Además de afirmar que “el hipervisor no ha sido comprometido”, los fabricantes de plataformas virtuales hablan poco sobre el tema de seguridad. Los obstáculos a la venta rápida de licencias, como preguntas o dudas sobre la seguridad de una infraestructura virtual, suelen ser menospreciados, descartados y no mencionados.

La seguridad virtual

Sin embargo, para aquellos gerentes de TI responsabilizados con el despliegue de servidores y redes virtuales en el centro de datos, la seguridad de sistemas debe ser el tema más importante.

Por una parte, las plataformas de virtualización proporcionan una vía más rápida y sencilla de creación y despliegue de servidores y aplicaciones que los tradicionales sistemas físicos. Y por otra parte, las herramientas y prácticas de seguridad que se aplican en un entorno físico pueden verse comprometidas por las mismas características que crean tanto interés en las soluciones de virtualización: la movilidad entre recursos físicos, el aprovisionamiento de los recursos libres de un servidor a otro, el alto nivel de utilización de recursos, y el desvanecimiento de la delineación clara entre las funciones de gestión de redes y gestión de sistemas.

El perímetro de la red de un centro de datos es una demarcación de seguridad importante. Sin embargo, el carácter tradicional y físico del perímetro de la red está sujeto a influencias y presiones externas cada vez mayores debido a los cambios que han ocurrido en el centro de datos a raíz de la virtualización de servidores x86.

Este aumento de influencias o fuerzas externas ha surgido gracias a la proliferación de máquinas virtuales. La creación de políticas de seguridad de aplicaciones en sistemas físicos es, en sí, una tarea laboriosa. Con la virtualización, los tiempos de despliegue de nuevos servidores se han reducido a unas pocas horas y el personal de seguridad de redes debe asegurar que estos sistemas sean lo suficientemente robustos para evitar la pérdida de datos o la intrusión de malware.

Los problemas de seguridad también se crean a partir de los aprovisionamientos rápidos de sistemas en el centro de datos. Por contraste, los sistemas físicos eran inmovibles – el antítesis de la productividad de máquinas virtuales. Cuando una máquina virtual (MV) se traslada de un sistema a otro para cumplir una función distinta a la configurada inicialmente, el personal no puede asegurar la incorporación y consolidación de las políticas de seguridad que existían previo al traspaso.
Finalmente, los problemas de una seguridad tradicional se agravan porque la virtualización derriba las barreras entre los repositorios de sistema, aplicaciones y redes con la seguridad siendo un aspecto de importancia secundaria para poder maximizar los tremendos ahorros económicos ofrecidos mediante la virtualización de servidores x86.

La metodología poco amigable de incorporar un servidor físico en el centro de datos se debe en parte a que un sistema de transporte externo era necesario para trasladar el servidor. Además, este servidor tenía que estar físicamente conectado a la red, lo cual significa que el personal de sistemas, con pocos conocimientos de configuración de redes, tenía que interactuar con otros expertos de redes y aplicaciones. Es cierto que los expertos en el área de aplicaciones proporcionaban una cierta medida de escrupulosidad a la hora de instalar cualquier sistema nuevo. Pero con la virtualización, es muy posible que haya un solo técnico responsable de iniciar una nueva instancia de un sistema totalmente configurado en el switch virtual sin ningún tipo de supervisión secundaria. Dada la naturaleza frágil y compleja de la infraestructura de TI, es una acción [evento] que puede causar mucho estrés corporativo.

Qué ha de permanecer igual, qué ha de cambiar y en qué áreas la virtualización mejora la seguridad son consideraciones clave que los directivos de TI han de asimilar y resolver. Las respuestas de todas estas preguntas se suelen debatir fuertemente, y por ahora, aún no se ha pronunciado ningún vencedor contundente en cuanto a una solución o estrategia.

Sin embargo, empiezan a emerger tendencias y prácticas que bien podrían ser el auguro del futuro. Los proveedores de herramientas tradicionales de seguridad han empezado a desarrollar productos específicamente diseñados para el mundo virtual. Microsoft, después de sufrir una década de duras críticas por la inseguridad de su sistema operativo Windows, se ha tomado las críticas en serio para asegurar que la seguridad forma parte del ADN de sus productos de virtualización. VMware, el gorila de virtualzación, avanza el desarrollo de su herramienta de seguridad, VMsafe basada en API (interfaces de aplicación), que habilita las operaciones seguras de su plataforma.

Lo que puede permanecer igual

Cortafuegos, sistemas de prevención de intrusos (IPS) y VLAN (LAN virtuales) que forman las conexiones entre sistemas físicos son imprescindibles y deben permanecer donde se encuentran. Sin embargo, las funciones de estos sistemas han de migrarse dentro de la red virtual que conecta las distintas MMVV. Normalmente, una red virtual se crea utilizando un switch virtual que reside con las MMVV que se crean sobre el hipervisor de un sistema físico.

Presentemente, cuando el tráfico entre MMVV se monitoriza por motivos de seguridad, es una práctica común desviar ese tráfico por un sistema físico de seguridad. Una vez procesado, el tráfico se desvía de nuevo a la red virtual. Mediante este sistema es fácil ver que la red virtual se convierte en un cuello de botella reduciendo la productividad de las MMVV.

Otra solución híbrida de este tipo vincula las MMVV a los sistemas físicos donde fueron creadas, a no ser que haya una arquitectura elaborada de sistemas físicos que soporte la migración de máquinas virtuales a otro host (de anfitrión, no de alojamiento) físico. Surgen tantos problemas con este tipo de configuración que no se puede recomendar como una solución de envergadura empresarial.

El primer problema de esta solución híbrida es que se adhiere a una época cuando las máquinas se utilizaban hasta que ya no daban más de sí o se sustituían. Como consecuencia, los productos de seguridad mostraban un carácter estático con poca comprensión de las conexiones físicas y lógicas de sistemas.

En las herramientas orientadas a sistemas físicos, las políticas de seguridad se basaban en modelos estáticos de red. De hecho, los avances gigantescos de los últimos años en el área de centros de datos ha superado la capacidad de actualización del gerente de TI.