Architecture de Sécurité de l'Information de la Virtualisation selon RS BR IBBS-2.8-2015

Concevoir une architecture de sécurité informatique pour environnements virtualisés selon RSC BR IBBS-2.8-2015

Lors de la conception d'une architecture de sécurité informatique dans des environnements virtualisés, l'étape clé consiste à définir des frontières de sécurité. Si le système traite des transactions de paiement (PTP) ou des données personnelles (PDP), des zones de sécurité distinctes doivent être établies : PTP et PDP. En l'absence de telles exigences, les zones sont déterminées par la criticité des processus métiers.

Une isolation physique des serveurs hôtes est obligatoire pour les machines virtuelles issues de différentes zones de sécurité. Placer les VM sur des serveurs physiques séparés réduit au minimum le risque de propagation d'une menace. Lorsqu'on utilise des hôtes partagés, une isolation logique au niveau de l'hyperviseur doit être mise en œuvre, comme spécifié à la section 6.2.

La séparation de l'accès réseau est assurée par des pare-feu de couche 3 certifiés. L'accès aux VM de la zone PTP est autorisé uniquement depuis les postes de travail PTP, et l'accès aux VM de la zone PDP est permis uniquement depuis les postes de travail PDP (sections 6.3, 6.4, 6.9).

Configuration de l'hyperviseur et gestion des images VM

Un hyperviseur certifié est fortement recommandé (section 6.11). La configuration inclut :

• l'allocation de régions mémoire logiques dédiées pour chaque zone de sécurité (section 6.5).
• la blocage des échanges de données non autorisés entre les VM et le système d'exploitation hôte.

La gestion des images VM doit suivre un processus rigoureux :

• Créer une image de base.
• La tester dans un segment isolé sur un serveur dédié.
• Scanner les malwares et vérifier l'intégrité des contrôles de sécurité.
• Obtenir l'approbation de l'équipe de sécurité informatique avant déploiement (sections 7.1–7.8).

Un composant serveur de l'ABS correspond à une seule VM — aucune consolidation n'est autorisée. Pour le VDI, les modifications ne doivent pas être sauvegardées dans l'image de base ; un retour forcé à l'état initial est requis.

Image de base -> Segment de test -> Analyse malware/sécurité -> Approbation SI -> Production

Administration et protection des composants

L'administration de l'hyperviseur et des hôtes doit être effectuée exclusivement depuis des postes dédiés situés dans le segment de gestion (section 8.1). Des outils de sécurité certifiés doivent empêcher tout accès non autorisé (UAA, section 8.2). Les composants de virtualisation ne doivent jamais être installés à l'intérieur des VM (section 8.4).

La journalisation obligatoire inclut :

• les événements de démarrage/arrêt des VM.
• les changements de configuration réseau.
• les activités de copie d'images.
• les connexions d'administrateurs (section 8.7).

La protection des VM s'opère au niveau de l'hyperviseur : solutions antivirus sans agent dans les systèmes d'exploitation invités (section 9.6). Des outils de sécurité certifiés surveillent l'intégrité logicielle et le contrôle d'accès (section 9.4).

Pour les postes de travail, une authentification à deux facteurs (jetons) est requise pour accéder aux zones PTP/PDP (section 10.5), ainsi qu'un démarrage fiable du système d'exploitation et un contrôle des ports (sections 10.1, 10.3).

Séparation des rôles et protection du réseau de stockage (SAN)

La séparation des rôles empêche toute superposition de fonctions (section 12.2) :

• Administrateur VM : gère les applications à l'intérieur des VM.
• Administrateur de virtualisation : crée les VM et gère les images.
• Administrateur SI de virtualisation : configure les réseaux et les politiques d'accès.
• Administrateur SAN : gère les banques de disques.

Aucun individu n'a accès à toutes les couches — hyperviseur, stockage et contenu des VM.

Le SAN doit être segmenté en partitions logiques par zone de sécurité (PTP, PDP, système, section 13.1). L'accès aux partitions PTP est restreint aux seules VM PTP (section 13.3.1).

Points clés

• L'isolation physique entre les zones PTP/PDP est obligatoire ; l'isolation logique est requise uniquement si nécessaire.
• Tous les outils de sécurité et les hyperviseurs doivent être certifiés par le FSB/FSTEC.
• Le modèle de rôle sépare strictement l'administration de l'hyperviseur, du SAN et des VM.
• Les images VM subissent un test obligatoire et une approbation SI avant déploiement.
• La journalisation des événements de l'hyperviseur et des outils de sécurité est centralisée sur un serveur dédié.

— Editorial Team