Cómo puedo virtualizar mis servidores importantes y, al mismo tiempo, mantener o mejorar la seguridad?

Transcripción

1 RESUMEN SOBRE LA SOLUCIÓN Asegurar los entornos virtuales Cómo puedo virtualizar mis servidores importantes y, al mismo tiempo, mantener o mejorar la seguridad? agility made possible

2 CA ControlMinder for Virtual Environments proporciona controles de seguridad que lo ayudan a virtualizar con seguridad hasta sus sistemas más importantes. 2

3 resumen Desafío En un entorno virtual, los desafíos de seguridad se multiplican rápidamente e implican nuevos riesgos. Donde en el pasado una organización tenía un solo servidor de aplicaciones, en un entorno virtual se pudo multiplicar rápidamente a treinta servidores. Cómo se puede habilitar la seguridad, entendida como la división de obligaciones de los usuarios con privilegios, no solamente en un servidor físico, sino también en las máquinas virtuales que aloja, así como en las aplicaciones que funcionan en esas máquinas virtuales? La falta de una solución de seguridad viable para los entornos virtuales ha retrasado a las organizaciones en lo que respecta a trasladar sus aplicaciones importantes a esos entornos y aprovechar plenamente la virtualización. Para las organizaciones que están virtualizando sistemas de producción rápidamente, los requisitos comerciales y reglamentarios exigen nuevos controles de seguridad. Necesidades del negocio En la actualidad, los negocios exigen que la TI cumpla con requisitos clave: Cumplimiento de todas las reglamentaciones vigentes (por ejemplo, PCI, SOX) por parte del centro de datos. Riesgos completamente comprendidos y controlados. Costos reducidos para el mismo servicio o para uno mejorado. Capacidad de respuesta mejorada. La tecnología de virtualización ayuda a la TI a reducir costos y a mejorar los tiempos de respuesta, y también a proporcionar mayor flexibilidad en la entrega de servicios. No obstante, la virtualización también incorpora otro nivel de complejidad de administración. Las organizaciones de TI han desarrollado requisitos operativos y técnicos específicos para permitir el cumplimiento y también para entender y controlar los riesgos de seguridad. Beneficios de la solución CA ControlMinder for Virtual Environments asegura el acceso de usuarios con privilegios a máquinas virtuales, hipervisores y aplicaciones virtuales. De esta manera, ayuda a las organizaciones a controlar las acciones de los usuarios con privilegios, asegurar el acceso al entorno virtual y cumplir con los requisitos del sector. Ofrece capacidades clave para administrar contraseñas de usuarios con privilegios, reforzar el hipervisor y monitorear la actividad de los usuarios con privilegios. CA ControlMinder también proporciona una base centralizada que funciona como un único portal para proteger el acceso de los usuarios con privilegios a los entornos virtuales y físicos. 3

4 Por más de quince años, CA Technologies ha proporcionado soluciones de control de acceso basadas en host para entornos distribuidos. Para satisfacer las necesidades de sus clientes, CA Technologies conjuntamente con HyTrust, presenta CA ControlMinder for Virtual Environmnents: un producto escalable y extensible que garantiza el acceso al entorno virtual. CA ControlMinder se implementa rápidamente gracias a la compatibilidad inmediata y fácil de usar, con modernas interfaces administrativas y paneles de reportes; todo ello ayuda a que los clientes logren un rápido posicionamiento en el mercado. Otros productos de seguridad de CA Technologies que se integran con CA ControlMinder son CA IdentityMinder, CA GovernanceMinder, CA SiteMinder, CA DataMinder, CA AuthMinder y CA RiskMinder. Sección 1: Desafío Las preocupaciones de seguridad frecuentemente impiden la virtualización de los sistemas importantes La virtualización de servidores potencia la utilización flexible de los recursos de TI, la reducción de los costos de capital, la mejora de la eficiencia energética, aplicaciones de gran disponibilidad y mejor continuidad del negocio. Sin embargo, la virtualización también implica una serie especial de desafíos en torno a la administración y la seguridad de la infraestructura virtual. Los entornos virtualizados son muy automatizados y complejos, lo que aumenta las dificultades. Las regulaciones y los riesgos relacionados con los usuarios con privilegios en un entorno virtual evitan que muchas organizaciones logren los beneficios de virtualización en su producción y en sus sistemas y aplicaciones importantes. Los entornos virtuales están sujetos a regulaciones Después de que una organización virtualiza su oportunidad de fácil alcance, es el turno de las aplicaciones importantes. No solamente se virtualizan cada vez en mayor medida los servidores de aplicaciones, sino también las bases de datos, los conmutadores de red y los cortafuegos. En tanto la adopción de virtualización se desarrolle y más sistemas y aplicaciones importantes se trasladen a los entornos virtuales de producción, la demanda de seguridad aumentará, en gran parte, debido a los requisitos regulatorios. Los entornos virtuales ya están contemplados en el alcance de las reglamentaciones, como la norma de la industria de las tarjetas de pago (PCI) y la ley Sarbanes-Oxley (SOX). Además, el Instituto Nacional de Normas y Tecnología de los Estados Unidos (NIST) ha publicado una guía formal para lograr una virtualización segura. Existen razones para que todos estos organismos de normalización estén formalizando los marcos de seguridad para la virtualización. En el mundo físico, los servidores, los conmutadores, los enrutadores y los cortafuegos están atornillados y guardados bajo llave en bastidores. Administrar estos sistemas posiblemente exija acceso físico (probablemente con una tarjeta) a un centro de datos físico (quizás con cámaras de video instaladas). En el mundo virtual, se evitan en gran medida estas medidas de seguridad. El acceso administrativo a la infraestructura virtual equivale a tener acceso a todos los sistemas, las aplicaciones y los dispositivos de seguridad del centro de datos. No hay una tarjeta en la puerta virtual del centro de datos virtual. No hay cerraduras virtuales en los bastidores virtuales. Y frecuentemente a la organización le resulta difícil ver y comprender qué cambios se realizan o se solicitan. 4

5 La administración de identidades con privilegios es más importante que nunca La administración de identidades con privilegios es un elemento importante de todas las mejores prácticas de seguridad. Según un reporte de investigación patrocinado por CA Technologies, mantener un control de seguridad y acceso es el principal desafío que las organizaciones enfrentan en la administración de servidores virtuales, lo que ha impedido que muchas organizaciones trasladen aplicaciones importantes a un entorno virtual. A medida que el uso de servidores virtuales sigue creciendo, las organizaciones corren el riesgo de perder el control de sus entornos y aumenta drásticamente la posibilidad de que existan actividades malintencionadas. Esto fue confirmado durante un incidente que ocurrió en 2011, en una empresa farmacéutica global. Un empleado de TI que había sido despedido utilizó sus credenciales para obtener acceso ilegal a quince sistemas host VMware y eliminó 88 máquinas virtuales en las que se estaban ejecutando correos electrónicos, ingresos de pedidos, tareas de nómina y otros servicios. Esta acción congeló las operaciones de la empresa por varios días e impidió que los empleados realizaran envíos de productos, pagos o incluso, que se comunicaran por correo electrónico o Blackberry. El costo de recuperación estimado fue de $ Sección 2: Necesidades del negocio La virtualización satisface las necesidades clave del negocio, pero también deben cumplirse requisitos de seguridad En el entorno de negocios actual, las organizaciones exigen que la TI cumpla con requisitos de negocio clave: Cumplimiento de todas las reglamentaciones vigentes (por ejemplo, PCI, SOX) por parte del centro de datos. Riesgos completamente comprendidos y controlados. Costos reducidos para el mismo servicio o para uno mejorado. Capacidad de respuesta mejorada. La virtualización soluciona problemas de negocios reduciendo costos y mejorando la capacidad de respuesta, pero también incorpora un nivel de administración que genera desafíos de cumplimiento y reducción de riesgos. Para enfrentar estos desafíos, las organizaciones de TI desarrollan requisitos operativos y técnicos antes de que se considere la posibilidad de virtualizar los sistemas de producción. En general, estos requisitos son los siguientes: Control sobre usuarios con privilegios y acceso a datos empresariales. Menos costos administrativos y complejidad a través de la automatización de cambios de contraseña sin instalar agentes. Control central de Id. de aplicaciones. Seguridad mejorada con inicios de sesión automáticos que impiden posibles robos de contraseñas por shoulder surfing (observación sobre los hombros). Cumplimiento regulatorio a través de reportes proactivos del estado de políticas de cumplimiento clave. Rápida generación de reportes de usuarios con privilegios a partir de registros de actividades seguras. 5

6 Cumplir estrictamente con los requisitos de seguridad beneficia a la TI La capacidad de controlar el acceso a la infraestructura virtual puede reducir considerablemente el riesgo de compromiso, lo que a su vez significa que las organizaciones de TI pueden virtualizar aplicaciones que antes consideraban inalcanzables. Poder evaluar la integridad de la configuración del hipervisor y validar la seguridad del hardware no solamente reduce el riesgo de compromiso, sino que automatiza las tediosas actividades de mantenimiento y elimina las alteraciones de configuración. Definir y luego hacer cumplir automáticamente las políticas de seguridad evita que los administradores cometan errores costosos, como trasladar una máquina virtual con información confidencial a un hipervisor o a una red poco confiables. Automatizar los controles y proporcionar una visibilidad clara en forma de registros de calidad de auditoría les permite a las organizaciones virtualizar con confianza, ante las exigencias de seguridad y las supervisiones de auditores. Sección 3: Beneficios de la solución CA ControlMinder for Virtual Environments extiende la seguridad de los entornos físicos a los virtuales CA ControlMinder for Virtual Environments asegura el acceso de usuarios con privilegios a máquinas virtuales, hipervisores y aplicaciones virtuales. De esta manera, ayuda a las organizaciones a controlar las acciones de los usuarios con privilegios, asegurar el acceso al entorno virtual y cumplir con los requisitos del sector. Ofrece capacidades clave para administrar contraseñas de usuarios con privilegios, reforzar el hipervisor y monitorear la actividad de los usuarios con privilegios. CA ControlMinder también proporciona una base centralizada que funciona como un único portal para proteger el acceso de los usuarios con privilegios a los entornos virtuales y físicos. CA ControlMinder brinda un método proactivo para proteger la información confidencial y los sistemas importantes sin generar un impacto en las actividades normales del negocio y de la TI. Ayuda a mitigar el riesgo interno y externo controlando la forma en que los usuarios de negocios y los usuarios con privilegios tienen acceso a la información de la empresa y la forma en que la usan. El resultado puede ser mayor nivel de seguridad, costos administrativos más bajos, procesos de cumplimiento o de auditoría más simples y mejor experiencia del usuario. Capacidades clave del producto CA ControlMinder refuerza el hipervisor y controla y realiza auditorías centralizadas de los usuarios con privilegios, además de proveer acceso temporal con privilegios a servidores virtuales y físicos, aplicaciones y dispositivos, todo desde una única consola de administración central. Las capacidades clave del producto incluyen las siguientes: Administración de contraseñas de usuarios con privilegios Los usuarios con privilegios tienen mayor acceso a recursos importantes de TI y más capacidades en un entorno virtual. Además de la actividad malintencionada que se describió, un usuario con privilegios (hipervisor) podría iniciar o detener máquinas virtuales (VM), revertir una VM a una versión anterior o copiar 6

7 una VM (y los datos respectivos) a un dispositivo de almacenamiento externo. CA ControlMinder proporciona acceso seguro a cuentas con privilegios y ayuda a mantener la responsabilidad por parte de los usuarios con privilegios. Habilita la emisión de contraseñas temporales, de un único uso o en tanto sean necesarias, y garantiza que los usuarios con privilegios se hagan responsables de sus acciones mediante una auditoría segura. Un flujo de trabajo simple para solicitar y comprobar las contraseñas generadas por el sistema y de un único uso facilita el control de contraseñas y elimina la necesidad de compartirlas. Los usuarios pueden registrar la contraseña una vez concluida la tarea, o bien se puede configurar CA ControlMinder de modo que registre automáticamente la contraseña transcurrido un período específico. Ilustración A. Configuración de política de contraseña predeterminada. La configuración de una política de contraseña predeterminada para un grupo de seguridad beneficia al administrador porque puede hacer esto una sola vez, desde una ubicación central. CA ControlMinder incluye flujos de trabajo completamente funcionales y personalizables que permiten casos de uso predeterminados, como escenarios de acceso de urgencia y solicitud de contraseñas. Un escenario de acceso de urgencia se da cuando usuarios con privilegios necesitan un acceso inmediato a cuentas para las que no tienen autorización de administración. Permite que los usuarios obtengan de forma inmediata y sin aprobación una contraseña para la cuenta, lo que elimina la posibilidad de que se produzca un retraso en casos de emergencia, pero registra de forma segura todas las transacciones a los fines de auditoría. Por otro lado, un escenario de solicitud de contraseña permite que la organización únicamente autorice contraseñas a pedido por un período limitado. En este escenario, los administradores deben aprobar las solicitudes de los usuarios y éstas pueden incluir un período necesario para tener acceso a la cuenta con privilegios. Una vez aprobada la solicitud, los usuarios pueden ver la contraseña y utilizarla para tener acceso a los sistemas solicitados solamente por el período aprobado. 7

8 Ilustración B. Registro de cuentas con privilegios. Después de que un usuario con privilegios cierra sesión, CA ControlMinder solicita al usuario que confirme si desea registrar la contraseña para que se la pueda utilizar nuevamente. CA ControlMinder está también diseñado para otorgar a las aplicaciones de terceros acceso de programación a contraseñas, lo que elimina la necesidad de integrar las contraseñas como parte del código en scripts. Es compatible con gran cantidad de servidores, aplicaciones (como bases de datos) y dispositivos (como enrutadores) en un entorno físico o virtual. Monitoreo de la actividad del usuario CA ControlMinder audita las actividades que se llevan a cabo en el hipervisor y realiza un seguimiento del uso de la cuenta con privilegios según la Id. del usuario original. Además, la integración con CA User Activity Reporting permite que los clientes amplíen las capacidades de auditoría más allá de los eventos de CA ControlMinder. Esto proporciona una vista integral de la actividad con privilegios que se realiza en el entorno de TI. Para registrar visualmente la actividad de los usuarios, está disponible CA Session Recording (grabación de sesión) por separado. Esto le permite a la organización crear un registro visual seguro de la sesión de un usuario con privilegios. Se aplica especialmente a las sesiones basadas en navegador que se manejan por completo con el mouse y, por lo tanto, no se pueden guardar mediante registradores de pulsaciones de teclas tradicionales. 8

9 División de obligaciones CA ControlMinder hace posible el cumplimiento de las reglas estándar de la industria de división de obligaciones en el hipervisor. Por ejemplo, puede evitar que el administrador del hipervisor tenga acceso a las configuraciones de la máquina virtual a través del hipervisor; de ese modo, se obliga a que todos los cambios en el entorno virtual se controlen únicamente mediante las consolas de administración. Arquitectura multiempresa segura CA ControlMinder extiende la división física de red tradicional a los entornos virtuales. Esto puede aportar un aislamiento más sólido de la empresa, lo que mejora el cumplimiento y la habilitación de los proveedores de servicios administrados (MSP), el control de tráfico entre VM en una estructura basada en políticas y mayor densidad de VM en hardware físico mediante la posibilidad de que invitados con distintos niveles de confianza compartan un host común de acceso con menores privilegios entre miembros de zonas diferentes. Refuerzo del hipervisor CA ControlMinder, que incluye HyTrust Appliance, proporciona una amplia gama de capacidades que refuerzan el hipervisor. Controla el acceso a recursos del sistema, programas, archivos y procesos mediante una serie rigurosa de criterios que incluyen tiempo, método de inicio de sesión, atributos de la red y programa de acceso. Es posible configurar servidores VMware recién desarrollados en una de las configuraciones de seguridad predefinidas, a fin de monitorear uniformemente hosts de VMware vsphere que identifiquen errores de configuración mediante marcos de evaluación incorporados y solucionen activamente problemas con una mínima interrupción del servicio. Ilustración C Generación de reportes de cumplimiento. Refuerzo automatizado de la configuración del hipervisor según plantillas preprogramadas o definidas por el cliente. Las evaluaciones y soluciones que se planifican periódicamente no exigen que se coloquen los hosts en modo de mantenimiento. Estos controles son esenciales para cumplir con las reglas de división de obligaciones estándar del sector en el hipervisor. Por ejemplo, puede evitar que el administrador del hipervisor tenga acceso a las configuraciones de la máquina virtual a través del hipervisor; de ese modo, se obliga a que todos los cambios en el entorno virtual se controlen únicamente mediante las consolas de administración. 9

10 Ilustración D. Administración de refuerzo del hipervisor. Controlar el acceso al hipervisor es de suma importancia para permitir la seguridad del entorno virtual así como para cumplir con las regulaciones. 10

11 Integración con vcenter Al instalarse en vcenter, CA ControlMinder adopta esta interfaz de usuario como propia, lo que ayuda a los administradores de vcenter a reducir la curva de aprendizaje y a adaptarse rápidamente. Ahora, los administradores pueden ver los servicios de seguridad disponibles o adecuados, entre ellos, si corresponde, versiones exactas, de modo que pueden administrarlos (Instalar, Desinstalar, Habilitar, Deshabilitar, Actualizar, etc.). Ilustración E. Integración con VMware vcenter. CA ControlMinder for Virtual Environments se entrega como aplicación de software y se instala en VMware vcenter, lo que permite a los administradores actualizarse rápidamente. 11

12 Implementación automática de políticas CA ControlMinder puede realizar un seguimiento de los cambios de configuración de la infraestructura, así como del inventario de activos del software, todo en tiempo real. También tiene la capacidad de aprovechar las propiedades de los activos, el etiquetado y las políticas (cumplimiento corporativo o normativo, mejores prácticas y reglas de refuerzo de seguridad) para habilitar y configurar automáticamente los servicios pertinentes de seguridad en el entorno. Ilustración F. El etiquetado de activos permite la automatización de seguridad. El entorno virtual se mueve sumamente rápido. Las máquinas virtuales generalmente se instalan y desinstalan varias veces por hora. El etiquetado permite a CA ControlMinder estar al tanto de estos cambios y aplicar automáticamente una política de seguridad. 12

13 Administración común de políticas CA ControlMinder está diseñado para facilitar la administración de los derechos de los usuarios con privilegios Centraliza las políticas de administración que controlan el acceso a los servidores virtuales en un entorno virtual extenso y heterogéneo. Algunos criterios organizativos incluyen el acceso a los recursos del hipervisor en el entorno virtual, el acceso a redes desde y hacia las consolas, el acceso a la configuración de máquinas virtuales, etc. Estas capacidades de administración de políticas ayudan a aclarar entornos de políticas complejos entre plataformas y a simplificar las tareas administrativas, lo que genera un proceso confiable y común de administración de políticas. Ilustración G. Administración de grupos de seguridad. Para facilitar la administración de los derechos de acceso, CA ControlMinder permite al administrador definir grupos y sus máquinas virtuales relacionadas. 13

14 Sección 4 La ventaja de CA Technologies CA Technologies y HyTrust se combinan para ofrecer una amplia gama de capacidades que le permiten controlar el entorno de virtualización. HyTrust ofrece una importante experiencia en dominios como líder reconocido en administración de políticas y control de acceso, específicamente para infraestructuras virtuales. HyTrust permite a las organizaciones virtualizar más (incluso los servidores y las aplicaciones que están sujetos a normativas), ya que ofrece controles de acceso, responsabilidad y visibilidad de nivel corporativo, para la infraestructura existente de virtualización de una organización. Con más de 30 años de experiencia en la entrega de software de administración de TI sólido, confiable, seguro y de nivel corporativo, CA Technologies ofrece lo siguiente: Un compromiso manifiesto con las tecnologías emergentes y los paradigmas de distribución de TI, como virtualización, SaaS (software como servicio) y la nube. Tecnologías de administración de seguridad innovadoras, consideradas las mejores de su clase. CA Technologies tiene también una posición privilegiada para lograr que la seguridad de su virtualización sea un éxito con servicios de capacitación e implementación adicionales, entre los que se encuentran: Vía de acceso a las soluciones empresariales CA ControlMinder for Virtual Environments no solamente ayuda a proteger las implementaciones que son únicamente virtuales, sino que también proporciona una vía de acceso a las soluciones de clase empresarial para asegurar los entornos virtuales y físicos, lo que protege las inversiones en seguridad de virtualización a largo plazo. CA Services CA Services es una parte integral de la solución general, ya que proporciona evaluaciones; implementaciones y revisiones de estado, además de otros servicios previos y posteriores a la implementación. Esto permite que las organizaciones aceleren el posicionamiento en el mercado para su inversión en virtualización, mitiguen los riesgos de implementación y mejoren la alineación entre los procesos de TI y de negocios. CA Services brinda servicios de implementación rápida a través de nuestro personal interno y de una red de socios de negocios establecidos, elegidos para ayudar a los clientes a lograr una implementación exitosa y a obtener los resultados de negocio deseados con la mayor rapidez posible. Con nuestra metodología comprobada de nueve etapas, mejores prácticas y experiencia, ayudamos a los clientes a lograr un posicionamiento en el mercado más rápido para su implementación de CA ControlMinder. CA Education CA Education también ofrece un valor excepcional a nuestras ofertas, ya que proporciona capacitación sobre las capacidades y educación sobre las mejores prácticas a través de aulas, capacitaciones virtuales dirigidas por instructores y capacitaciones basadas en la web. Esto permite que las organizaciones desarrollen rápidamente conocimientos en virtualización y administración de la virtualización, superen muchas barreras de implementación, reduzcan o eliminen errores de implementación, y aceleren el posicionamiento en el mercado con una solución de alta calidad. 14

15 Sección 5 Próximos pasos No hay dudas de que la virtualización puede proporcionar beneficios excepcionales para TI y para los negocios. Sin embargo, casi todas las organizaciones enfrentan importantes problemas al entregar estos beneficios en una amplia implementación de virtualización. Los problemas de seguridad como el control de identidades, el control del acceso y el control de la información amenazan con desbaratar las implementaciones, ya que la expansión de VM crea problemas de seguridad, como faltas de cumplimiento, y socavan los beneficios de agilidad, eficiencia y control de costos. Afortunadamente, CA Technologies puede ayudar con soluciones sofisticadas, sólidas e innovadoras que ayudan a resolver los difíciles problemas de seguridad de administración de identidad y acceso. Si necesita mejores formas de controlar identidades, acceso e información en sus entornos virtuales existentes y en la virtualización futura a nivel corporativo, e impulsar los resultados de negocio inmediatos y a largo plazo, debe echar un vistazo a CA ControlMinder for Virtual Environments. CA Technologies es una compañía de software y soluciones de administración de TI con experiencia en todos los entornos de TI, desde entornos mainframe y distribuidos, hasta entornos virtuales y de nube. CA Technologies administra y asegura los entornos de TI, y permite que los clientes entreguen servicios de TI más flexibles. Los innovadores productos y servicios de CA Technologies proporcionan la perspectiva y el control esenciales para que las organizaciones de TI mejoren la agilidad del negocio. La mayor parte de las compañías Global Fortune 500 confía en CA Technologies para administrar sus cambiantes ecosistemas de TI. Si desea obtener más información, visite CA Technologies en ca.com. Copyright 2012 CA. Todos los derechos reservados. Todas las marcas registradas y nombres comerciales, logotipos y marcas de servicios a los que se hace referencia en este documento pertenecen a sus respectivas empresas. El propósito de este documento es meramente informativo. CA no se responsabiliza de la exactitud e integridad de la información. CA no proporciona asesoramiento legal. Ni este documento ni ninguno de los productos de software de CA mencionados servirán como sustituto del cumplimiento de las leyes (que incluyen, entre otros, leyes, estatutos, reglamentos, normas, directivas, políticas, estándares, pautas, medidas, requisitos, órdenes administrativas y ejecutivas, etc., en conjunto denominados leyes ) mencionadas en este documento. Para obtener asesoramiento sobre las leyes mencionadas en este documento, consulte con un abogado competente. En la medida de lo permitido por la ley vigente, CA proporciona esta documentación tal cual, sin garantía de ningún tipo, incluidas, a título enunciativo y no taxativo, las garantías implícitas de comercialidad, adecuación a un fin específico o no incumplimiento. CA no responderá en ningún caso en los supuestos de demandas por pérdidas o daños, directos o indirectos, que se deriven del uso de esta documentación, incluidas, a título enunciativo y no taxativo, la pérdida de beneficios, la interrupción de la actividad empresarial, la pérdida del fondo de comercio o la fuga de datos, incluso cuando CA hubiera podido ser advertida con antelación y expresamente de la posibilidad de dichos daños. CS2076_0212