עולם טכנולוגיות המחשוב התפתח
רבות בשנים האחרונות, בעיקר בהיבטי אבטחת מידע. הטכנולוגיות
החמות היום הן וירטואליזציה של
מערכות הפעלה ואפליקציות. וירטואליזציה מאפשרת באופן כללי
שימוש יעיל בתשתיות החומרה, כלומר
יצירת "ענן מחשוב" המכיל את כל תשתיות הארגון (בשאיפה)
במקום מרכזי אחד - חוות השרתים.
יחד עם יתרונות התפעול והעלויות
המוזלות עבור החומרה, קיימות מגרעות לטכנולוגיות חדשות מזה
שנים. רוב הטכנולוגיות ש"נולדות"
בשוק מוכיחות את עצמן כפגיעות בפני התקפות זדוניות, אפילו
לאחר הטמעות רבות בארגונים.
אסור לשכוח שרוב הטכנולוגיות שמוגדרות ברמה הלוגית נפרצות בסופו
של דבר, מדובר בעניין של זמן.
היצרנים הגדולים של עולם
הוירטואליזציה כבר הספיקו להיפרץ ע"י מתקפות בודדות, כגון הרצת קוד
עויין על משאבי מערכות הפעלה
וירטואליות שנחשבות ל"מבודדות" ממערכת ההפעלה התוקפת.
בוירטואליזציה נדרש להשקיע
מחשבה לא רק בהיבטים הטכנולוגים התפעוליים אלא גם בהיבטי
האבטחה היות וככל שעולה
הפונקציונאליות התפעולית תיתכנה פרצות חדשות. דוגמאות טובות
המוכרות מעולם אבטחת המידע הן
סגירת שירותים, הגבלת משתמשים, הגדרת הזדהות, תכנון נכון של
ארכיטקטורה ועוד.
מעבר להיבטי מערכות ההפעלה חשוב
להתייחס גם לוירטואליזציה של אפליקציות. בארגונים רבים
משתמשים בשיטה זו על מנת לגשת
מהרשת הפנימית של הארגון לאינטרנט באמצעות דפדפן או תוכנת
דואר אלקטרוני. האפליקציות רצות
בפועל על השרתים, ומספיק למצוא "טעות" אחת באפליקציה או
בהגדרותיה על מנת להשתלט על
השרת, לדוגמה: בהרצת אפליקציה עם הרשאות ניהוליות ברמת השרת,
אם יימצא ויופעל קוד זדוני אזי
קיים סיכון לקבלת הרשאות ניהוליות על השרת ע"י התוקף.
לסיכום, מעבר ליתרונות הרבים
שיש לוירטואליזציה, צריך לבדוק את הסיכונים הפוטנציאליים של
התשתית על מנת לאפשר לארגון
לתפקד באופן הטוב ביותר.
במאמר זה אכתוב בקצרה על שני נושאים שהם חמים בשוק בתקופה האחרונה, ואוסיף
קצת מידע שימושי
על השילוב ביניהם.
מה היא וירטואליזציה?
חוק מור שנקבע ע"י
גורדון מור (מייסד אינטל) מראה את נכונות הנבואה בה כל שנה וחצי,
או שנתיים
יוכפל מספר הטרנזיסטורים במעגלים משולבים זולים.
חוק זה הוכיח את עצמו כבר יותר מ-40 שנה.
השערת מומחים רבים היא שחוק
מור יחדל מלהתקיים בעוד מספר שנים היות והטכנולוגיה היום מגיעה
לרמות מזעור מינימליות.
חשוב לציין שלא מדובר בסוף הדרך מכיוון שכבר בימים אלו קיימים מחקרים
לפיתוח שערים לוגיים על
אטום בודד. אולי בכל זאת יש תקווה.
היום מערכות המחשוב ניתנות
לחלוקה לחומרה ולתוכנה. החומרה נחשבת לחזקה מאוד יחסית לדרישות
התוכנה, דהיינו ניתן לקנות
מחשב ביתי פשוט המכיל משאבים שהם הרבה מעל דרישות המינימום או
הדרישות האופטימליות של
מערכות ההפעלה הקיימות בשוק.
אם כך, פותח רעיון בו ניתן
לנצל את משאבי החומרה באופן יעיל וזול יותר. הרעיון הוא למעשה להקים
שרת (או מחשב חזק) שמריץ
תוכנה שיודעת לדמות חומרה לתוכנה, ואז ניתן לנצל חומרה פיזית אחת
באמצעות רכיבי חומרה
"וירטואליים"
רבים. תתארו
לכם שבמקום לקנות 10 שרתים פיזיים ניתן לקנות
שרת אחד חזק שעליו ירוצו 10
מערכות הפעלה זו זמנית, במצב זה ניתן להוזיל עליויות רבות של הארגון.
יתרונות הוירטואליזציה :
- כפי שכבר כתבתי - עלויות .
- ברוב תוכנות
הוירטואליזציה קיימת אפשרות לבצע Snapshot. כלומר קיימת אפשרות לשמור "תמונת
מצב" של מערכת ההפעלה - תחליף טוב לגיבוי,
אך לא בכל מצב .
- שימושי
בסביבת בדיקות, לדוגמה - פיתוח אפליקציה גרם לקריסת המערכת, וניתן לחזור לגירסה
הקודמת
של
הפיתוח או למצב של יום לפני קריסת השרת בהנחה שבוצע Snapshot על השרת.
קיימים בשוק מוצרים רבים
שמאפשרים עבודה בטכנולוגיה זו :
Vmware
Server\Workstation, ESX server, ESXi :VMWARE
Virual PC\Server,
Hyper-V(Windows 2008) :Microsoft
VirtualBox :SUN
הערה: קיימת טכנולוגיה של
וירטואליזציה לא רק של חומרה, אלא גם של תוכנה, לדוגמא: אפליקציות
ישנות שלא ניתן להריץ עם
מספר משתמשים במקביל,
בטכנולוגיית הוירטואליזציה ניתן יהיה להריץ מספר
משתמשים
במקביל. מוצר לדוגמא הוא Softgrid או כפי שנקרא היום Microsoft Application Virtualization.
מה הם שירותי מסוף (Terminal)?
עבודה באמצעות מסוף היא שיטת עבודה
ותיקה בה כל משתמש מתחבר לשרת, וממנו הוא עובד. שיטה זו
ידועה בהיבטים התפעוליים
שלה המאפשרים ריכוז של תעבורה או עבודה מול אפליקציה דרך שרת יחיד (או
חוות שרתים) מנוהלת באופן
אחיד.
בימים אלו ניתן להתייחס
לשירותי המסוף בעיקר מהיבט אבטחתי, לדוגמה: בארגון יש רשת פנימית שאינה
מחוברת לאינטרנט מטעמי
אבטחת מידע, אך עובדי הארגון חייבים לעבוד מול האינטרנט. במצב זה אפשרי
לתת להם גישה לשירותי מסוף שיפעילו
דפדפן אינטרנט כלשהו, ומהדפדפן יגלשו לאינטרנט. הערה:
השרטוט הבא מהווה דוגמא
בלבד, ובד"כ בארגונים התשתית היא מורכבת יותר מהרעיון שמוצג בשרטוט.
שירותי המסוף מופעלים במספר
דרכים :
- גישה ישירות לשרת Terminal וקבלת ממשק גרפי למערכת ההפעלה של שרת המסוף, בדיוק כמו לעבוד
עם Windows נוסף.
- הפצת Dashboard שלמעשה מכיל ממשק של "לוח" עם כל האפליקציות שהמשתמש מורשה אליהן.
- הגדרת תוכנות עבור המשתמשים כך שיוכלו להפעילן באמצעות ממשק Web - שיטה
שאינה נפוצה כ"כ.
קיימים בשוק 3 מתחרים
עיקריים בטכנולוגיה זו:
Terminal Server של חברת Microsoft - ב - Windows 2008 השירות שופר משמעותית.
Citrix - שחלקו נרכש ע"י Microsoft.
CockpIT
השילוב המנצח !
תתארו לכם שרוב תשתית
המחשוב נמצאת על תשתית וירטואלית, ובנוסף כל משתמש רשאי לעבוד מול
אפליקציות הנמצאות על שרתי
המסוף בלבד.
במצב זה רמת אבטחת המידע
עולה היות והאפליקציות אינן נגישות לכל משתמש, וגם כל השרתים
הוירטואליים יכולים להיגזר
ממערכות הפעלה שהותקנו והוקשחו במטרה להוות תבנית להתקנות של שרתים
חדשים, כלומר ניתן ליצור
שרת מוקשח אחד, וממנו ליצור עותק לכל שרת וירטואלי חדש שיוקם
בארגון. אם האפליקציות יושבות על שרתי מסוף,
הרי שיש לנו ניהול מרכזי של גישה לאפליקציות, דבר
שמעלה עוד יותר את רמת
האבטחה .
פן נוסף הוא שימוש תחנות
פשוטות כגון Thin Clients, שמזדהות ומתחברות לממשק של ניהול מכונות
וירטואליות. לכל משתמש תהיה
תחנה וירטואלית מוקשחת בהתאם לסטנדרט אחיד של הארגון ללא תלות
באם התחנה נמצאת ב - Active Directory או לא. למעשה אני מציג פה את רעיון ה - Virtual
Desktop Enviroment.
כמובן שאחד היתרונות התפעוליים הוא שניתן לשדרג את תשתיות הארגון ביתר קלות, כלומר ניתן להגדיר
שמשתמש שעובד עם מערכת הפעלה XP יעבודעם Windows7 תוך דקות בודדות.
כמו כן, בגישה לאינטרנט
התחנות תעבורנה דרך שרת מסוף כפי שהוסבר מקודם .
לסיכום, שילוב של
הטכנולוגיות יכול להעלות לא רק את רמת הנוחיות והחיסכון בעלויות אלא גם את רמת
האבטחה.