Overview
Secondo un recente sondaggio condotto da InformationWeek, solo un'azienda su otto presenta una sicurezza formale o una strategia di protezione delle informazioni per la propria infrastruttura virtuale. Quando la tua azienda ha spostato più server nell'infrastruttura virtuale, ha anche incrementato la superficie attaccabile? Quale strategia attua la tua azienda per la sicurezza dell'infrastruttura virtuale?
Se stai pensando, implementando o gestendo un'infrastruttura virtuale, è probabile che tu sia ormai consapevole dei vantaggi economici e a livello di flessibilità architettonica derivanti dalla virtualizzazione. Tuttavia, quanto è affidabile il tuo approccio alla vulnerabilità, alla sicurezza e alla gestione dei rischi? La sicurezza era un requisito nella fase di creazione della tua infrastruttura virtuale? Sono state adottate policy e procedure adeguate per l'uso di server virtuali inaffidabili, per la gestione delle patch, per la separazione dei sistemi operativi e il controllo delle modifiche? Sei consapevole delle best practice tecnologiche necessarie per proteggere la tua infrastruttura virtuale?
Vantaggi principali
- Identificazione e mitigazione dei rischi dell'infrastruttura virtuale
Foundstone analizza le persone, i processi e la tecnologia che orbitano attorno all'infrastruttura virtuale d'interesse. Questo approccio evidenzia le vulnerabilità e le carenze nelle best practice a livello di architettura, configurazione e gestione di routine degli asset aziendali. - Raccomandazioni sui passaggi successivi
La valutazione della sicurezza dell'infrastruttura virtuale include un rapporto tecnico completo di valutazione della sicurezza, un riepilogo esecutivo, una presentazione della durata di mezza giornata e un workshop sull'analisi dei risultati.
Methodology
Foundstone valuta l'infrastruttura virtuale secondo queste quattro fasi principali:
- Analisi dell'architettura e della progettazione
Valutazione dell'infrastruttura virtuale e delle procedure per la sicurezza nell'architettura e nel design, dedicando particolare attenzione alla separazione delle reti, degli host e delle macchine virtuali e alla progettazione della gestione dell'infrastruttura virtuale. - Analisi della configurazione dell'infrastruttura virtuale
Valutazione delle configurazioni delle macchine e dell'host virtuali testati secondo affermate best practice di settore e identificazione della configurazione poco sicura associata al prodotto implementato. - Test sulla sicurezza dell'infrastruttura virtuale
Test della sicurezza dalla rete logica, dalla rete del server di storage virtuale e dalla rete di gestione dell'infrastruttura virtuale. La valutazione definisce la superficie di attacco dell'infrastruttura virtuale e il rischio associato. - Analisi delle policy e delle carenze procedurali
Viene valutata l'eventuale carenza delle policy e delle procedure nei confronti delle best practice sull'infrastruttura virtuale, nel rispetto degli standard per la sicurezza ISO 27001 / 27002.
Resources
Auditing passwords using FSCrack (English)
This white paper presents an overview and common uses cases of FSCrack, an interface to access the primary functions of the password cracker John the Ripper.
FSCrack User Guide (English)
This white paper presents an overview of FSCrack, an interface to access the primary functions of the password cracker, John the Ripper.
Foundstone HackPack Security Tools and News Feed (English)
This user guide details the features of HackPack, a streamlined interface that allows users to track multiple security tools, get updates, and link to downloads—all from a single location.
2007 Top 10 Malicious Code Trends (English)
Look at the top malware trends for 2007, get analysis on growth rates and geographic distribution, and discover the outlook for online threats in the upcoming year.
Virtualization and Risk - Key Security Considerations for your Enterprise Architecture (English)
In this white paper, Foundstone examines how virtualization can impact an enterprise security posture and details the processes that need to be implemented before deploying a virtual solution.
Passive Host Characterization (English)
This presentation, delivered at ShmooCon 2008, covers the fundamentals of passive host characterization and its current uses.
How Virtualization Affects PCI DSS Part 1: Mapping PCI Requirements and Virtualization (English)
This white paper examines how specific PCI DSS requirements are impacted by virtualization deployments.