Bedrijven denken vaak dat de beveiliging van virtuele servers wel geregeld zal zijn, maar het tegendeel is waar. Door virtualisatie ontstaan juist nieuwe beveiligingsrisico’s. Dat zegt Martin Vliem, ict-architect op het gebied van infrastructuur bij Microsoft.
Bedrijven onderschatten de beveiliging van gevirtualiseerde omgevingen. Dat zegt Martin Vliem, ict-architect op het gebied van infrastructuur bij Microsoft. Vliem: "Bedrijven denken te weinig na over de beveiliging van gevirtualiseerde omgevingen. Ze hebben vaak het idee dat dat vanzelf wel geregeld zal zijn, maar het tegendeel is waar."
Door virtualisatie ontstaan bovendien een paar nieuwe beveiligingsrisico’s. Eén daarvan wordt veroorzaakt doordat je met servervirtualisatie van een hele server één bestand maakt. "Dat betekent dat je niet meer kunt vertrouwen op enkel fysieke beveiliging van de hardware", vertelt Vliem. "Dat was al zo, maar het wordt nu nog belangrijker om je data te beschermen. Dat kan bijvoorbeeld via toegangscontrole, encryptie of sterke authenticatie. Een andere maatregel die je kunt nemen, is dat je de toegang tot een virtuele server koppelt aan bepaalde hardware, dus bijvoorbeeld enkel specifieke clients toegang verleent."
Daarnaast wordt de netwerktoegang van virtuele machines geregeld door virtuele switches. Vaak onttrekken die zich aan het zicht van netwerkbeheerders. Vliem: "Een oplossing voor dat probleem is het gebruik van transportencryptie met IPSec."
Beheerprocessen moeten aangepast
Bovendien ontstaan nieuwe risico’s doordat je met virtualisatie veel sneller servers kunt opzetten. Beheerprocessen zijn daar meestal nog niet op ingericht, zo weet de ict-architect te vertellen. "Vergeleken met het beheer van fysieke servers, zijn er veel overeenkomsten. Nog steeds moet het patchbeheer op orde zijn, nog steeds moet je nadenken over het beveiligen van nieuwe servers en netwerkverbindingen", licht Vliem toe.
"Maar er is één belangrijke complicerende factor: alles gaat veel sneller. Waar je vroeger enkele weken bezig was met het inrichten van een nieuwe server en productierijp krijgen van een omgeving, heb je het geheel nu in twee dagen of minder in de lucht. Je moet je echter wel afvragen of de beveiliging van die virtuele server dan al volledig op orde is."
