-: เวอร์ชวลไลเซชันชนิดใหม่ล่าสุดที่กำลังเป็นที่นิยมในเครือข่ายของเราเรียกว่า
เวอร์ชวลไลเซชันแบบอิงคอนเทนเนอร์ หรือที่เรียกว่า
คอนเทนเนอร์ไรเซชัน
การจำลองเสมือนประเภทนี้จะเน้นที่เซิร์ฟเวอร์มากกว่าผู้ใช้ปลายทาง
ด้วยการจำลองเสมือนประเภทนี้ เคอร์เนลของระบบปฏิบัติการจะถูกแชร์ระหว่างเครื่องเสมือนหลายเครื่อง
แต่พื้นที่ผู้ใช้สำหรับเครื่องเสมือนแต่ละเครื่องจะถูกสร้างขึ้นและจัดการโดยไม่ซ้ำกัน
Containerization คือการจำลองเสมือนประเภทหนึ่งที่ระบบปฏิบัติการโฮสต์ใช้เพื่อจัดเตรียมสภาพแวดล้อมการดำเนินการแบบแยกสำหรับแอปพลิเคชัน
การบรรจุลงตู้คอนเทนเนอร์ถือว่ามีความปลอดภัยพอสมควรเพราะบังคับใช้การแบ่งส่วนและการแยกทรัพยากรในระดับระบบปฏิบัติการ
ขณะนี้การทำคอนเทนเนอร์มักใช้กับเซิร์ฟเวอร์
Linux และตัวอย่างบางส่วนของการทำเวอร์ชวลไลเซชันตามคอนเทนเนอร์นี้
ได้แก่ โครงการ Docker, Parallels Virtuozzo และ OpenVZ
ตอนนี้การบรรจุคอนเทนเนอร์มีลักษณะอย่างไร
คุณมีฮาร์ดแวร์ชิ้นหนึ่ง และนอกเหนือจากฮาร์ดแวร์นั้นแล้ว
คุณมีระบบปฏิบัติการโฮสต์ ซึ่งโดยปกติจะเป็น Linux และจากนั้นคุณก็มีตัวจัดการคอนเทนเนอร์
บางอย่างเช่น Kubernetes หรือ Docker หรืออะไรทำนองนั้น
ตอนนี้ตัวจัดการคอนเทนเนอร์นี้จะถูกใช้เพื่อสร้างคอนเทนเนอร์ต่างๆ
ที่มีแอปพลิเคชันที่แตกต่างกัน
ในกรณีนี้ ฉันมีคอนเทนเนอร์สามคอนเทนเนอร์
ฉันมีสภาพแวดล้อมแรก ซึ่งอิงตามเคอร์เนลของระบบปฏิบัติการโฮสต์
ในตัวอย่างนี้ ระบบ Linux ที่กำลังใช้งานอยู่
ดังนั้นเราจึงมีคอนเทนเนอร์หนึ่งที่ใช้ Linux และมีแอปพลิเคชันบางตัวอยู่ที่นั่น
ตอนนี้คอนเทนเนอร์ 2 สามารถทำสิ่งเดียวกันได้ และคอนเทนเนอร์
3 สามารถทำสิ่งเดียวกันได้
เนื่องจากคอนเทนเนอร์ทั้งสามแชร์ไฟล์ระบบปฏิบัติการโฮสต์เดียวกัน
สิ่งนี้ใช้ทรัพยากรน้อยกว่าการทำเวอร์ช่วลไลเซชั่นโดยตรงโดยใช้เครื่องเสมือน
เหมือนที่เราพูดถึง virtualization
หากเราใช้เครื่องเสมือนแต่ละเครื่องแทน แต่ละเครื่องจะต้องมีระบบปฏิบัติการของตนเอง
และนั่นอาจเป็น 8 ถึง 10 กิกะไบต์สำหรับแต่ละอัน
แต่ด้วยคอนเทนเนอร์ เราทุกคนสามารถใช้ระบบปฏิบัติการเดียวกันร่วมกันได้
ดังนั้นการทำคอนเทนเนอร์จึงใช้ฐานการจัดเก็บน้อยกว่ามากและใช้พลังงานในการประมวลผลน้อยกว่ามาก
นี่คือประโยชน์ที่แท้จริงของการใช้บางอย่างเช่นคอนเทนเนอร์จากมุมมองของการปฏิบัติงาน
ตอนนี้ เนื่องจากคอนเทนเนอร์เหล่านี้ถูกแยกออกอย่างมีเหตุผล
พวกเขาไม่สามารถติดต่อกันได้
ถ้าฉันต้องการให้สองคอนเทนเนอร์คุยกัน ฉันต้องเชื่อมต่อผ่านเครือข่ายเสมือน
และทำการกำหนดเส้นทางและสลับให้ถูกต้องเพื่อให้คอนเทนเนอร์พูดได้
โดยค่าเริ่มต้น พวกเขาไม่มีทางพูดคุยกันได้
และนี่เป็นสิ่งที่ดีจากมุมมองด้านความปลอดภัย
เพราะเรามีการแบ่งส่วนนี้
ต่อไปนี้เป็นคำเตือนสำคัญของคุณเมื่อต้องจัดการกับคอนเทนเนอร์
หากผู้โจมตีบุกรุก OS โฮสต์ข้างใต้ เช่น
ระบบปฏิบัติการ Linux ที่ฉันเพิ่งพูดถึง
ลองเดาดูว่าเกิดอะไรขึ้น
ตอนนี้การโจมตีนี้สามารถเข้าถึงคอนเทนเนอร์ทั้งหมดในข้อมูลของพวกเขาได้
เนื่องจากคอนเทนเนอร์ทั้งหมดที่ถูกโฮสต์ใช้ระบบปฏิบัติการเดียว
นี่เป็นหนึ่งในช่องโหว่ที่ใหญ่ที่สุดเมื่อคุณใช้คอนเทนเนอร์
ฉันสามารถมีระบบคอนเทนเนอร์ที่ใช้งานเซิร์ฟเวอร์ที่แตกต่างกัน
50 เครื่องได้ในขณะนี้
และแต่ละอันกำลังเรียกใช้เซิร์ฟเวอร์และบริการที่แตกต่างกันโดยใช้คอนเทนเนอร์
แต่ถ้ามีใครสามารถเข้าถึงเซิร์ฟเวอร์ที่อยู่ภายใต้ระบบปฏิบัติการ
Linux นั้น ตอนนี้พวกเขาสามารถเข้าถึงเซิร์ฟเวอร์ที่โฮสต์เหล่านั้นทั้งหมด
50 เครื่องและข้อมูลทั้งหมดของพวกเขา
ความเสี่ยงอีกประการหนึ่งที่ต้องพิจารณาคือวิธีโฮสต์คอนเทนเนอร์และเครื่องเสมือนอื่นๆ
ของคุณ
เมื่อเราเริ่มพึ่งพาการจำลองเสมือนและการประมวลผลแบบคลาวด์
สิ่งสำคัญคือต้องตระหนักว่าข้อมูลของเราอาจถูกโฮสต์บนเซิร์ฟเวอร์จริงเดียวกันกับข้อมูลขององค์กรอื่น
ด้วยการทำเช่นนั้น เราแนะนำช่องโหว่บางอย่างในการรักษาความปลอดภัยของระบบของเรา
ประการแรก หากเซิร์ฟเวอร์จริงล่มเนื่องจากสิ่งที่องค์กรอื่นกำลังทำอยู่
อันที่จริงแล้วอาจส่งผลกระทบต่อองค์กรทั้งหมดบนเซิร์ฟเวอร์เดียวกันนั้น
ในทำนองเดียวกัน หากองค์กรหนึ่งไม่รักษาความปลอดภัยของสภาพแวดล้อมเสมือน
พวกเขาถูกโฮสต์บนเซิร์ฟเวอร์จริงนั้น
มีความเป็นไปได้ที่ผู้โจมตีสามารถใช้สิ่งนั้นเพื่อสร้างความเสียหายให้กับองค์กรอื่น
ๆ ทั้งหมดที่โฮสต์บนเซิร์ฟเวอร์เดียวกันนั้น
เช่นเดียวกับที่มีข้อกังวลเมื่อเชื่อมต่อระหว่างเครือข่ายของเรากับของผู้อื่น
ก็มีข้อกังวลเกี่ยวกับการโฮสต์ข้อมูลขององค์กรหลายแห่งบนเซิร์ฟเวอร์จริงเดียวกัน
เป็นสิ่งสำคัญสำหรับเราในการกำหนดค่า จัดการ และตรวจสอบการเข้าถึงเครื่องเสมือนที่โฮสต์บนเซิร์ฟเวอร์เหล่านั้นอย่างเหมาะสม
นอกจากนี้ เราต้องการให้แน่ใจว่าเครื่องเสมือนของเรามีแพตช์ล่าสุด
แอนตี้ไวรัส แอนิมอลไวร์ และการควบคุมการเข้าถึงในสถานที่
เพื่อลดความเสี่ยงของการที่ทรัพยากรของเซิร์ฟเวอร์ทางกายภาพถูกใช้งานมากเกินไป
คุณควรตั้งค่าเครื่องเสมือนของเราด้วยการเฟลโอเวอร์ที่เหมาะสม
ความซ้ำซ้อน และความยืดหยุ่นที่เหมาะสม
การตรวจสอบประสิทธิภาพเครือข่ายและทรัพยากรของเซิร์ฟเวอร์จริงทำให้เราสามารถปรับสมดุลของโหลดระหว่างเครื่องจริงหลายๆ
เครื่องแทนที่จะใช้เพียงเครื่องเดียว
ช่องโหว่อื่นที่อาจถูกโจมตีโดยผู้โจมตีคือเมื่อเราใช้ไฮเปอร์ไวเซอร์ประเภทเดียวกันในเครื่องเสมือนทั้งหมดของเรา
ตัวอย่างเช่น หากองค์กรของเราใช้ไฮเปอร์ไวเซอร์
ESXi ของ VMware เพียงอย่างเดียว และมีการสร้างช่องโหว่ใหม่สำหรับไฮเปอร์ไวเซอร์นั้น
ผู้โจมตีก็สามารถใช้สิ่งนั้นกับระบบทั้งหมดของเรา
ดังนั้น หากประสบความสำเร็จในเซิร์ฟเวอร์ใดเซิร์ฟเวอร์หนึ่งของเรา
พวกเขาน่าจะลองใช้งานบนเซิร์ฟเวอร์ที่เหลือของเรา
และหากเซิร์ฟเวอร์ทั้งหมดของเราใช้แพลตฟอร์มเดียวกันในกรณีนี้
ESXi ของ VMware ช่องโหว่นี้อาจถูกโจมตีทั่วทั้งองค์กรของเรา
ความท้าทายในเรื่องนี้ก็คือ หากเราใช้แพลตฟอร์มไฮเปอร์ไวเซอร์หลายตัว
ค่าใช้จ่ายในการสนับสนุนและข้อกำหนดการฝึกอบรมของเราก็เพิ่มขึ้นเช่นกัน
ด้วยเหตุนี้องค์กรส่วนใหญ่จึงเลือกที่จะใช้แพลตฟอร์มเดียว
แต่อย่างน้อยพวกเขากำลังทำการตัดสินใจเกี่ยวกับความเสี่ยงที่วัดได้เมื่อทำเช่นนั้น
เพื่อลดความเสี่ยงดังกล่าว องค์กรควรใช้การกำหนดค่าที่เหมาะสม
ตรวจสอบให้แน่ใจว่าไฮเปอร์ไวเซอร์ยังคงได้รับการแพตช์และอัปเดตอยู่เสมอ และเข้าถึงได้ผ่านอินเทอร์เฟซการจัดการที่ปลอดภัยเท่านั้น เช่นเดียวกับการควบคุมการเข้าถึงอย่างเข้มงวด
ต่อไปนี้คือบางสิ่งที่คุณต้องพิจารณาเมื่อเริ่มห่างไกลหากคุณกำลังจะทำระบบเสมือนจริงและย้ายระบบไปยังโซลูชันในองค์กรหรือบนคลาวด์
อันดับแรก คุณจะทำเวอร์ชวลไลซ์หรือไม่
ถ้าเป็นเช่นนั้น คุณจะใช้เครื่องเสมือนแบบเดิมหรือจะใช้การบรรจุคอนเทนเนอร์
อะไรคือความเสี่ยงและผลตอบแทนที่นี่?
มีการกระทำที่สมดุลที่คุณต้องทำ
เป็นการตัดสินใจทางธุรกิจและเป็นการตัดสินใจด้านความปลอดภัยในโลกไซเบอร์ด้วย
ดังนั้น คุณจะต้องวัดสิ่งเหล่านี้และตัดสินใจเลือกสิ่งที่ดีที่สุดสำหรับองค์กรของคุณและกรณีการใช้งานเฉพาะ