Мы уже много рассказывали о продукте vGate R2, который позволяет защитить инфраструктуру от несанкционированного доступа и настроить ее в соответствии со стандартами и лучшими практиками на базе политик (в т.ч. ФЗ 152). Кроме того, у vGate R2 есть все необходимые сертификаты ФСТЭК, которые помогут вам пройти сертификацию в соответствующих органах. Мы много писали о работе с продуктом со стороны администратора (см. тут и тут), а сегодня опишем, как это выглядит со стороны пользователя.

В целом, защищенная с помощью vGate R2 инфраструктура VMware vSphere выглядит так:

А кто вообще у нас является пользователем vGate R2? Ответ - администратор VMware vSphere (на схеме - АВИ), а администратором vGate R2 является человек из отдела информационной безопасности (ИБ) предприятия (на схеме - АИБ). Это на самом деле третья возможность vGate R2 - разделять полномочия администратора виртуальной инфраструктуры и ставить их под наблюдение и контроль со стороны отдела ИБ.

Все очень просто: в инфраструктурах с чувствительными данными администратор vSphere имеет неограниченные полномочия, что можете привести к существенной компрометации инфраструктуры, а в иногда - и к полной ее потере (по крайней мере, на некоторое время). Поэтому очень даже хорошо контролировать его действия со стороны администратора ИБ, который нужен не для того, чтобы указывать что делать аминистратору vSphere, а для того, чтобы вести журнал событий, делать его аудит и утверждать наиболее значимые изменения конфигурации виртуальной среды, которые могут повлиять на безопасность. А уж с виртуальными машинами и хостами пусть разбирается администратор vSphere, но в рамках данных ему полномочий.

Ведь на хостах VMware ESXi и в виртуальных машинах может содераться информация разного уровня конфиденциальности, а значит нужно разделять администраторов и пользователей по этим уровням, что и делает vGate R2 (см. тут).

Со стороны пользователя (администратора vSphere) использование защищенной среды vGate R2 предполагает установку клиента (агент аутентификации). Агент аутентификации устанавливается как на рабочем месте администратора ИБ (где консоль администрирования), так и на рабочей станции, откуда происходит управление через vSphere Clinet.

После того, как администратор vSphere установит себе агента vGate R2, он заходит Пуск->Программы->Код безопасности->vGate->Вход в систему и вводит свои учетные данные, которые хранятся на уровне сервера авторизации vGate R2 (см. тут).

Надо отметить, что для аутентификации пользователя возможно использование персонального идентификатора (e-token). Как это настроить приведено в документации по продукту.

После успешного входа в систему у администратора vSphere появится вот такой значок в трее:

После этого можно запускать обычный vSphere Client и работать в защищенной среде, где полномочия администратора vSphere будут уже регулироваться и протоколироваться со стороны сервера авторизации vGate R2 (у которого есть свои агенты на хостах ESX/ESXi).

Каждому пользователю назначается уровень конфиденциальности, позволяющий ему выполнять операции с ресурсами (серверы ESX, ВМ, хранилища, виртуальные сети) определенного уровня конфиденциальности (см. как это работает - тут). При этом пользователь может выполнять операции с ресурсами, уровень конфиденциальности которых не выше его собственного уровня конфиденциальности.

На основании этого правила осуществляется управление доступом к выполнению таких операций, как запуск и остановка ВМ, редактирование параметров ВМ (в том числе и сетевых), доступ к хранилищу ВМ, перемещение ВМ и т. д.

Каждый сеанс работы пользователя при подключении к защищенной среде получает уровень сессии "неконфиденциально". То есть он может выполнять только операции с данным типом ресурсов хостов и виртуальных машин (он назначается для них по умолчанию, отдельно со стороны администратора ИБ закрываются лишь конфиденциальные ресурсы различного уровня).

В процессе работы с клиентом vSphere пользователь может динамически выбирать уровень сессии (делается это по правой кнопке иконки клиента vGate R2 в трее) для повышения уровня конфиденциальности (если у него есть такие полномочия, назначенные на сервере авторизации vGate R2), но, само собой, не выше собственного уровня конфиденциальности

Уровень сессии может принимать одно из следующих значений (в порядке возрастания важности защиты данных виртуальной инфраструктуры):

• неконфиденциально;
• для служебного пользования;
• секретно;
• совершенно секретно.

Таким образом, выбирая необходимый уровень сессии, пользователь сможет выполнять операции с ресурсами разного уровня конфиденциальности (от уровня "неконфиденциально" до максимально доступного для данного пользователя уровня).

Что делать когда требуется развернуть новый виртуальный/физический сервер или изменить конфигурацию виртуальной инфраструктуры (адаптеры, VLAN, хранилища)? Правильно - необходимо проинформировать администратора ИБ предприятия об этом и назвать тех, кому надо предоставить доступ к этим ресурсам. А администратор ИБ уже сделает все необходимые настройки для доступа к ресурсам виртуальной инфраструктуры. То есть теперь служба ИБ будет отвечать за то, что она дала вам такие полномочия (или не дала - тут уже со стороны бизнеса надо судить).

Такая схема использования доступа к ресурсам разной степени конфиденциальности позволит получить следующие преимущества перед обычной (незащищенной) виртуальной средой:

• Администратор ИБ будет знать, кто из администраторов что может делать и что он уже сделал (журнал событий)
• Администратор vSphere может 1 раз залогиниться в клиента vGate R2 (можно с сохранением пароля) и дальше уже не замечать действия администратора ИБ, если будет действовать в рамках своих полномочий
• Не будет всемогущего администратора vSphere, под контролем которого находятся все ресурсы предприятия, сосредоточенные в виртуальных машинах

Так-то вот. Пробную версию продукта vGate R2 можно запросить по этой ссылке. Вопросы по работе решения к сотрудникам компании Код Безопасности можно задать прямо тут, в комментариях.