Пять вопросов про виртуализацию и её защиту

Пять вопросов про виртуализацию и её защиту

Несмотря на то, что существует острая потребность в отечественных информационных системах, и необходимые технические решения прорабатываются уже много лет, всё равно бытует несколько заблуждений по поводу сертифицированных средств виртуализации и особенностях их применения.

Первое заблуждение связано с тем, что если операционная система сертифицирована по требованиям защиты информации, то и все программные продукты, которые в ней есть, – тоже сертифицированы. Например, если есть калькулятор в составе системы, то он тоже прошёл контроль на отсутствие вредоносных программных закладок и что испытательная лаборатория проверила его реальные возможности на соответствие описанным в документации. В действительности, чтобы проверить код, который создавался разработчиками пять лет, надо потратить сравнимое количество времени на тестирование и изучение его работы. Поэтому проверяется даже не столько сама операционная система, сколько эффективность системы защиты, которая контролирует все возможные процессы, файлы, каналы, память, межпроцессные взаимодействия. Если такая проверка проходит успешно, то можно быть уверенным (в определённой степени, конечно), что операционная система, имея вредоносную закладку в одном из модулей, не сможет её реализовать, т.к. защитой будет перехвачено обращение к памяти, к файловой системе, к другому процессу и определено по политике безопасности – есть ли у данного модуля право на выполнение действий с объектом, или же такое право отсутствует.

Создание массовых операционных систем российского производства не пошло по пути первооткрывателей и изобретателей из-за отсутствия на это, в первую очередь, времени для разработки. В результате чего стали появляться один за другим дистрибутивы российских операционных систем: Alt Linux (на базе Mandrake Linux), Astra Linux (на базе Debian Linux), Заря (на базе CentOS Linux), ROSA Linux (на основе Mandriva Linux), МСВС (на основе Red Hat Enterprise Linux), Эльбрус (на базе Debian Linux), Аврора (на основе Ubuntu) и многие другие, уже даже отсутствующие на рынке. В части систем виртуализации такой подход тоже актуален.

Второе заблуждение кроется в том, что если какая-нибудь хорошо работающая система (например, Red Hat Enterprise Linux) прошла сертификацию (под названием МСВС), то её можно использовать также хорошо, как и в оригинальном виде. Как выясняется на практике – это не совсем так. Изменённая на свой лад система защиты, ограниченная в обновлениях и установке новых пакетов операционная система, с необходимостью сохранения целостности компонентов, не имеющая тестирования с теми сертифицированными продуктами, которые как раз и нужны, – создают сначала для проектировщика пользовательской системы, а потом и для самого пользователя множество трудно разрешимых и неразрешимых задач. За счёт этого стоимость введения в эксплуатацию продукта чаще всего вырастает, и время введения тоже. Но при этом, если создавать и проектировать вдумчиво (с учётом особенностей и совместимости), то можно выстроить очень надёжную и безопасную систему. 

Вопрос первый: можно ли купить систему виртуализации с сертификатом ФСТЭК?

На сегодняшний день есть одно сертифицированное средство аппаратной виртуализации (гипервизор), разработанный всероссийским институтом экспериментальной физики города Саратов. Сертификат ФСТЭК №4056.

А так как количество экземпляров ограничено тремя сотнями, то перейти на него удастся только ряду проектов, проводимых в госкорпорации «Росатом», под эгидой которой работает саратовский институт экспериментальной физики.

Остальные гипервизоры, включая ESX/ESXi компании VMware, Hyper-V фирмы Microsoft или же KVM от консорциума фирм Intel, HP, RedHat и IBM сертификацию не проходили. В т. ч. и разработчики операционной системы AstraLinux сообщают, что платформу виртуализации они не сертифицировали, но уверенно защищают.

Таким образом, фактически, сертифицированных систем виртуализации сейчас на рынке нет. В том числе и потому, что Федеральная служба по техническому и экспертному контролю не так давно выпустила новые требования (утверждены Приказом №131 от 30.07.2018 г.)  к разработке безопасного программного обеспечения и они предполагают детальный разбор заимствованного исходного кода уже даже не испытательными лабораториями, а в первую очередь производителями.

И, если саму систему виртуализации сертифицировать довольно сложно, то защиту информации к ней много проще. И они есть на рынке.  

Вопрос второй: можно ли покупать иностранные программы, если нужно использовать российские?

Национальная программа «Цифровая экономика» не предполагает 100% перехода на отечественные продукты даже в госструктурах. Более того, к 2024 году планируется, что они должны будут использовать программные продукты не менее, чем на 90% российского производства.

Фактически это означает, что как минимум 9% продуктов могут быть иностранного производства. Например, если один гипервизор компании VMware будет поддерживать работу 98 виртуальных машин, работающих с гостевыми российскими операционными системами Astra Linux, РОСА, Alt Linux, Эльбрус и другими, а сам будет защищён средством vGate, то доля зарубежной продукции составит 1%. Что более чем соответствует требованиям законодательства.

Вопрос третий: какая система виртуализации более производительна VMware или KVM?

Ответ на этот вопрос – тот редкий случай, когда лучше привести таблицу со значениями (таблица 1).

Из таблицы видно, что последние версии KVM в чём-то уступают VMware, но это скорее информация для проектировщиков. Экономистам будет интереснее узнать цену вопроса.

Финансовый вопрос: какая защищённая система наиболее выгодна по цене?

Всё зависит от того какую защиту использовать. KMV как таковой много дешевле, чем продукты компаний VMware или Microsoft, потому что может распространяться и бесплатно. Но защита к ней будет стоить денег и довольно больших.

Возьмём, к примеру, виртуализацию на базе защиты Astra Linux и на базе vGate. Производитель Astra Linux выполняет расчет стоимости, зависящий от числа виртуальных машин, не обращая внимание на производительность сервера. VMware считает в процессорах, не обращая внимание на количество виртуальных машин (таблица 2).

Не так просто сравнить что дороже, но можно это сделать так: если у пользователя есть 3 сервера, на которых он собирается запустить по 250 виртуальных машин, то за vSphere + vGate он заплатит максимум 900 тыс. руб. А за БРЕСТ + Astra Linux 5,2 млн руб. При этом, используя продукт VMware он может увеличить количество машин ещё на 2322 единицы. А с Astra Linux нет, потому что каждый сервер KVM более 250 штук не поддерживает. И платить в РусБИТех надо не за процессор, а за виртуальную машину.  И тогда ему понадобится поставить дополнительно ещё ~ 9 таких серверов с Брестом. Каждый, получается, примерно по 1,7 млн руб. А вместе получается 20 млн рублей.

Вопрос перспективы: стоит ли в ближайшие годы ожидать сертифицированную систему виртуализации KVM?

С точки зрения разработчиков защищённых ОС – скорее всего нет. Т.к. продукты виртуализации они не развивают сами, а пользуются результатами консорциума, включающий в себя IBM, RedHat, Intel, HP и другие компании. И в то время как последние вкладывают средства для увеличения производительности и оптимизации в работе виртуальной инфраструктуры, российским разработчикам на это ресурсов не хватает. И если они могут обеспечить работу новой версии в защищённом исполнении, то нет необходимости вкладывать деньги в пересертификацию.

[1] Включает техническую поддержку на 1 год, средство управления vCenter и работу 3-х серверов до 2-х процессоров на каждом

[2] В стоимость входит ОС СН Astra Linux 1.6 ФСТЭК. Отдельно она стоит 24 900 руб. + техническая поддержка для сервера на год 62 100 руб.