Microsoft हाइपर- V सर्वर को अनधिकृत नेटवर्क एक्सेस से सुरक्षित करना

वर्तमान में, वर्चुअलाइजेशन व्यापक है और इसका उपयोग हर जगह विस्तृत कार्य को हल करने के लिए किया जाता है।

हमने यह पता लगाने का निर्णय लिया कि क्या आधुनिक वर्चुअलाइजेशन प्लेटफार्मों को अतिरिक्त सूचना सुरक्षा उपकरणों की आवश्यकता है और क्या सुरक्षा कोड उत्पादों को सुरक्षा के स्तर को बढ़ाने के लिए और नियामकों की आवश्यकताओं को पूरा करने के लिए उपयोगी हो सकता है जब व्यक्तिगत डेटा और जानकारी को ऐसे प्लेटफार्मों पर राज्य रहस्यों के रूप में वर्गीकृत किया जाता है।

Microsoft हाइपर- V सुरक्षा

व्यापक रूप से उपयोग किए जाने वाले Microsoft हाइपर-वी वर्चुअलाइज़ेशन प्लेटफ़ॉर्म की ओर मुड़ें। Microsoft द्वारा इस उत्पाद के बारे में प्रकाशित सामग्री इस बात पर ज़ोर देती है कि प्लेटफ़ॉर्म को सुरक्षा आवश्यकताओं को ध्यान में रखते हुए डिज़ाइन और विकसित किया गया था (उदाहरण के लिए, हाइपर- V सुरक्षा का विषय RSA 2008 सम्मेलन में Microsoft की एक रिपोर्ट में उल्लिखित है)। हाइपर- V हाइपरविजर एक माइक्रोकर्नेल आर्किटेक्चर का उपयोग करता है। वर्चुअल मशीन से हाइपर-कॉल से लेकर भौतिक मेमोरी और संसाधनों तक पहुंच और वर्चुअल मशीन की भूमिका-आधारित पहुंच को व्यवस्थित करने और उन्हें समूहों में समूहीकृत करने की संभावना के साथ एक्सेस राइट्स चेक सभी स्तरों पर लागू किए जाते हैं। प्रत्येक वर्चुअल मशीन को अपना विशिष्ट SID मिलता है, जिसका उपयोग मशीन चित्रों और डेटा को संग्रहित करने वाली भौतिक फ़ाइलों तक पहुँच अधिकार स्थापित करते समय किया जाता है - यह एक मशीन से दूसरी मशीन तक डेटा तक पहुँचने की संभावना को समाप्त करता है।

इसके अलावा, हाइपर-वी प्लेटफॉर्म को तैनात करते समय सुरक्षा सेटिंग्स बढ़ाने के लिए सिफारिशें प्रकाशित की जाती हैं। वे, विशेष रूप से, हाइपर- V सर्वर की नेटवर्क सुरक्षा पर ध्यान देते हैं। इसलिए, सर्वर के नेटवर्क सुरक्षा स्तर को बढ़ाने के लिए, कम से कम दो नेटवर्क एडेप्टर स्थापित करने की सिफारिश की जाती है: एक को प्रशासन चैनल के लिए आवंटित किया जाना चाहिए, और अन्य बाहरी नेटवर्क के लिए वर्चुअल मशीनों के नेटवर्क एक्सेस के आयोजन के लिए। उसी समय, Microsoft प्रशासन नेटवर्क को अन्य सभी नेटवर्क से अलग करने की सिफारिश करता है। वर्चुअल मशीन और बाहरी नेटवर्क से हाइपर-वी प्रशासन टूल तक नेटवर्क पहुंच की संभावना को बाहर करने के लिए यह आवश्यक है। अलगाव का सबसे विश्वसनीय तरीका भौतिक एक है: नेटवर्क टोपोलॉजी को बदलना, आवश्यक नेटवर्क उपकरणों को स्थापित करना और कॉन्फ़िगर करना, एक विशेष प्रशासन नेटवर्क को उजागर करना, सामान्य नेटवर्क से अलग करना।

नेटवर्क के भौतिक अलगाव के लिए विकल्प

कुछ मामलों में, नेटवर्क का भौतिक अलगाव असंभव या अत्यधिक अवांछनीय है। तब तार्किक अलगाव लागू किया जाता है, नेटवर्क एक्सचेंज की असंभवता नेटवर्क के भौतिक पृथक्करण से नहीं, बल्कि विशेष सॉफ़्टवेयर उपकरणों का उपयोग करके प्राप्त की जाती है जो आवश्यक एक्सेस नियमों को निर्धारित करते हैं। हाइपर-वी के मामले में, IPSec प्रोटोकॉल का एक सेट ऐसे उपकरण के रूप में इस्तेमाल किया जा सकता है, जो एक नियमित नेटवर्क पर "वर्चुअल" एक्सेस चैनल बिछाने की अनुमति देता है। IPSec समर्थन ओएस में बनाया गया है, लेकिन विभिन्न विकल्प विंडोज के विभिन्न संस्करणों में उपलब्ध हैं। उपयोगकर्ता प्रमाणीकरण के लिए समर्थन (कंप्यूटर नहीं) केवल नए ओएस में दिखाई दिया, IPSec विंडोज के संस्करण के आधार पर अलग-अलग कॉन्फ़िगर किया गया है।

सुरक्षा कोड उत्पाद लाइन में एक उत्पाद है जो परिवहन मोड में प्रोटोकॉल (एएच और ईएसपी) के IPSec परिवार का उपयोग करके नेटवर्क के तार्किक अलगाव को व्यवस्थित करने में मदद करता है। यह एक TrustAccess वितरित फ़ायरवॉल (ME वर्ग 2) है, जो विंडोज के लगभग सभी संस्करणों का समर्थन करता है, तैनात करना और कॉन्फ़िगर करना आसान है, हाइपर- V वाले प्लेटफ़ॉर्म के साथ आधिकारिक संगतता स्थिति है, "सर्वर 2008 R2 के साथ काम करता है" और स्थिति उपयोगकर्ता की अनुकूलता संगतता "विंडोज 7 के साथ संगत"।

इस उत्पाद की एक महत्वपूर्ण विशेषता न केवल नेटवर्क पते और प्रोटोकॉल द्वारा नेटवर्क एक्सेस के बीच अंतर करने की क्षमता है, बल्कि एक्सेस संस्थाओं द्वारा भी - उपयोगकर्ता और कंप्यूटर जो संरक्षित संसाधन तक पहुंच शुरू करते हैं।

उसी समय, TrustAccess नेटवर्क प्रमाणीकरण और अभिगम नियंत्रण के लिए अपने स्वयं के तंत्र को कार्यान्वित करता है, जो आपको अपनी टोपोलॉजी को बदलने के बिना मौजूदा स्थानीय नेटवर्क के शीर्ष पर एक स्वतंत्र, सुरक्षित तार्किक परिधि बनाने की अनुमति देता है। उत्पाद ने FSTEC प्रमाणीकरण पारित कर दिया है और इसका उपयोग 1 जी समावेशी, व्यक्तिगत डेटा सूचना प्रणाली (ISPDn वर्ग K1, K2, K3) के सभी वर्गों के साथ-साथ कक्षा 1B तक के स्वचालित सिस्टम में राज्य रहस्यों की रक्षा के लिए गोपनीय जानकारी की रक्षा के लिए किया जा सकता है।

हाइपर- V प्रबंधन नेटवर्क के तार्किक अलगाव के लिए TrustAccess का उपयोग करना

Microsoft अनुशंसाओं के अनुसार कॉन्फ़िगर किए गए दो नेटवर्क एडाप्टर के साथ हाइपर- V सर्वर पर विचार करें:

• नेटवर्क एडाप्टर 1 - केवल सर्वर तक प्रशासनिक पहुंच के लिए आवंटित;
• नेटवर्क एडाप्टर 2 - आभासी मशीनों द्वारा उपयोग के लिए डिज़ाइन किया गया।

हाइपर-वी सेटिंग्स में, आपको एडेप्टर 2 (प्रकार बाहरी) से जुड़ा एक नया वर्चुअल नेटवर्क बनाने की आवश्यकता है। विकल्प "प्रबंधन ऑपरेटिंग सिस्टम को इस नेटवर्क एडेप्टर को साझा करने की अनुमति दें" को अक्षम किया जाना चाहिए।

TrustAccess प्रबंधन सर्वर स्थानीय नेटवर्क पर स्थापित है और उपयोगकर्ता खाते बनाए गए हैं - हाइपर- V प्रशासक। TrustAccess Agent हाइपर- V सर्वर पर, साथ ही उन सभी कंप्यूटरों पर स्थापित है, जिनसे सर्वर को प्रशासित किया जाएगा। यह विन्यास चित्र 1 में दिखाया गया है:



हाइपर- V सर्वर के लिए TrustAccess प्रबंधन कंसोल का उपयोग करते हुए, नियम कॉन्फ़िगर किए गए हैं जो नेटवर्क एडेप्टर 1 के लिए केवल विशिष्ट उपयोगकर्ताओं और समूहों (हाइपर-वी प्रशासकों) तक नेटवर्क पहुंच की अनुमति देते हैं।

तार्किक अलगाव कैसे हासिल किया जाता है

• उनके कार्यस्थल पर हाइपर- V प्रशासक उनके ट्रस्टएक खाते की जानकारी को इंगित करता है और प्रबंधन सर्वर के साथ प्रमाणित करता है।
• सफल प्रमाणीकरण के बाद, जब नेटवर्क अपने प्रशासन के लिए हाइपर-वी सर्वर से कनेक्ट करने की कोशिश कर रहा है, एक ISAKMP सुरक्षा सत्र बनाया जाता है, एक सत्र कुंजी उत्पन्न होती है, और हाइपर- V सर्वर को संबोधित सभी नेटवर्क ट्रैफ़िक सर्वर (ट्रस्ट ट्रांसपोर्ट मोड में APSec, AH) द्वारा स्वचालित रूप से हस्ताक्षरित होता है। उपयोगकर्ता के दृष्टिकोण से, सभी चैनल सुरक्षा तंत्र पारदर्शी रूप से संचालित होते हैं, अर्थात्। उसे किसी भी हस्तक्षेप की आवश्यकता नहीं है।
• हाइपर- V सर्वर पर TrustAccess एजेंट नेटवर्क ट्रैफिक को सर्वर तक ही पहुंचता है, एक्सेस नियमों और वर्तमान सुरक्षा सत्रों के अनुसार; उपयोगकर्ता IPSec / AH IP पैकेट हेडर द्वारा पहचाना जाता है, जिसमें सत्र पहचानकर्ता होता है। यदि पैकेट IP हस्ताक्षर गायब है या डेटा से मेल नहीं खाता है, तो पैकेट को छोड़ दिया जाएगा। इसके अलावा, रिप्ले हमलों से बचाने के लिए IPSec AH हेडर में पैकेट अनुक्रम संख्या पर चेक किए जाते हैं।
• सर्वर की प्रतिक्रिया नेटवर्क ट्रैफ़िक भी एक सत्र कुंजी के साथ हस्ताक्षरित है और उपयोगकर्ता के कंप्यूटर पर एजेंट द्वारा समान चेक पास करता है।

इस प्रकार, केवल हाइपर- V प्रशासक जो TrustAccess से प्रमाणित हैं, नेटवर्क कनेक्शन और सूचना का आदान-प्रदान कर सकते हैं। इसके अलावा, अनाधिकृत लोगों सहित सर्वर तक पहुंचने के सभी प्रयास दर्ज किए जाएंगे। पंजीकृत घटनाओं को रिपोर्ट बनाने की क्षमता के साथ केंद्रीय रूप से संसाधित किया जा सकता है।

TrustAccess के साथ, आप वर्चुअल मशीनों की रक्षा कर सकते हैं, साथ ही साथ अन्य कॉर्पोरेट नेटवर्क संसाधन (सर्वर और वर्कस्टेशन)। आप नए सुरक्षित नेटवर्क सेगमेंट ( चित्र 2 ) का चयन कर सकते हैं या संरक्षित संसाधनों की नेटवर्क सेवाओं के लिए उपयोगकर्ता के उपयोग के अधिकार को कॉन्फ़िगर कर सकते हैं। इसके अलावा, FSTEC प्रमाणपत्रों की उपलब्धता से उन सूचना प्रणालियों के प्रमाणन में मदद मिलेगी जो व्यक्तिगत डेटा और डेटा को एक राज्य रहस्य बनाने की प्रक्रिया करती हैं।

निष्कर्ष

जैसा कि हम देख सकते हैं, हाइपर- V वर्चुअलाइजेशन प्लेटफॉर्म पर आधारित सुरक्षित इन्फ्रास्ट्रक्चर का निर्माण करते समय तीसरे पक्ष के उत्पाद सुरक्षा आवश्यकताओं और सिफारिशों को पूरा करने में मदद कर सकते हैं। अनधिकृत पहुँच से सर्वर की नेटवर्क सुरक्षा के दृष्टिकोण से, TrustAccess फ़ायरवॉल ने स्थानीय नेटवर्क की टोपोलॉजी को बदलने और अतिरिक्त उपकरण स्थापित करने की आवश्यकता के बिना प्रशासन नेटवर्क को सुविधाजनक तरीके से अलग करने की अनुमति दी।