-: Ağlarımızda popüler hale gelen
en yeni sanallaştırma türü, konteynerleştirme
olarak da bilinen konteyner tabanlı sanallaştırma
olarak bilinir.
Ancak bu tür sanallaştırma, son kullanıcı yerine
sunuculara çok daha fazla odaklanmaktadır.
Bu tür sanallaştırma ile işletim
sistemi çekirdeği birden fazla sanal makine
arasında paylaşılır, ancak her sanal makine için kullanıcı
alanı benzersiz bir şekilde oluşturulur ve yönetilir.
Konteynerleştirme, bir uygulama için yalıtılmış
bir yürütme ortamı sağlamak üzere bir ana bilgisayar işletim
sistemi tarafından uygulanan bir sanallaştırma türüdür.
Konteynerleştirme, işletim sistemi düzeyinde
kaynak segmentasyonunu ve ayrımını zorunlu
kıldığı için oldukça güvenli kabul edilir.
Artık konteynırlaştırma Linux sunucularında
yaygın olarak kullanılıyor ve bu konteynır
tabanlı sanallaştırmanın bazı örnekleri
arasında Docker, Parallels Virtuozzo ve OpenVZ projesi gibi
şeyler yer alıyor.
Şimdi, konteynerizasyon gerçekten neye benziyor?
Bir donanım parçanız ve bu donanımın
üzerinde, genellikle Linux olan bir Ana İşletim Sisteminiz
ve ardından bir konteyner yöneticiniz var.
Kubernetes, Docker ya da bunun gibi bir şey.
Şimdi bu konteyner yöneticisi, farklı uygulamalar
içeren farklı konteynerler oluşturmak için kullanılacak.
Bu durumda, üç konteynerim var.
Ana işletim sisteminin çekirdeğine
dayanan ilk ortamım var, bu örnekte kullanılan
bir Linux sistemi.
Ve böylece Linnux çalıştıran bir konteynerimiz var
ve orada bazı uygulamalar içeriyor.
Şimdi konteyner iki de aynı şeyi yapabilir ve
konteyner üç de aynı şeyi yapabilir.
Her üç konteyner de aynı ana bilgisayar işletim
sistemi dosyalarını paylaştığından.
Bu, sanal makineler kullanarak saf
sanallaştırma yapmaktan çok daha az kaynak gerektirir.
Sanallaştırma hakkında konuştuğumuz gibi.
Bunun yerine ayrı sanal makineler kullanırsak, her birinin
kendi işletim sistemi kopyasına ihtiyacı olacaktır.
Ve bu her biri için 8 ila 10 gigabayt olabilir.
Ancak konteynerler sayesinde
hepimiz aynı işletim sistemini paylaşabiliriz.
Dolayısıyla konteynerleştirme çok daha az depolama tabanı kullanır
ve çok daha az işlem gücü gerektirir.
Bu, operasyonel açıdan konteyner gibi bir şey kullanmanın
gerçek faydasıdır.
Çünkü bu konteynerler mantıksal olarak izole edilmiştir.
Aslında birbirleriyle bağlantı kuramazlar.
Eğer iki konteynerin konuşmasını istiyorsam, aslında
onları sanal bir ağ üzerinden bağlamam ve konuşmalarını sağlamak
için doğru yönlendirme ve anahtarlamayı
yapmam gerekir.
Varsayılan olarak, birbirleriyle konuşmalarının hiçbir
yolu yoktur ve bu güvenlik açısından harika bir şeydir
çünkü bu segmentasyona sahibiz.
Şimdi, konteynırlarla uğraşmak söz konusu olduğunda
büyük uyarınız.
Bir saldırgan, örneğin az önce bahsettiğim Linux işletim
sisteminin altındaki ana işletim sistemini
tehlikeye atarsa, tahmin edin ne olur?
Bu saldırı artık verilerindeki tüm konteynerlere erişebiliyor,
çünkü bu tek işletim sistemi barındırılan tüm konteynerler
tarafından kullanılıyor.
Bu, konteyner kullandığınızda karşılaştığınız
en büyük güvenlik açıklarından biridir.
Şu anda 50 farklı sunucuyu çalıştıran bir
konteyner sistemine sahip olabilirim.
Ve bunların her biri konteynerizasyon kullanarak
farklı sunucular ve hizmetler çalıştırıyor.
Ancak bir kişi Linux işletim sistemi altındaki
o tek sunucuya erişebilirse, artık barındırılan
50 sunucunun tamamına ve tüm verilerine erişebilir.
Dikkate alınması gereken bir başka risk de konteynerlerinizin
ve diğer sanal makinelerinizin gerçekte nasıl barındırılacağıdır.
Sanallaştırma ve bulut bilişime güvenmeye başladığımızda,
verilerimizin başka bir kuruluşun verileriyle
aynı fiziksel sunucuda barındırılabileceğini kabul etmek
çok önemli hale gelir.
Bunu yaparak, sistemlerimizin güvenliğine
bazı açıklar getiriyoruz.
İlk olarak, fiziksel sunucu diğer kuruluşlardan birinin
yaptığı bir şey nedeniyle çökerse,
aslında aynı sunucudaki
tüm kuruluşları etkileyebilir.
Benzer şekilde, bir kuruluş sanal ortamlarının
güvenliğini sağlamıyorsa, bu fiziksel
sunucuda barındırılıyorlarsa, bir
saldırganın bunu aynı sunucuda barındırılan diğer
tüm kuruluşların zararına kullanması olasılığı
vardır.
Tıpkı ağlarımızı bir başkasının ağına bağlarken ortaya
çıkan endişeler gibi, birden fazla kuruluşun
verilerini aynı fiziksel sunucuda barındırırken
de endişeler vardır.
Bu sunucularda barındırılan sanal makinelere kullanıcı
erişimini düzgün bir şekilde yapılandırmak, yönetmek
ve denetlemek bizim için önemlidir.
Ayrıca, sanal makinelerimizin en son yamalara, antivirüs,
animwire ve erişim kontrolüne sahip olduğundan
emin olmak istiyoruz.
Fiziksel sunucu kaynaklarının
yetersiz kalması riskini en aza indirmek için sanal
makinelerimizi uygun yük devretme, yedeklilik
ve esneklikle kurmak her zaman iyi bir fikirdir.
Ağ performansını ve fiziksel
sunucu kaynaklarını izleyerek,
yükü tek bir makineye güvenmek yerine
birkaç fiziksel makine arasında dengeleyebilmeliyiz.
Bir saldırgan tarafından istismar edilebilecek
bir başka güvenlik açığı da tüm sanal makinelerimizde
aynı tür hipervizör kullanmamızdır.
Örneğin, kuruluşumuz yalnızca VMware'in ESXi
hipervizörüne güveniyorsa ve bu hipervizör
için yeni bir açık yaratılırsa, bir saldırgan
bunu tüm sistemlerimize karşı kullanabilir.
Dolayısıyla, sunucularımızdan birinde başarılı olursa, muhtemelen
diğer sunucularımızda da deneyeceklerdir.
Ve eğer tüm sunucularımız aynı platformu,
bu durumda VMware'in ESXi'sini kullanıyorsa, bu güvenlik
açığı tüm kuruluşumuzda istismar edilebilir.
Bununla birlikte, birden fazla hipervizör
platformu kullanırsak, destek maliyetlerimiz
ve eğitim gereksinimlerimiz de artacaktır.
Bu nedenle çoğu kuruluş tek bir platform kullanmayı tercih
ediyor, ancak bunu yaptıklarında en azından ölçülü
bir risk kararı vermiş oluyorlar.
Bu riski azaltmak için kuruluş uygun yapılandırmaları
kullanmalı, hipervizörün her zaman yamalı ve güncel
kalmasını ve yalnızca güvenli bir yönetim
arayüzü üzerinden erişilebilir olmasını sağlamalı ve erişim
kontrolünü sıkı bir şekilde kontrol etmelidir.
Bunlar, sistemlerinizi sanallaştırıp şirket içi veya
bulut tabanlı bir çözüme taşıyıp taşımayacağınızı
belirlemeye başlarken göz önünde bulundurmanız gereken
şeylerden bazılarıdır.
İlk olarak, sanallaştırma yapacak mısınız?
Eğer öyleyse, geleneksel sanal makineleri mi kullanacaksınız yoksa
konteynerleştirmeyi mi kullanacaksınız?
Burada riske karşı ödül nedir?
Yapmanız gereken dengeleyici bir hareket var.
Bu bir iş kararıdır ve aynı
zamanda bir siber güvenlik kararıdır.
Dolayısıyla, bunları ölçmeniz ve
kuruluşunuz ve belirli kullanım durumları için en iyi
olanı seçmeniz gerekecektir.