Adapter sa politique de sécurité à la virtualisation des serveurs

Charles Gengembre, architecte sécurité au sein de SCC, une société de services informatique d'infrastructure, a référencé sept règles à respecter impérativement lors de la virtualisation d'une infrastructure.Quelques secondes. C'est ce qu'il faut à un administrateur système pour créer une nouvelle machine virtuelle. Cette réactivité inégalée est un avantage. Mais cette technologie a fait naître un réel problème de sécurité, dû à la prolifération de ces serveurs. Dès 2010, le cabinet Gartner mettait en garde les entreprises : il prévoyait qu'en 2012, 60 % des serveurs virtualisés seraient moins sécurisés que les machines physiques qu'ils remplacent. Car la virtualisation ? qui induit de nouveaux domaines de risques ? doit être sécurisée au même titre que le reste de l'architecture. D'autant que migrer ses applications vers un tel environnement, sans effet sur la plupart des vulnérabilités, peut fournir des vecteurs d'attaque supplémentaires. D'où l'intérêt de respecter les sept règles suivantes.

1. Veiller à la sécurité de la couche virtuelle

L'administrateur qui s'occupe de la sécurité gère souvent toute l'infrastructure. Chargé de veiller à ce que l'informatique réponde aux besoins de production, il en oublie parfois le reste. La prise en compte de la sécurité doit pourtant se faire dès le début de la virtualisation, en industrialisant le provisionnement des machines virtuelles (VMs). Ce qui évite aussi les erreurs de configuration. Suivi du provisionnement des hôtes, des machines virtuelles et des pools de ressources ; audit régulier afin de détecter toute activité suspecte ; gestion du cycle de vie des VMs ; élaboration de processus à suivre ; contrôle strict des modifications, surveillance rigoureuse des événements… tels sont les points à intégrer dans les process dès le début de la migration.

2. Définir correctement les rôles

Quand l'infrastructure n'est pas virtuelle, l'équipe serveur peut être séparée de l'équipe réseau, qui elle-même fonctionne indépendamment de l'équipe sécurité. Avec la virtualisation, une seule interface de gestion contrôle à la fois les machines et les réseaux virtuels. Il faut donc rétablir des règles de séparation en définissant les rôles et les droits.

3. Tenir compte de la nature des machines virtuelles

Ce type de serveurs étant mobiles, ils peuvent être très facilement déplacés et répliqués. Les équipements de sécurité traditionnels, qui inspectent un port spécifique, ne sont plus efficaces lorsque les VMs migrent d'une machine physique à l'autre. De plus, les antivirus et les logiciels de patch ont besoin que le serveur soit opérationnel pour appliquer les mises à jour. Impossible de fonctionner lorsque les VMs sont désactivées, et susceptibles d'être remises en service, comme lors d'une réplication. Il faut donc tenir compte de ces spécificités.

4. Protéger chaque application selon son niveau de criticité

Serveurs critiques et non critiques sont souvent virtualisés sur une même machine physique. Pourtant, il est difficile de contrôler la communication entre des machines virtuelles. Si un problème survient sur l'une d'entre elles, il s'agit d'éviter qu'il se propage à sa voisine en appliquant les politiques de sécurité ad hoc pour chaque application.

5. Bien séparer la couche de gestion du réseau

Si l'hyperviseur et son interface sont isolés l'un de l'autre (par un commutateur virtuel, par exemple), la probabilité qu'une attaque dirigée sur une VM se répercute sur une autre VM est réduite au minimum. Souvent, on utilise pour cela un commutateur virtuel.

6. Penser la sécurité des serveurs de façon globale

Si l'antivirus ou le logiciel de sauvegarde est installé sur plusieurs machines virtuelles qui s'exécutent à la même heure, la perte de performance sera importante. Il faut donc envisager la sécurité machine par machine.

7. Réactualiser régulièrement sa politique de sécurité

Très souvent, lorsque les équipes ont mis en place leur sécurisation, elles ont tendance à considérer que tout est fait, et qu'elles n'ont pas à y revenir avant plusieurs mois. Malheureusement, rien n'est jamais acquis en matière de sécurité. Il faut constamment se tenir à jour et patcher son infrastructure, y compris virtualisée.