Virtualisation : la souplesse, ennemie de la sécurité

La virtualisation a pénétré l'entreprise et ses atouts en termes de consolidation de SI ont déjà été largement exposés. La maturité technologique de la virtualisation et de la paravirtualisation (soit un hyperviseur supportant des noyaux de systèmes d'exploitation invités, adaptés et optimisés) séduit petites comme grandes entreprises. IDC estime d'ailleurs que ce marché représentera près de 11,7 milliards de dollars en 2011.

Mais la montée en puissance de la virtualisation dans l'entreprise, que le directeur Etudes et Conseil d'IDC Europe, Eric Domage, insiste pour qualifier "de débat organisationnel et non technique", suscite aussi des interrogations en termes de sécurité. Un rapport du cabinet Gartner prévoit ainsi qu'en 2009, la majorité des machines virtuelles (VM) seront moins sécurisées que les instances physiques. Le Cercle européen de la sécurité et des SI s'est donc penché sur le sujet, au travers la question "virtualisation : ami intime ou ennemi rapproché ? ".

De son côté, le DSI du groupe de marketing ETO, François-Xavier Ousselin, qui a préféré la virtualisation à la paravirtualisation, dispose d'une baie de 100 machines virtuelles. "Avant, de l'expression du besoin à la mise en production d'un serveur, il s'écoulait en moyenne de 1 à 2 mois. Désormais, après réception de la demande, un serveur virtuel peut être disponible en une demi-journée. Le remplacement d'un serveur pourra se faire en 30 minutes", déclare-t-il.

Et c'est justement cette souplesse qui peut exposer l'entreprise à des risques de sécurité, en occultant notamment les aspects organisationnels et la complexité. La création de nouveaux systèmes repose en général sur des modèles préconfigurés par la DSI (ou masters). Or entre la définition de ces derniers et l'expression de besoins peut s'écouler un certain délai au cours duquel de nouvelles failles logicielles auront été identifiées mais non prises en compte dans le modèle.

La rapidité de mise en production ne doit donc pas négliger une mise en conformité préalable de la machine virtuelle, de la même manière que l'installation d'un nouveau serveur physique passera par une mise à jour logicielle. Des entreprises ont en outre incorporé à leur politique de sécurité, l'obligation de soumettre tout nouveau serveur à un scan de vulnérabilité afin de ne pas ouvrir des brèches.

L'élaboration d'architectures virtualisées complexes (serveurs lames, SAN, multiples machines virtuelles, etc.) peut également présenter des risques en matière de disponibilité. La complexité est en effet bien souvent l'ennemi de la sécurité. "Notre architecture est complexe et implique un SAN haut de gamme et une redondance des composants puisque les serveurs sont concentrés. Il n'est pas facile non plus au début de comprendre l'origine des effets de bord. Le tunning est lui aussi complexe", prévient François-Xavier Ousselin.

La multiplication des machines virtuelles, dont certaines peuvent être inactives ou migrer vers d'autres hyperviseurs, implique aussi une politique de patch adaptée dans le but de maintenir un niveau de sécurité suffisant. Le Cercle recommande donc un processus de type NAC avec une validation préalable. La sécurité de la virtualisation passe également par l'étanchéité entre les serveurs virtuels et l'isolation de ceux exploités pour des applicatifs sensibles, de la même façon qu'un réseau est segmenté en VLAN, une autre application de la virtualisation.

La couche logicielle que constitue l'hyperviseur est elle aussi critique. Si les failles restent encore rares, explique le Cercle, la popularité croissante de la virtualisation pourrait l'exposer à des risques accrus dans les années qui viennent. La souplesse offerte par cette technologie ne doit donc pas se traduire par l'éviction de la sécurité, qui comme pour tout projet, sera intégrée en amont.