-: يُعرف النوع الأحدث من المحاكاة الافتراضية
الذي أصبح شائعًا في شبكاتنا باسم المحاكاة
الافتراضية القائمة على الحاوية والمعروفة أيضًا باسم
المحاكاة الافتراضية للحاويات.
يركز هذا النوع من المحاكاة الافتراضية بشكل
أكبر على الخوادم بدلاً من المستخدم النهائي.
مع هذا النوع من المحاكاة الافتراضية،
تتم مشاركة نواة نظام التشغيل عبر
أجهزة ظاهرية متعددة، ولكن يتم إنشاء مساحة المستخدم
لكل جهاز ظاهري وإدارتها بشكل فريد.
تعد الحاوية أحد أنواع المحاكاة الافتراضية
التي يتم تطبيقها بواسطة نظام تشغيل مضيف لتوفير
بيئة تنفيذ معزولة لأحد التطبيقات.
تعتبر الحاويات آمنة إلى حد
ما لأنها تفرض تجزئة الموارد
وفصلها على مستوى نظام التشغيل.
يتم الآن استخدام الحاويات بشكل شائع
مع خوادم Linux وتشمل بعض الأمثلة
على هذه المحاكاة الافتراضية
القائمة على الحاويات أشياء مثل مشروع Docker وParallels
Virtuozzo وOpenVZ.
والآن، كيف تبدو عملية النقل بالحاويات حقًا؟
حسنًا، لديك قطعة من الأجهزة،
ثم فوق تلك الأجهزة، لديك نظام تشغيل مضيف،
عادةً Linux، ثم لديك مدير حاوية.
شيء مثل Kubernetes أو Docker أو شيء من هذا القبيل.
سيتم الآن استخدام مدير الحاوية هذا لإنشاء
حاويات مختلفة تحتوي على تطبيقات مختلفة.
في هذه الحالة، لدي ثلاث حاويات.
لدي البيئة الأولى، والتي تعتمد
على نواة نظام التشغيل المضيف، في هذا المثال،
نظام Linux الذي يتم استخدامه.
وبالتالي لدينا حاوية واحدة تعمل بنظام Linux
وتحتوي على بعض التطبيقات هناك.
الآن، يمكن للحاوية الثانية أن تفعل الشيء نفسه، ويمكن
للحاوية الثالثة أن تفعل الشيء نفسه.
نظرًا لأن الحاويات الثلاث تشترك في
نفس ملفات نظام التشغيل المضيف.
يتطلب هذا موارد أقل بكثير من إجراء المحاكاة
الافتراضية الخالصة باستخدام الأجهزة الافتراضية.
كما تحدثنا عن المحاكاة الافتراضية.
إذا استخدمنا أجهزة افتراضية فردية بدلاً من ذلك، فستحتاج
كل واحدة منها إلى نسختها الخاصة من نظام التشغيل.
ويمكن أن يكون ذلك من 8 إلى 10 غيغابايت لكل واحد.
ولكن مع الحاويات، يمكننا
جميعًا مشاركة نفس نظام التشغيل.
لذا فإن النقل بالحاويات يستخدم قاعدة تخزين أقل بكثير
ويستهلك طاقة معالجة أقل بكثير.
هذه هي الفائدة الحقيقية لاستخدام شيء مثل
الحاوية من منظور تشغيلي.
الآن، لأن هذه الحاويات معزولة منطقيا.
لا يمكنهم في الواقع التفاعل مع بعضهم البعض.
إذا أردت أن أتحدث بين حاويتين، فعليّ أن
أقوم بتوصيلهما من خلال شبكة افتراضية وأن أقوم
بالتوجيه والتبديل الصحيحين
للسماح لهما بالتحدث.
بشكل افتراضي، ليس لديهم طريقة للتحدث مع
بعضهم البعض وهذا شيء عظيم من وجهة نظر
أمنية لأن لدينا هذا التقسيم.
الآن، إليك تحذيرك الكبير عندما يتعلق الأمر بالتعامل
مع الحاويات.
إذا قام أحد المهاجمين باختراق نظام التشغيل المضيف
الموجود تحته، على سبيل المثال، نظام التشغيل
Linux الذي كنت أناقشه للتو، خمن ماذا يحدث؟
حسنًا، أصبح لهذا الهجوم الآن إمكانية الوصول إلى جميع الحاويات
الموجودة في بياناتها، نظرًا لأن نظام التشغيل هذا يُستخدم
من قبل جميع الحاويات التي تتم استضافتها.
هذه واحدة من أكبر نقاط الضعف
عند استخدام الحاويات.
يمكنني الحصول على نظام حاوية يقوم بتشغيل
50 خادمًا مختلفًا في الوقت الحالي.
ويقوم كل واحد منها بتشغيل خوادم
وخدمات مختلفة باستخدام الحاويات.
ولكن إذا كان شخص ما قادرًا على الوصول إلى هذا الخادم الوحيد
الموجود ضمن نظام التشغيل Linux، فيمكنه الآن الوصول إلى
جميع هذه الخوادم الخمسين المستضافة وجميع بياناتها.
هناك خطر آخر يجب مراعاته وهو كيفية استضافة
حاوياتك والأجهزة الافتراضية الأخرى فعليًا.
بمجرد أن نبدأ في الاعتماد على المحاكاة الافتراضية والحوسبة
السحابية، يصبح من المهم جدًا أن ندرك
أن بياناتنا قد تتم استضافتها على نفس الخادم الفعلي
مثل بيانات مؤسسة أخرى.
ومن خلال القيام بذلك، فإننا نقدم بعض نقاط
الضعف في أمان أنظمتنا.
أولاً، إذا تعطل الخادم الفعلي بسبب شيء تفعله إحدى
المؤسسات الأخرى، فيمكن أن يؤثر ذلك
فعليًا على جميع
المؤسسات الموجودة على نفس الخادم.
وبالمثل، إذا لم تحافظ إحدى المؤسسات على
أمان بيئاتها الافتراضية، حيث
تتم استضافتها على ذلك الخادم الفعلي،
فهناك احتمال أن يتمكن المهاجم من استغلال ذلك
على حساب جميع المؤسسات الأخرى المستضافة
على نفس الخادم.
مثلما توجد مخاوف عند ربط شبكاتنا بشبكات
شخص آخر، هناك أيضًا مخاوف بشأن
استضافة بيانات مؤسسات متعددة على
نفس الخادم الفعلي.
من المهم بالنسبة لنا تكوين وإدارة وتدقيق وصول المستخدم
إلى الأجهزة الافتراضية التي تتم استضافتها
على تلك الخوادم بشكل صحيح.
نريد أيضًا التأكد من أن أجهزتنا الافتراضية تحتوي على
أحدث التصحيحات وبرامج مكافحة الفيروسات وAnimwire
والتحكم في الوصول.
من أجل تقليل مخاطر إرهاق
موارد الخوادم الفعلية، من الجيد دائمًا
إعداد أجهزتنا الافتراضية مع تجاوز
الفشل والتكرار والمرونة بشكل مناسب.
من خلال مراقبة أداء الشبكة
وموارد الخوادم الفعلية، يجب أن
نكون قادرين على موازنة التحميل عبر
العديد من الأجهزة المادية بدلاً من الاعتماد
على جهاز واحد فقط.
هناك ثغرة أمنية أخرى قد يستغلها المهاجم
وهي عندما نستخدم نفس النوع من برنامج
Hypervisor عبر جميع أجهزتنا الافتراضية.
لذلك، على سبيل المثال، إذا كانت مؤسستنا تعتمد
فقط على برنامج Hypervisor ESXi الخاص بشركة
VMware وتم إنشاء استغلال جديد لبرنامج Hypervisor
هذا، فيمكن للمهاجم استخدام ذلك ضد جميع أنظمتنا.
لذا، إذا نجح الأمر على أحد خوادمنا، فمن
المرجح أن يجربوه على بقية خوادمنا.
وإذا كانت جميع خوادمنا تستخدم نفس النظام
الأساسي في هذه الحالة، VMware’s ESXi، فمن الممكن استغلال
هذه الثغرة الأمنية عبر مؤسستنا بأكملها.
ومع ذلك، فإن التحدي في هذا الأمر هو أنه
إذا استخدمنا منصات متعددة لبرنامج Hypervisor،
فإن تكاليف الدعم ومتطلبات التدريب
لدينا ستزداد أيضًا.
ولهذا السبب تختار معظم المؤسسات استخدام منصة
واحدة، ولكنها على الأقل تتخذ قرارًا محسوبًا
بشأن المخاطر عندما تفعل ذلك.
للتخفيف من هذه المخاطر، يجب على المؤسسة استخدام
التكوينات المناسبة، والتأكد من بقاء برنامج Hypervisor
دائمًا مصححًا ومحدثًا ولا يمكن الوصول
إليه إلا من خلال واجهة إدارة آمنة، بالإضافة إلى التحكم
الدقيق في التحكم في الوصول.
الآن، هذه بعض الأشياء التي يجب عليك مراعاتها
عند البدء في تحقيق النجاح إذا كنت تريد إضفاء
الطابع الافتراضي على أنظمتك وترحيلها إلى حل
محلي أو قائم على السحابة.
أولاً، هل ستقوم بالمحاكاة الافتراضية؟
إذا كان الأمر كذلك، فهل ستستخدم الأجهزة الافتراضية التقليدية
أم أنك ستستخدم النقل بالحاويات؟
ما هو الخطر مقابل المكافأة هنا؟
هناك عملية موازنة عليك القيام بها.
إنه قرار تجاري وهو
أيضًا قرار يتعلق بالأمن السيبراني.
ولذلك سيتعين عليك قياس هذه الأشياء
وتحديد الأفضل لاختياره لمؤسستك وحالات الاستخدام
الخاصة بها.