62
виртуальной операционной системы, гостевой операционной системой и
гипервизора ресурсы. В отношении этих ресурсов предлагаем создавать
резервные копии с последующим их сохранением на виртуальный сервер.
При проведении операции по резервному копированию и
восстановлению данных для усиления защиты рекомендуем администратору
ООО «Закат» использовать серверы управления виртуализацией и
дистрибутивы для построения виртуальных машин.
Для усиления защиты от вирусов рекомендуем ООО «Закат» проверять
наличие вредоносных программ в виртуальных операционных системах,
включая контроль памяти, файловой системы, запущенных процессов и
приложений.
В случае разбиения системы виртуализации на сегменты рекомендуем
обрабатывать информацию отдельными пакетами и дальнейшим их
перемещением на сервер виртуализации.
Предложенная модель усиления защиты системы виртуализации
позволит сократить количество атак и угроз на систему виртуализации ООО
«Закат», обеспечивать ее масштабируемость и отказоустойчивость в рабочей
обстановке.
По данным IT-отдела ООО «Закат» было установлено, что в настоящее
время для защиты системы виртуализации применяется стратегия «запрета».
Для этого в ручном или автоматизированном режиме специалисты IT-отдела
ООО «Закат» осуществляют поиск уязвимостей в открытых и закрытых базах
данных. После обнаружения уязвимость нейтрализуется и производится
обновление системы виртуализации. Однако такая стратегия не позволяет
выявить уязвимости «нулевого» уровня, которые относятся к получению
несанкционированного доступа к системе виртуализации.
Поэтому рекомендуем существующую стратегию «запрета» дополнить
стратегией «обмана» или отвлечением злоумышленника за счет механизма
выработки ложного информационного ресурса. Реализация такой стратегии
позволит усилить защиту системы виртуализации и не позволит
63
злоумышленникам получить несанкционированный доступ к ресурсам
системы виртуализации.
При внедрении ложных информационных систем необходимо
учитывать ограничения на использование вычислительных ресурсов,
поскольку это будет влиять на эффективность защиты.
Для оценки вероятности ложных срабатываний рекомендуем
использовать условия срыва несанкционированного доступа за счет
внедрения ложных информационных систем, а также условия отсутствия
превышение затрат по использованию вычислительных ресурсов системы
виртуализации.
Вероятность возникновения несанкционированного доступа при
условии срыва можно представить в виде функции [43, c.149]:
0
,,,
lim
RRеслиtIP
tP
НСД
I
D
(1)
где
tIP
НСД
,
- вероятность того, что за время t злоумышленник сумеет
получить несанкционированный доступ к объектам системы виртуализации;
lim
R
- уровень затрат на вычислительные ресурсы системы
виртуализации.
Эффективность внедрения ложных информационных систем
рекомендуем определять по разностному показателю или относительному
разностному показателю:
,tPtPt
I
дшс
I
D
(2)
где
tP
I
D
- вероятность того что в условиях отсутствия ложной
информационной системы нарушитель сможет получить
несанкционированный доступ к объектам системы виртуализации.
64
tP
I
дшс
- вероятность того что во время работы ложной
информационной системы нарушитель сможет получить доступ к
виртуальной системе.
Если вероятность возникновения несанкционированного доступа в
условиях отсутствия ложной информационной системы будет близка по
значениям к вероятности
tP
I
дшс
, то можно использовать следующую
функцию:
.1 tPt
I
дшс
(3)
В случае получения несанкционированного доступа к системе
виртуализации злоумышленник или вредоносное программное обеспечение
производит поиск виртуальной машины для нанесения атаки и распознания
ее ресурсов. При этом поиск может производиться с любого элемента
виртуальной системы.
Пусть в составе системы виртуализации имеются истинные объекты и
ложной информационной системой формируются ложные срабатывания, за
время T. В свою очередь, за этот промежуток времени злоумышленником
производятся различные попытки получения доступа.
Кроме того при расчете показателей эффективности работы ложной
информационной системы необходимо учитывать ограничение на
потребление ресурсов. К вычислительным ресурсам в данном случае
относятся память необходимая для работы виртуальных машин
установленных на каждом сервере, резервы свободного процессорного
времени и трафик, который передается внутри системы виртуализации.
Для анализа объектов рекомендуем использовать метод сканирования с
помощью сетевых пакетов, который позволит определить тип системы
виртуализации и ее составные службы.
65
Полученные результаты исследования внедрения механизма ложных
срабатываний в систему виртуализации приведены в таблице 4.
Таблица 4 – Полученные результаты исследования внедрения
механизма ложных срабатываний в систему виртуализации
Объект
Процессорное
время
Загруженность
канала
Память на
жестком
диске
Оперативная
память
Целевая
виртуальная
машина
0,7%
0,01%
42 ГБ
2 ГБ
Ложная
виртуальная
машина
0,75%
0,0005%
21 ГБ
512 МБ
Гипервизор
0,5%
0,00005%
0,5 ГБ
256 МБ
В приложении Г показаны зависимости вероятности доступа к целевым
объектам в зависимости от количества ложных объектов. Аналитические
методики оценки эффективности ложных информационных систем
приведены в приложении Д. Для оценки эффективности ложных
информационных систем рекомендуем использовать модели, приведенные в
приложении Е.
3.2. Предложения по расширению функционала системы виртуализации
предприятия
Для расширения системы виртуализации ООО «Закат» рекомендуем
внедрить масштабируемую и отказоустойчивую платформу виртуализации
SCARP, позволяющую обеспечить работу с большими объемами данных.
Предложенный программный комплекс относится к свободно
распространяемому программному обеспечению и широко используется для
расширения систем виртуализации.
Программно-аппаратный комплекс SCARP представлен в виде
технологической консолидации платформ контейнерной виртуализации
OpenVZ и параллельной файловой системы Lustre. В основе работы
программно-аппаратного комплекса SCARP находится симметричная
66
архитектура с аппаратной избыточностью. В этой архитектуре отсутствует
единая точка отказа, узлы для агрегирования потоков данных.
Архитектура программно-аппаратного комплекса SCARP приведена на
рисунке 27.
Рисунок 27 – Архитектура программно-аппаратного комплекса SCARP
Как видно из рисунка 27 в состав комплекса входит вычислительный
кластер, связанный с параллельным хранилищем данных Lustre через
коммуникационную сеть, поддерживающую технологию прямого удаленного
доступа RDMA (Remote Direct Memory Access).
Параллельное хранилище Lustre представлено в виде серверов для
обслуживания дисковых пулов. Узлы вычислительного кластера работают с
виртуальными серверами, обслуживающими различные виртуальные
машины.
Наличие параллельного файлового хранилища позволит ООО «Закат»
обслуживать различные файловые системы, обеспечивать балансировку
нагрузки во всем виртуальном дисковом пуле. При этом свободное
пространство дисковых пулов может свободно перераспределяется между
файловыми системами с кэшированием данных на твердотельных дисках.
Образы виртуальных машин расположены в параллельном хранилище и
выполняют функции миграции между физическими серверами. Работа
виртуальных машин осуществляется через контейнеры OpenVZ.
67
За счет контейнерной виртуализации ООО «Закат» можно будет
использовать прямой канал RDMA (Remote Direct Memory Access) для
получения доступа к параллельным хранилищам без потерь данных на
программном гипервизоре.
За счет внедрения программно-аппаратного комплекса SCARP IT-
специалисты ООО «Закат» смогут выполнять масштабирование данных до
нескольких петабайт, увеличить производительность до нескольких ГБ/с,
организовать работу в едином пространстве имен, повысить надежность
хранения данных и расширить функциональность системы виртуализации.
Для работы с программным комплексом SCARP необходимо выбрать
параллельную файловую систему. Кроме параллельной файловой системы
для работы с системой виртуализации можно использовать также открытые
файловые системы GlusterFS и параллельное хранилище CEPH.
В работе Семенова А.А. рекомендуется использовать файловую
систему Lustre, которая по его исследованиям поддерживает механизм
RDMA, эффективно интегрирует с предложенным комплексом SCARP,
имеет наилучшие показатели по скорости и наиболее часто применяется в
системах виртуализации [45, c.49].
Логическая схема предложенного ООО «Закат» программно-
аппаратного SCARP приведена на рисунке 28.
Рисунок 28 – Логическая схема предложенного ООО «Закат»
программно-аппаратного SCARP
68
Как видно из рисунка 28 в состав программно-аппаратного комплекса
SCARP входят вычислительный кластер, модули данных и метаданных,
контроллер домена и шлюз для установления внешних соединений,
поддерживающий технологию Infiniband QDR со скоростью передачи
данных 40 ГБ/с.
В состав вычислительного кластера входит 4-х ядерный процессорный
сервер. Это создаст возможность сокращения количества узлов в
виртуальной системе и увеличения параметров масштабируемости. В этом
случае комплекс будет управляться с помощью одного центрального
коммутатора гарантирующего не блокируемость коммутационной матрицы.
Модуль метаданных рекомендуем ООО «Закат» использовать для
обслуживания карты размещения в параллельной файловой системе.
Контроллер домена будет реализовать функции по контролю доступа к
серверам комплекса SCARP и включает в свой состав различные
идентификаторы групп пользователей, в том числе и при работе с сервисами
DNS и DHCP [49, c.39].
Рассмотрим организацию файловых систем в программно-аппаратном
комплексе SCARP. В состав аппаратной системы виртуализации входят
более 60 дисковых корзин, каждая из которых соответствует определенному
пулу ZFS (Zettabyte File System). Пул ZFS выполняет функции оконечного
хранилища и может быть использован для перераспределения дискового
пространства. Применение дисковой корзины позволит ООО «Закат»
реализовать равномерное распределение данных в параллельной файловой
системе, а также выполнять балансировку нагрузки [52, c.80].
При организации работы параллельной файловой системы
рекомендуем на пулах ZFS создать объектные тома OST, а затем их
комбинировать с распределенной файловой системой Lustre, как это показано
на рисунке 29.
69
Рисунок 29 – Организация параллельной файловой системы Lustre
комплекса SCARP
Внедрение программного комплекса SCARP также позволит
обеспечить защиту данных в случае выхода из строя жестких дисков и
потери данных в файловой системе Lustre. Для обеспечения защиты выхода
из строя жестких дисков рекомендуем использовать RAID-Z3, включающий
19 дисков с объемом 4 Тбайт. Поскольку потери данных могут возникнуть
при ошибках в файловой системе Lustre, а также при работе пользователей.
В программно-аппаратном комплексе существует возможность
настройки Политики хранения при работе с параллельной файловой
системой. При необходимости можно сделать откат к одной из предыдущих
версий файловой системы. Условная схема подключения хранилищ
приведена на рисунке 30.
70
Рисунок 30 – Условная схема подключения хранилищ в программно-
аппаратном комплексе SCARP
Как видно из рисунка 30, рекомендуем ООО «Закат» параллельные
файловые системы установить на физических вычислительных узлах. Это
позволит при запуске виртуальной машины OpenVZ обеспечить связанный
механизм передачи в параллельную файловую систему.
Для оценки эффективности внедрения программного комплекса
SCARP были произведены тестирования производительности для двух узлов.
Полученные результаты тестирования для одного потока и
интегральных потоков, приведены в таблице 5.
Таблица 5 – Полученные результаты тестирования для одного потока и
интегральных потоков
Параметры
Значения
Один поток
Параллельные потоки
Запись
234 МБ/с
1500 МБ/с
Перезапись
166 МБ/с
-
Чтение
13 МБ/с
2000 МБ/с
Создание
318 МБ/с
2079 МБ/с
Удаление
2197 МБ/с
3387 МБ/с
71
При внедрении виртуальной системы SCARP необходимо учитывать
ограничения к его работе [50, c.36]:
- текущая реализация параллельной файловой системы Lustre не
поддерживает ведение синхронного журнала записи SLOG на выделенных
хранилищах ZFS. Следовательно, функция кэширования записи на дисках
SSD будет недоступной;
- текущая реализация параллельной файловой системы Lustre не
поддерживает монтирование отдельных веток файловой системы. Поэтому
на физическом узле необходимо монтировать только файловую систему от
корня. Для исключения недостатка рекомендуем на стадии экспорта
применять внутренние контейнеры;
- текущая версия файловой системы Lustre имеет ограничения в
вопросах выявления ошибок по целостности данных. Недостающая
функциональность может быть исключена за счет использования стабильной
версии Lustre 2.5.4;
- система виртуализации OpenVZ создает ограничения в использовании
механизмов, которые осуществляют запуск данных на физических узлах. Для
исключения этого недостатка рекомендуем использовать отдельный
вычислительный кластер, который необходимо подключить к виртуальному
хранилищу;
- текущая версия OpenVZ поддерживает образы виртуальных машин
только в файловых системах NFS. Для исключения этого недостатка
рекомендуем выполнять экспорт данных с физического локального узла.
Несмотря на существующие ограничения предложенный программно-
аппаратный комплекс SCARP позволит расширить возможности системы
виртуализации ООО «Закат».