A szervezet működésének átalakulásával, a folyamatok és ügyfél-/szállítói kapcsolatok digitalizálásával az IT biztonság egyre fontosabb kérdéssé válik. Leállás, adat megsemmisülés vagy a adatszivárgás lehetősége és az ebből következő pénzügyi veszteségek, a hírnévben okozott károk és jogi problémák komoly kellemetlenségeket okozhatnak.

A kiberbiztonsággal kapcsolatban a legtöbb figyelmet általában az operációs rendszer és az alkalmazások védelmére összpontosítják, miközben a vállalat érdekei szempontjából kulcsfontosságú a szerverinfrastruktúra is, különösen akkor, ha a hardver és a firmware továbbra is a háttérben marad. Helytelenül. A firmware-t célzó számítógépes támadások sokáig észrevétlenek maradhatnak, és nagyon súlyos következményekkel járhatnak. A szerverbiztonság elengedhetetlen a teljes IT infrastruktúra biztonságához, ezért a Dell EMC PowerEdge szerverek olyan beépített funkciókkal rendelkeznek, amelyek segítenek a támadások elleni védelemben, azok észlelésében és az adatok sikeres helyreállításában. Nézzük meg közelebbről ezeket a biztonsági intézkedéseket

Javított architektúra, mely ellenáll a kibertámadásoknak
A Dell EMC PowerEdge szerverek generációk óta megbízható biztonsági megoldásokat kínálnak, ideértve az innovatív szerverindítási hitelesítést és indítást, a firmware frissítéseket melyek a hardver kriptográfián és a Root of Trust koncepción alapulnak.

Hogyan működik a Root of Trust?
A Root of Trust egy megbízhatósági láncon alapuló biztonsági módszer, amely biztosítja a biztonságos szerverindítást. Amennyiben az első végrehajtott kód hitelesnek bizonyult, ezt a megerősítést automatikusan átveszik a következő ellenőrzőpontok is. Egy nagyon egyszerű példával nyomon követhetjük ennek működését.

Képzelje el, hogy éppen egy repülőútra készül. Indulás előtt átlép az első a biztonsági szinten, azaz a repülőtéri a biztonsági ellenőrzésen. Gondoljon rá úgy, mint egy saját Root of Trustra: a check-in után csak a repülőgépbe szálláskor kell bemutatni beszállókártyát, mivel a repülőtéri személyzet megbízik abban, hogy rendesen leellenőrizték, a csomagot átvizsgálták és jegyét a biztonsági ellenőrzés üzemeltetője érvényesítette. Hasonlóképpen, amikor már a repülőgépen tartózkodik, a pilóták és a légiutas-kísérők már nem kérdezik, hogy került oda. Bíznak abban, hogy a biztonsági ellenőrző szolgálat korábban már megerősítette, hogy tényleg repülhet. Ez kiküszöböli a különálló ellenőrzések szükségességét: kapu személyzetéét, a repülőgép személyzetéét vagy bárki másét. Bíznak Önben, mert az üzemeltető igazolta, hogy Ön megbízható. Tehát láthatjuk, hogy a repülőtéren egyfajta fizikai bizalomlánc van.

Szinte azonos folyamat megy végbe, amikor egy szervert elindítanak. Az első bit végrehajtása előtt a BIOS-ban a biztonsági őr virtuális megfelelője ellenőrzi a biztonsági chipet, és ellenőrzi, hogy az megfelel-e a mintának és elindítható-e. Csakúgy, mint a repülőtéren, az útlevél ellenőrzés során a tisztviselő ellenőrzi, hogy az-e, amit állít, és helyben ellenőrzi, hogy nem hamisították meg a hitelesítő adatokat. A BIOS rendszer ellenőrzése után a kódja futtatásra kerül – azaz az utas átesett az ellenőrzésen. Most, amikor a következő lépésben elindul az operációs rendszer, megbízhat a BIOS-ban, és így bizalmi láncot képezhet.

Ebben a helyzetben, ha egy támadónak sikerült a szerver BIOS-át lecserélni egy átalakított verzióra, hozzáférést és ellenőrzést gyakorolhat szinte mindenen, ami a szerveren történik anélkül, hogy észlelnék, mert az operációs rendszer abban bízik, hogy a BIOS-t ellenőrizték. Az ilyen sötét forgatókönyvek elkerülése érdekében elengedhetetlen, hogy az indítás előtt teljes mértékben és megfelelően ellenőrizze a BIOS hitelességét – ezért a feladatért a szerver a felelős. Hogyan történik ez?

Térjünk vissza a repülőtérrel kapcsolatos analógiához: a gépeltérítő hamis útlevéllel megpróbálhatja jogosult személynek kiadni magát, ám a biztonsági személyzet megfelelő megoldásokat alkalmaz ennek a megelőzésére. Felismerhetik az azonosítás minden típusú manipulálását, hamisítását, illetve minden jellegű visszaélést. Hasonlóképpen, a chip szerveren ellenőrzi a BIOS helyességét az útlevél ellenőrzésével – a titkosított aláírást. Ez az aláírás a Dell EMC titkosítási kulcs, amelyet a gyártási folyamat során a chipben fixen eltárolnak, a változtatás lehetősége nélkül. És a hardvervédelem az egyetlen módja annak, hogy a Root of Trust valóban biztonságos legyen. A PowerEdge szerverek chipjeibe beégetett titkosítási kulcsokat nem lehet megváltoztatni vagy törölni, és amikor a szerver bekapcsol, a hardverrendszer a segítségükkel ellenőrzi a BIOS kód helyességét. Ez a szolgáltatás egy rögzítési pont a Cyber Resilient Architecture számára, amely ellenőrzi az iDRAC firmware-t és a BIOS-t is, amikor elindul a bizalmi lánc. Az összes kulcsfontosságú komponens (firmware-k, HBA kártyák, RAID-k, CPLD-k, memóriameghajtók, tápegységek stb.) minden firmware-jét kriptográfiai aláírásokkal hitelesítik, így biztosítva, hogy a rendszerben csak a hiteles PowerEdge szerver firmware fut. A BIOS érvényességi ellenőrzésének az elmulasztása leállítja a szervert, és értesíti a rendszergazdát a log naplóban. A felhasználó ezután elindíthatja a BIOS-helyreállítási folyamatot.

A PowerEdge szerverek támogatják az UEFI Secure Boot szolgáltatást is, amely ellenőrzi az UEFI illesztőprogramok kriptográfiai aláírásait és a többi kódot, amelyet az operációs rendszer indítása előtt töltöttek be. Ezek tartalmazzák:

  • Az operációs rendszert indító programokat
  • PCIe kártyákról betöltött UEFI illesztőprogramokat
  • UEFI illesztőprogramok és a tárolóeszközökről futtatható fájlok

Ezenkívül a jelenleg kínált PowerEdge szerverek lehetővé teszik az egyedi tanúsítványtöltő használatát, ami rendkívül fontos Linux környezetben, ahol a vállalatok saját tanúsítványukat használhatják az operációs rendszer futtatásához.

A PowerEdge szerverek rendkívül hatékony funkcióval, a System Lockdown-nal vannak felszerelve.

A Rendszer zárolás megakadályozza a firmware-verziók és a kritikus konfigurációs adatok változásait.

A zárolási mód jobb védelmet nyújt a szerver szoftverének és a konfiguráció véletlenszerű vagy rosszindulatú módosítása ellen működése közben.

A zárolási mód az iDRAC Enterprise licencben elérhető szolgáltatás.

A zárolási mód biztosítja az időkapszula létrehozását, amelyen belül nem lehet szándékosan vagy nem szándékosan módosítani a beállításokat és megváltoztatni a firmware-t, például a karbantartási időablakok között.

A tárhelyszolgáltatók szem előtt tartásával bevezették a Domain Isolation funkciót a Power Edge szerverekre, ami nagyon fontos a több bérlőt támogató hostolási környezetben. A szerver hardverkonfigurációjának biztosítása érdekében a tárhelyszolgáltató blokkolhatja a hardverbeállítások bármiféle bérlő általi újrakonfigurálását, mivel a Domain Isolation szolgáltatás megakadályozza, hogy az alkalmazók hozzáférjenek a host operációs rendszerhez az iDRAC távmenedzsment rendszerhez és az olyan chipkészlet-funkciókhoz, mint a Management Engine (ME) vagy az Innovation Engine (IE).

Érdemes megemlíteni azokat a lehetőségeket is, amelyek megakadályozzák a rosszindulatú programok bejutását az operációs rendszer szintjeibe. A jelenlegi ajánlatban szereplő PowerEdge szerverek funkciója az USB portok engedélyezése és letiltása a szerver újraindítása nélkül. Vészhelyzetben, amikor USB-n keresztüli támadás vagy adatlopás veszélye merül fel, a rendszergazda másodpercek alatt távolról letilthatja az USB-portokat. Ez nemcsak a rosszindulatú programok vagy kriptográfiák támadásai ellen véd, hanem a számítógépet megsemmisítő eszközök ellen (USB Killer) is.

De mi történik, ha egy rosszindulatú program mégis bejutott a host gép operációs rendszerébe?

A jelenleg kínált PowerEdge szerverek fel vannak szerelve az operációs rendszer gyors helyreállítási rendszerével egy rejtett partícióból vagy rejtett eszközből az operációs rendszer sérülése esetén – akár lemezhiba, akár rosszindulatú programok támadása miatt. A Rapid OS Recovery visszaállítja az operációs rendszer képét egy rejtett eszközről, felgyorsítja a szerver helyreállítását a hiba miatt és minimalizálja az állásidőt és ezáltal a pénzügyi veszteségeket.