Virtuelle Server seien zwar keineswegs unsicherer als physische, meint Neil MacDonald, Sicherheitsexperte beim Marktforscher Gartner. In vielen Belangen seien sie sogar sicherer als Einzelserver, weil sie zum Beispiel besser abgeschirmt seien. Gleichzeitig bedürfe aber jeder virtuelle Server derselben Pflege wie ein klassischer Server. "Und gerade das vergessen viele", sagt MacDonald.
Beachten sollte jeder CIO folgende fünf Aspekte:
1. Verantwortlichkeiten für virtuelle Server klären
Bei physischen Servern ist die Lage klar: Zuständig für sie ist das Rechenzentrum, in dem sie stehen, oder der IT-Manager, in dessen Wirkungsbereich sie sich befinden. Bei virtuellen Servern bleibt diese Frage dagegen oft ungeklärt: Soll der Geschäftsbereich zuständig sein, der mit dem Server arbeitet oder der IT-Manager, der am nächsten mit dem Anbieter zusammenarbeitet?
Eine Standardantwort darauf gibt es nicht, nur geklärt werden muss diese Frage, wie MacDonald betont. "Vielerorts fehlt das Bewusstsein, dass es beim Betrieb virtueller Server außer Hardware, Betriebssystem und Anwendungen immer noch eine weitere Ebene gibt, um deren Sicherheit man sich kümmern muss."
2. Die Wartung nicht vernachlässigen
Betrieb und Wartung virtueller Server sind aufwändig. Die physischen Server, auf denen virtuelle Maschinen laufen, werden direkt von IT-Managern betreut, die auch die neuesten Patches einspielen. Virtuelle Server werden dagegen oft mit Server-Images zum Laufen gebracht, die manchmal schon Wochen vor der Inbetriebnahme konfiguriert wurden. Die meisten Firmen haben MacDonald zufolge dafür eine Auswahl von Standard-Images parat, mit denen neue virtuelle Maschinen eingerichtet werden. Außerdem haben einige hunderte von speziellen Server-Images auf DVDs gespeichert, die mit viel Aufwand für spezielle Anforderungen konfiguriert wurden.
Grundsätzlich hält der Sicherheitsexperte das nicht für verkehrt. Muss ein Server neu aufgesetzt werden, lässt sich das schnell mit einem der offline gespeicherten Datensätze tun. Allerdings müsse man bedenken, dass eine solche Server-Blaupause nicht auf dem neuesten Stand sei. "Das muss jemand überprüfen", sagt MacDonald. "Oft wird das allerdings versäumt."
Anbieter wie VMware und Microsoft haben ihre Infrastruktur-Produkte mit Zeitvorgaben versehen. In bestimmten Abständen müssen abgespeicherte Images mit den neuesten Updates versehen werden. Das bedeutet viel Arbeit. Mittlerweile gibt es bei vielen Herstellern allerdings auch Ansätze, diese Aktualisierungen automatisiert ablaufen zu lassen.
3. Virtuelle Firewalls
Typisch für virtuelle Server ist, dass jeder einzelne von ihnen im Rechenzentrum nicht sichtbar ist. Der Speicherplatz oder Strom, den er benötigt, kommt ja von einem physischen Server. Undurchsichtig ist aber vor allem die Kommunikation zwischen den virtuellen Maschinen.
"Man muss dieselben Kontrollmechanismen einsetzen wie bei physischen Servern, also zum Beispiel Sniffer und Firewalls", sagt MacDonald. "Ansonsten sieht man nicht, was im virtuellen Netzwerk abläuft." Microsoft, VMware und Citrix hätten zwar schon einige Kontrollsysteme in ihre Basisprodukte eingebaut, allerdings sei die Sicherheit, die sie gewährten, noch längst nicht ausreichend.
Laut Simon Crosby, CTO bei Systems, sollten die Sicherheitsmechanismen in die Anwendungen integriert warden, nicht in Hypervisor oder Infrastruktur. Wer die Sicherheitsrichtlinien seines Unternehmens und anderer Hypervisor-Anbieter befolge, könne der meisten Bedrohungen Herr werden.
4. Wildwuchs eindämmen
Eine weitere Folge der schwierigen Übersicht über virtuelle Server kann unkontrolliertes Wuchern sein. Für einen speziellen Zweck hat ein Geschäftsbereich einmal einen virtuellen Server einrichten lassen, später gerät er in Vergessenheit. Das verschwendet Ressourcen und kann die Datensicherheit gefährden.
Um das zu vermeiden, behandelt Chris Steffen von Kroll Factual Data virtuelle Server wie physische. "Wenn ein neuer angeschafft werden soll, läuft derselbe Beschaffungsprozess ab wie für einen allein stehenden Server", erklärt er. Bestellt ein Bereichsleiter einen virtuellen Server, muss er einen Bedarfszettel ausfüllen und begründen, wofür er die Maschine braucht. Das verlangsamt die Bereitstellung zwar, zwingt aber alle, darüber nachzudenken, wie nötig die Anschaffung wirklich ist, erklärt Steffen.
5. Virtuelle Geräte kritisch betrachten
Virtuelle Infrastruktur hat große Vorteile, wie Neil MacDonald sagt. Das Produkt eines Drittanbieters lässt sich innerhalb weniger Minuten testen. Man müsse nicht erst Platz auf einem Test-Server schaffen, eine Software installieren, sie mit dem Betriebssystem verbinden und Stunden investieren, um zu sehen, ob die Anschaffung ihre Versprechungen erfüllt.
Allerdings kaufe man mit virtuellen Infrastruktur-Komponenten eben auch "die Katze im Sack", warnt er. "Jedes Paket hat sein eigenes Betriebssystem, seine Anwendungen mit ihrer speziellen Konfiguration." Wer auf Dauer die Wartung übernehme oder welche Risiken darin steckten, sei nur schwer auszumachen. Wer neue Module anschaffe, solle vorab möglichst klären, welches Betriebssystem dahinter steckt, ob Sicherheitslücken bereits behoben seien und falls nicht, wer sie schließen könne.
Dieser Artikel basiert auf einem Beitrag der CW-Schwesterpublikation CIO.