В рамках модернизации IT as a Service появилась концепция Desktop as a Service. Поговорим о подходах к хостингу десктопов с точки зрения информационной безопасности. Во время недавней конференции по виртуализации, которую Red Hat проводила виртуально я подсмотрел очень интересную сессию про безопасность и решения по виртуализации рабочих мест. Оригинал находится здесь.
Факты про традиционый подход к рабочим местам пользователей информационных систем
Итак, существуют два современных подхода к организации обработки данных на рабочих местах: "толстые клиенты" с полноценной ОС и набором программ; "тонкие клиенты", подключающиеся к терминальному серверу.
Вендоры ИТ потратили много времени и средств на то, чтобы создать инструменты и решения по управлению рабочими станциями: есть и инструменты по развёртыванию патчей, приложений и операционных систем; есть и средства по инвентаризации и прочее прочее. Но при этом у многих ИТ-заказчиков есть две головные боли: пользователи и их желания получать высокий сервис по обслуживанию их десктопов (ну не хочется им сидеть и терять время по ка ИТ-отдел подготавливает подменную рабочую станцию взамен вышедшей из строя); службы ИТ-безопасности, которые постоянно требуют как-то закрыть рабочие станции пользователей. Упомянутая презентация Red Hat как раз и посвящена вопросам безопасности. Вот несколько фактов про минусы традиционного подхода с точки зрения безопасности.
Вот некоторые данные из американской статистики
- начиная с 2005 года, раскрыто 150 миллионов записей персональных данных
- потери компанию составляют 197$ на каждую потерянную запись
- 20% заказчиков расторгли отношения с поставщиками после известий о потери данных
- 30% всех краж данных в 2008 году были результатом кражи нотбуков
- по статистике ФБР каждые 43 секунды происходит кража компьютера
- 97% потерянных и украденных компьютеров никогда не восставливаются
- 57% внутрикорпоративных преступлений связаны с украденными ноутбуками
- Украденный в большом университете ноутбук содержал персональные данные 100000 выпускников, абитуриентов и студентов (2009)
- Украденные из офиса компании, оказывающей аутсорсинговые услуги по управлению бонусными выплатами, компьютеры содержали персональные данные о 75000 работников нескольких крупных компаний (2008)
- переносные компьютеры, принадлежавшие донорскому центру, были украдены вместе с именами и номерами социальной страховки 321 тысячи доноров (2008)
- Файловый сервер и несколько ноутбуков были похищены из регионального офиса крупной страховой компании вместе с информацией о 970 000 потенциальных клиентов (2006)
Hosted Desktop
В качестве решения этих проблем предлагается красивый, с моей точки зрения, подход – VDI (virtual desktop infrastructure). Red Hat дали красивый термин Hosted Desktop Virtualization.
В таком решении все рабочие станции в качестве виртуальных машин располгаются и работают на серверах в ЦОД. Пользователи подключаются к этим виртуальным машинам с помощью тонких клиентов. Все данные хранятся в защищённом ЦОД. Таким образом, отпадает необходимость контроля за расползанием данных с пользовательских станций на их флэшки, например.
Не буду сегодня подробно рассказывать про VDI и реализацию его от Red Hat, скажу лишь следующее. Главным недостатком имеющихся на рынке решений, которые завязаны на протокол RDP для удалённого доступа к виртуальному рабочему месту и ОС Windows (Citrix XenDesktop, VMware View, VDI решение Microsoft), является сложность в лицензировании Windows внутри виртуальной машины. Практически заказчикам приходится дважды платить за Windows. К сожалению никто из уважаемых вендоров решений по виртуализации не даёт пользователям возможности использования Linux внутри виртуальных десктопов. И только Red Hat предоставит такую возможность выбора между Windows и Linux внутри виртуальной машины (правда VDI решение от Red Hat находится сейчас в процессе бета-тестирования, но пример Red Hat Enterprise Virtualization for Servers даёт основания утверждать, что в начале 2010 года мы увидим окончательный продукт).
Относительно VDI и информационной безопасности, по-моему, до Red Hat ещё никто из вендоров не давал таких интересных тезисов.
Что VDI меняет?
- Всё – динамичный ЦОД, пулы ресурсов, коммунализация вычислительных ресурсов
- Ничего – Виртуальная ИТ-инфраструктура по-прежнему ИТ-инфраструктура, Безопасность, серверное болото, управление, сложность ИТ-инфраструктуры, гетерогенность.
- Виртуализация не равна Безопасность! (понравилось мне уравнение Виртуализация != Безопасность)
При этом, судя по слайдам презентации у Red Hat уже наработаны различные практики по решению вопросов безопасности в виртуализированной среде (достаточно вспомнить облако Amazon).
А какое у вас мнение насчёт уменьшения проблем, связанных с защитой информации, путём перевода инфраструктуры рабочих станций на VDI? И, кстати, а как бы вы перевели термин Hosted Desktop?
Интересно наблюдать за скоростью развития новых технологий и решений. Прошёл год примерно с запуска компанией Cisco их решения Unified Computing (UCS). Решение оказалось, видимо, настолько интересным и популярным, что стало очевидным – его нужно мониторить комплексно совместно с другими системами ЦОД. И вот, в ответ на потребности рынка компания Zenoss встроила возможность мониторинга Cisco UCS в своём продукте.
