ( v1.4 и более)

Один и более Активных VSGs на арендатора

Virtual Network Management Center (VNMC)

VSG Требования к развертыванию

vSphere

Заметка: Лицензирование основано на количестве

защищаемых CPU сокетов (как и Nexus 1000V)

VSG может защищать часть Nexus 1000V-

лицензированных CPUs.

vPath

VMWare vSphere 4.1+ и Virtual Center

Nexus 1000V Series коммутатор (4.2(1)SV1(5.2) и более)

Один и более Активных ASA на арендатора

Virtual Network Management Center (VNMC)

ASA1000V Требования к развертыванию

vSphere

Заметка: Лицензирование основано на количестве

защищаемых CPU сокетов (как и Nexus 1000V)

ASA может защищать часть Nexus 1000V-

лицензированных CPUs.

vPath

Безопасность виртуализации вычислений

(серверная виртуализация)

Внедрение политик информационной безопасности

Проблемы переноса политики с физических серверов на

виртуальные

vMotion и аналоги могут нарушать политику Сегментация и изоляция

Потеря изоляции VM из-за ошибок конфигурации или атак Уязвимости гипервизора и систем управления

Отсутствие наблюдаемости Отсутствие контроля над трафиком между VMs

Риски эксплуатации

Разделение полномочий админов серверов, сети и безоп.

Часто администраторы имеют завышенные полномочия

Несвоевременная установка обновления на VMs и гипервизор

“Забытые” виртуальные машины

С чем сталкиваются заказчики ?

Hypervisor

Virtual Contexts

VLANs

App Server

DB Server

Web Server

Безопасность гипервизора - ключ к безопасности

среды виртуализации

Експлойт Blue Pill разработанный

Йоанной Рутковской для

процессоров AMD переносил

хостовую ОС в виртуальную

среду (2006)

VMSA-2009-0006

Уязвимость в ESX 3.5, Workstation, etc.

Исполнение кода из VM Guest на хосте

Переполнение буфера в графическом

драйвере

Классические уязвимости среды виртуализации

Время не стоит на месте

Уязвимость в реализации инструкции SYSRET

всех выпущенных x86-64 процессоров Intel

позволяет выходить за пределы виртуальной

машины - http://www.xakep.ru/post/58862/

19.06.2012 http://www.xakep.ru/post/58862/

Как взломать Vmware vCenter за 60 секунда

http://2012.confidence.org.pl/materials - Май 2012

VASTO (Virtualization ASsessment Toolkit) –

Первый модуль поиска уязвимостей

виртуализации для Metasploit доступен для

широкой публики http://vasto.nibblesec.org/

http://www.xakep.ru/post/58862/



Внедрение политик и сегментация для

виртуальных машин

Сегментация и изоляция VM

1. Сегментация на уровне

фабрики UCS Fabric Interconnect

2. Сетевая сегментация

на коммутаторе Nexus 1000V или физический

коммутатор ЦОД

3. Сегментация на

физических устройствах

безопасности ASA 5585-X, IPS

4. Сегментация на

виртуальных

устройствах безопасности Cisco Virtual Security Gateway,

Cisco ASA 1000V

Обеспечение согласованной политики в пределах физических и виртуальных границ сети

Сегментация на Унифицированной фабрики Cisco UCS VIC (Virtual Interface Card) поддерживает VM-FEX (VN-Link)

С VM-FEX, каждой виртуальной машине (VM) предоставляется выделенный порт коммутатора доступа в ЦОД (Nexus 5500 или Fabric Interconnect)

Весь трафик VM отсылается

непосредственно на порт коммутатора

Physical Network

Hyp

erv

is

or

Hyp

erv

is

or

VM VM VM VM VM VM VM VM

vEth

vNIC

Port Profiles

Definition WEB Apps

HR

DB

Compliance VLAN Web

VLAN HR

VLAN DB

VLAN Comp

Cisco® UCS с сетевой картой VIC унифицирует виртуальные и физические сети

1

Сегментация на виртуальном коммутаторе

Cisco Nexus 1000V

Поддержка гипервизоров : vSphere ; анонс для Win8/Hyper-V/KVM/Xen

Nexus 1000V

• До 64 виртуальных карты Virtual

Ethernet Module (VEM)

• 2 виртуальных супервизора

Virtual Supervisor Module (VSM)

• Политики безопасности

• Технология vPath для

подключения виртуальных

межсетевых экранов

Virtual Center

VMW ESX

Server 1

VMware vSwitch VMW ESX

Server 2

VMware vSwitch VMW ESX

Server 3

VMware vSwitch

VM

#1

VM

#4

VM

#3

VM

#2

VM

#5

VM

#8

VM

#7

VM

#6

VM

#9

VM

#12

VM

#11

VM

#10

VEM VEM VEM Nexus 1000V

Nexus 1000V

VSM

2

Возможности Nexus 1000V

Коммутация L2 Switching, 802.1Q Tagging, VLAN Segmentation, Rate Limiting (TX)

IGMP Snooping, QoS Marking (COS & DSCP)

Безопасность Policy Mobility, Private VLANs w/ local PVLAN Enforcement

Access Control Lists (L2–4 w/ Redirect), Port Security

Dynamic ARP inspection, IP Source Guard, DHCP Snooping

Внедрение Automated vSwitch Config, Port Profiles, Virtual Center Integration

Optimized NIC Teaming with Virtual Port Channel – Host Mode

Наблюдаемость VMotion Tracking, ERSPAN, NetFlow v.9 w/ NDE, CDP v.2

VM-Level Interface Statistics

Управление Virtual Center VM Provisioning, Cisco Network Provisioning, CiscoWorks

Cisco CLI, Radius, TACACs, Syslog, SNMP (v.1, 2, 3)

Community

VLAN

Isolated VLAN

Promiscuous Port

Изоляция VM: Cisco Private VLAN

• Private VLAN изоляция

хостов из одной подсети

на L2

• Поддержка традиционных

Cisco PVLAN: порты

Isolated и Community

• Физическая

инфраструктура

понимает PVLAN

Promiscuous Port

10.10.10.10

10.10.10.1

10.10.20.20

10.10.20.20

dcvsm(config)# ip access-list

deny-vm-to-vm-traffic

dcvsm(config-acl)# deny ip host

10.10.10.10 host 10.10.20.20

dcvsm(config-acl)# permit ip any

any

Изоляция VM и контроль трафика

• ACL на портах

• Ограничение трафика между VM

• Настройки как между физическими серверами

• Использовать вместе с VLANs, PVLAN

VDC

vApp

vApp

VDC

Nexus 1000V vPath

vSphere

Наблюдаемость: мониторим трафик между VMs

с помощью физических IDS и анализатора

NetFlow Analyzer

ERSPAN DST

ID:1

ID:2

Aggregation

Zone B Zone C

Intrusion Detection

NetFlow

SPAN

Для снятия трафика используем коммутатор Nexus 1000V с поддержкой • NetFlow v9 • ERSPAN/SPAN Используем для детектирования • атак между серверами • нецелевого использования ресурсов • нарушения политики безопасности Нужно быть готовым к большому объему трафика

VMWare

vCenter

VSM

Virtual Network

Management Center

(VNMC)

VSG

VSG/VNMC Шаги развертывания

1) Установка VNMC

2) Регистрация VNMC в vCenter

3) Регистрация VSM в VNMC

4) Развертывание VSG

5) Регистрация VSG в VNMC

6) Развертывание ASA

7) Регистрация ASA to VNMC

1

2

3

4

5

Заметка: vCenter, vSphere and Nexus 1000V (VSM & VEMs) предполагается что уже установлены;

VSM может быть VM или Nexus 1110

ASA

6 7

• Compute Firewall Представление VSG

виртуальной машины в VNMC.

Используется для ассоциации

конфигурации с VSG

• Edge Firewall Представление ASA 1000V

виртуальной машины в VNMC.

Используется для ассоциации

конфигурации с ASA 1000V

Определения

• Edge Device Profile Содержит сервисные политики, включая: routing, DHCP, и global VPN конфигурацию.

Используется для применения конфигураций для конкретных ASA

• Edge Security Profile Содержит политики безопасности: ACL, NAT, Protocol Inspections, VPN, и TCP Intercept

Применяется используя vservice команду на Nexus 1000V

Используется для применения конфигурации к конкретной ASA или группе VM


• Device Profile Содержит политику устройства,

включая AAA, syslog, и SNMP

колитики.

Используется для применения

политик к устройствам разных

типов.


• Policy Set Содержит одну или более

политик

Назначаются профилю

• Policy Содержит конкретные

правила, такие как ACL

записи, NAT настройки,

инспекции протоколов и т.д.


1 Zones

2 Policies

3 Rules

4 Conditions

5 Policy Set

6 Security-

Profile

7 Assign VSG

8 Profile-

Binding

Policy Management > Firewall Policy > Tenant > Zones

Формирование политики безопасности

Policy Management > Service Policies > Tenant > Policy helpers > Zones

1 Zones

2 Policies

3 Rules

4 Conditions

5 Policy Set

6 Security-

Profile

7 Assign VSG

8 Profile-

Binding


Policy Management > Service Profiles > Tenant > Security Profile > Policy Set

1 Zones

2 Policies

3 Rules

4 Conditions

5 Policy Set

6 Security-

Profile

7 Assign VSG

8 Profile-

Binding


Отредактируйте политику, чтобы создать правила, где Source и Destination основываются на атрибутах

1 Zones

2 Policies

3 Rules

4 Conditions

5 Policy Set

6 Security-

Profile

7 Assign VSG

8 Profile-

Binding


Ru

le

Source

Condition

Destination

Condition Action

Attribute Type

Network

VM

Custom

VM Attributes

Instance Name

Guest OS full name

Zone Name

Parent App Name

VM Attributes

Port Profile Name

Cluster Name

Hypervisor Name

Network Attributes

IP Address

Network Port

Operator

eq

neq

gt

lt

range

Operator

Not-in-range

Prefix

member

Not-member

Contains

Conditio

n

Политики

57

vservice node ASA1 type asa — ip address 172.18.25.110

— adjacency l2 vlan 3770

vservice node VSG1 type vsg — ip address 192.168.1.97

— adjacency l3

vservice path chain-TenantA — node VSG1 profile sp-web order 10

— node ASA1 profile sp-edge order 20

port-profile type vethernet Tenant-A —org root/Tenant-A

—vservice path chain-TenantA

Свяжем VSG и ASA 1000V для арендатора в цепочку

Обозначим

сервисные ноды на

Nexus 1000V

Выставим цепочку и

сервисных нод –

очередь изнутри

наружу

Включим сервисную

цепочку в портовом

профиле

Пример очередности сервисов

ASA: Разрешает только порт 80(HTTP) к Веб-Серверам

VSG: Разрешает доступ к ДБ серверам только от WEB-серверов

Арендатор-A

Web-Zone Database-Zone

VSG: Разрешает клиентам соединяться только к WEB-серверам, запрещает

доступ к ДБ серверам

ASA: Блокирует все внешние запросы к ДБ серверам

Web Server

DB Server

App-Zone

Client

IP – 192.168.1.1 IP – 192.168.1.2 IP – 192.168.1.203

ASA

VSG

ASA: NAT External IP 10.10.25.100

Web Server

ASA 1000V - Edge Security Profile

VSG - Compute Security Profile

Web Client

Пример внедрения 3-х узловая серверная зона

Поддержка виртуализации в ASA

Виртуальные контексты на семействе ASA

до 256 виртуальных контекстов на ASA 5585 и ASA SM (до 1000 контекстов на кластер с ASA 9.0)

до 1024 VLAN, которые могут разделяться между контекстами (до 4000 VLAN на кластер с ASA 9.0)

контексты в режиме L2 или L3

контекст – это полнофункциональный файервол

контроль ресурсов для контекстов (MAC-адреса, соединения, инспекции, трансляции…)

До 32 интерфейсов в L2-контекстах

4 интерфейса в бридж-группе. 8 бридж-групп на виртуальный контекст

FW_1 FW_2 FW_3

L2 L3 L2

Цепочка сервисов безопасности в технологии

vPath

Cisco Nexus® 1000V


VM VM VM

VM VM

VM

VM VM VM

VM

VM

VM VM VM

VM VM VM VM

vPath

VSG

Cisco® ASA

1000V

1 2

3

4 5

Интеллектуальный отвод трафика с vPath

Разделение обязанностей

VM атрибуты

XML API vCenter VNMC

Cisco

Nexus®

1000V

Manager /

Orchestrator

Tools

Серверная команда

Команда по ИБ

Сетевая команда

• Управление многопользовательскими ЦОД (multitenant)

• Динамическое управление на основе политик

• Гибкость с помощью внешнего XML API

Server

Admin

vCenter

Network

Admin

Nexus 1 KV

Security

Admin

VNMC

Безопасность облачных сервисов

• Одно приложение на

сервере

• Ручная конфигурация

политик

• Множество приложений

на сервере

• Динамич. конфигурация

• Множество пользователей

на сервере

• “Чужая” инфраструктура

Гипервизор VDC-1 VDC-2

Согласованные : Политики, Функции безопасности, Управление

Физический

ЦОД

Виртуальный

ЦОД

Облачный

ЦОД

Nexus 1000V, VM-FEX

VSG*, ASA 1000V**

UCS for Virtualized Workloads

Nexus 7K/5K/3K/2K

ASA 5585, ASA SM

UCS for Bare Metal

* Virtual only, ** Announced

Коммутация

Безопасность

Вычисления

Эволюция безопасности в IT

Cloud Security Alliance (CSA)

“Security Guidance for Critical Areas of Focus in Cloud Computing” Whitepaper: комплексное руководство, которое говорит как защищать облачные архитектуры, как управлять Облаками и как безопасно использовать облачные среды: http://www.cloudsecurityalliance.org/csaguide.pdf

Также разработан модель угроз для облачных сред “Top threats to Cloud Computing” : http://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf

В состав корпоративных членов CSA входят:

http://www.cloudsecurityalliance.org/csaguide.pdf

http://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf

Управление облаком

Governance & Enterprise Risk Management

Legal & eDiscovery

Compliance and Audit

Data Life Cycle Management

Portability & Interoperability

Эксплуатация облачных сервисов

Traditional Security

Data Center Operations

Incident Response

Virtualization

Identity & Access Management

Application Security

Encryption & Key Management

Cloud Security Alliance: Руководство по

безопасности облачных вычислений Архитектура облачных вычислений

Использование облаков требуют доверия!

Полезные ресурсы по теме

Cisco Virtualization Security

http://www.cisco.com/en/US/netsol/ns1095/index.html

Design Guide: Security and Virtualization in the Data Center

http://www.cisco.com/en/US/partner/docs/solutions/Enterprise/Data_Center/DC_3_0/dc_sec_design.html

Cisco VMDC Unified Data Center for cloud or traditional environments.

http://www.cisco.com/go/vmdc

Vmware

Vmware Security Hardening Guide http://www.vmware.com/resources/techresources/10198

Microsoft

Hyper-V Security Guide technet.microsoft.com/en-us/library/dd569113.aspx

PCI DSS https://www.pcisecuritystandards.org/documents/Virtualization_InfoSupp_v2.pdf

NIST - Guide to Security for Full Virtualization Technologies http://csrc.nist.gov/publications/nistpubs/800-125/SP800-125-final.pdf

Cloud Security Alliance https://cloudsecurityalliance.org/

13.01.2014 © 2013 Cisco and/or its affiliates. All rights reserved.

Пожалуйста, заполните анкеты.

Ваше мнение очень важно для нас.

Спасибо

Безопасность ЦОД-часть 1

Technology

policy management

cloud security alliance

nexus 1000v

tenant

6 ge cu

nexus

cisco

security