23 novembre 2012

Sécurité et virtualisation

Logo BSSI

bssi sécurité informatique bancaire

De nombreuses entreprises adoptent la virtualisation pour des raisons d’économie d’échelle et de maitrise des ressources. Les risques induits par ces technologies doivent être analysées avec précaution. Elles permettent en effet à la fois d’apporter de nouvelles fonctions de sécurité et de couvrir certains risques, mais également d’en générer de nouveau en modifiant les infrastructures existantes : Elles permettent à partir d’une même machine physique hôte de faire fonctionner plusieurs systèmes d’exploitation virtuels.

 

Les principaux fournisseurs de solutions de virtualisation (hyper-V ; VMWare ; etc.) ont rapidement intégré des mesures de sécurité afin de maitriser les échanges d’information (chiffrement), la gestion des accès (interfaçage Active Directory) ou encore l’isolation entre le système hôte et l’ensemble des environnements invités (virtuels). Ces mesures de sécurité peuvent être aisément rattachées à des scénarios de menaces. Dans ce cadre, on trouve d’ailleurs de nombreux guides et préconisations sur les sites Internet du NIST (1), de l’ANSSI (2) permettant de faciliter la rétro-analyse des risques. Attention, l’implémentation de ces mesures de sécurité est parfois imposée comme pour dans PCI-DSS 2.0 où il faut prendre en compte les exigences du PCI Council (3) sous peine de se voir refuser la certification.

Afin de s’assurer que l’architecture virtualisée est sécurisée, il n’y a pas que des mesures techniques à prendre en compte. En effet, il est important de faire le lien entre les besoins de sécurité et les risques identifiés. Par exemple une des bonnes pratiques consiste à ne pas virtualiser des composants de sensibilité différente sur un même serveur physique. L’application de cette mesure sans connaître le niveau de sensibilité des données sur chacune des machines virtuelles du périmètre n’a aucun sens. C’est pourquoi la réalisation d’une appréciation des risques sur le périmètre concerné est indispensable pour restituer à chaque mesure de sécurité la valeur du risque qu’elle minimise.

En conclusion, il est important d’inclure la problématique de virtualisation dans la démarche globale de sécurité de l’entreprise. Les objectifs de sécurité et le plan de traitement des risques doivent être pris en compte dans la politique de sécurité et dans la communication (formation/ sensibilisation) auprès du personnel de la DSI. Cette démarche permet de ne plus considérer la virtualisation comme un élément particulier du SI et d’inscrire la sécurité des systèmes virtualisés dans un cycle d’amélioration continue.

 

Sources :

(1) http://csrc.nist.gov/publications/nistpubs/800-125/SP800-125-final.pdf

(2) http://www.ssi.gouv.fr/IMG/pdf/2012_05_29_-_Guide_1343_-_Problematique_de_securite_Virtualisation_3_9.pdf

(3) https://www.pcisecuritystandards.org/documents/Virtualization_InfoSupp_v2.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *