Recursos pouco conhecidos do Illumio Core: serviços virtuais

‍Nesta série contínua, os especialistas em segurança da Illumio destacam os recursos menos conhecidos (mas não menos poderosos) do Núcleo Illumio.

Com o valor dos dados extraídos entrando no mercado negro, sequestrando recursos essenciais e mantendo seus dados resgatados aumentou dramaticamente em valor — e se tornou um modelo de negócios criminoso de muito sucesso. Hoje, interromper a infraestrutura de uma organização é um alvo muito tentador para pessoas mal-intencionadas.

Os recursos de infraestrutura podem ser sequestrados e interrompidos nas camadas do host e do aplicativo, e os dois tipos de recursos devem ser visualizados e aplicados independentemente um do outro e em uma escala granular.

Nesta postagem do blog, saiba como aproveitar os serviços virtuais do Illumio Core para proteger seus hosts e seus aplicativos e processos com e sem um agente. Isso oferece uma solução de ponta a ponta Arquitetura Zero Trust sem pontos cegos. ‍

A abordagem sem agente do Illumio Core para a segurança da carga de trabalho

Núcleo Illumio gerencia cargas de trabalho diretamente no sistema operacional implantando o agente Illumio VEN, que depois emparelha com o Illumio PCE. Isso permite que a Illumio visualize e aplique o tráfego centrado em aplicativos usando recursos de firewall que são nativos de cada sistema operacional, independentemente das soluções de segurança tradicionais. Segmentação centrada na carga de trabalho exige uma solução que seja independente do ambiente de hospedagem subjacente.

Embora essa abordagem de colocar a solução de segurança da carga de trabalho diretamente na carga de trabalho seja a mais ideal, há outros tipos de cargas de trabalho que precisam ser incluídos nas arquiteturas de visibilidade e fiscalização da carga de trabalho, mas não permitem a implantação de agentes terceirizados, como balanceadores de carga, IoT e Dispositivos OT. ‍

Soluções de segurança sem agente são frequentemente associados a plataformas de nuvem pública que o Illumio habilita com Illumio CloudSecure. Em um ambiente local, existem várias soluções de nuvem privada que têm diferentes opções de segurança, mas a maioria dessas soluções depende de hipervisores ou arquiteturas virtuais de rede sobreposta. A criação de segmentos em um ambiente de hipervisor ou rede sobreposta ainda é uma solução centrada na rede, enquanto a segmentação centrada na carga de trabalho exige uma solução que seja independente do ambiente de hospedagem subjacente. Como o Illumio pode habilitar isso sem o Agente VEN?

Três maneiras pelas quais o Illumio Core protege ambientes sem um agente

O Illumio Core estende sua solução de visibilidade e fiscalização além das cargas de trabalho gerenciadas com essas entidades sem agente:

• Cargas de trabalho não gerenciadas

• Servidores virtuais
• Serviços virtuais

Cargas de trabalho não gerenciadas

O Illumio pode identificar cargas de trabalho não gerenciadas sem um agente VEN usando seu nome de host e endereço IP. Em seguida, o Illumio atribui rótulos a essa carga de trabalho, o que permite que o Illumio visualize e imponha o acesso a ela a partir de todas as outras cargas de trabalho gerenciadas.

A Illumio não está recebendo telemetria dessa carga de trabalho não gerenciada, pois não há nenhum agente VEN implantado nela. Em vez disso, a Illumio pode ver com quais cargas de trabalho gerenciadas está se comunicando, permitindo que a Illumio inclua totalmente essas cargas de trabalho não gerenciadas e sem agente em sua Mapa de iluminação e modelo de política.

O Illumio gerencia cargas de trabalho gerenciadas e não gerenciadas da mesma forma:

‍‍Servidores virtuais

Um servidor virtual é usado para impor o tráfego por meio de um balanceador de carga. O Illumio define cada servidor virtual pelo VIP que está sendo exposto no balanceador de carga F5 ou AVI. A Illumio também cria rótulos para membros do pool implantados por trás do balanceador de carga associado a esse VIP.

O módulo Network Enforcement Node (NEN) da Illumio ajuda a ler e escrever políticas de segurança diretamente no balanceador de carga usando um fluxo de trabalho orientado por API. Isso permite que a Illumio visualize e imponha o tráfego de e para servidores virtuais por meio de um balanceador de carga sem depender da implantação de um agente VEN.

‍Legenda: A Illumio aplica serviços virtuais configurando o balanceador de carga e gerenciando pools.

Serviços virtuais

Um serviço virtual é usado para rotular e definir políticas para um ou mais processos ou aplicativos específicos que residem no mesmo host, com cada serviço virtual sendo independente dos rótulos e da política do host subjacente. Por exemplo, se dois aplicativos forem implantados em um único host, a Illumio criará dois serviços virtuais diferentes, cada um aplicando políticas distintas entre si e do host subjacente.

Quando o Illumio usa um serviço virtual para definir um processo ou aplicativo específico como uma carga de trabalho, independente do host em que está implantado, ele “vincula” esse serviço virtual às portas usadas por esse processo. Um serviço virtual pode ser mapeado para um único processo ou para uma coleção de portas TCP específicas em um host.

O Illumio pode atribuir rótulos diferentes a aplicativos diferentes em um host. Por exemplo, se um host implantou um processo de banco de dados e uma instância postgres na porta 5678, o Illumio pode criar dois serviços virtuais diferentes e vincular cada um às portas relevantes usadas por cada processo. Em seguida, a Illumio os rotulará usando a mesma rotulagem multidimensional usada com cargas de trabalho gerenciadas.

Políticas diferentes podem então ser definidas em relação a cada rótulo de aplicativo, distintas dos rótulos e da política definidos para o host subjacente:

Se o serviço ou aplicativo for transferido de um host para outro, o que pode acontecer em plataformas de nuvem privada, a política definida para esse aplicativo no Illumio não precisará ser alterada. O Illumio recalculará dinamicamente as regras da carga de trabalho atualizada, como o novo endereço IP no host para o qual o aplicativo migrou, para permitir que esse serviço virtual traga consigo sua política centrada no aplicativo durante a migração.

Isso permite que os aplicativos migrem dinamicamente entre diferentes VMs, por exemplo. A política de aplicativos permanecerá estável, sem exigir que os processos de controle de alterações de segurança acompanhem as migrações de aplicativos, independentemente de quão dinamicamente os aplicativos migrem entre os hosts. ‍

Serviços virtuais em cargas de trabalho gerenciadas e não gerenciadas

Os serviços virtuais geralmente são usados em cargas de trabalho gerenciadas, mas também podem ser usados em cargas de trabalho não gerenciadas. Se uma carga de trabalho não gerenciada tiver vários processos ou aplicativos implantados nela, a Illumio poderá associar cada um deles a um serviço virtual diferente e rotulará e aplicará cada um deles de forma distinta do outro.

Isso permite que as equipes de segurança definam uma política muito granular específica para processos e aplicativos em diferentes tipos de cargas de trabalho. Como resultado, a visualização e a política não se limitam apenas a um modelo de carga de trabalho do sistema operacional/host.

É aqui que a alta escala de cargas de trabalho suportadas da Illumio se torna importante. Seguir esse modelo em grande escala pode criar uma explosão de entidades para visualizar e aplicar, as quais a Illumio pode gerenciar facilmente.

‍Protegido contra ameaças direcionadas a hosts e aplicativos

O Illumio permite a imposição de dependências de aplicativos e redes hospedeiras, oferecendo visibilidade clara de quem está falando com o quê e a capacidade de bloquear o movimento lateral entre recursos sem complexidade. O Illumio protege seus hosts e seus aplicativos e processos com e sem um agente. Isso oferece uma arquitetura Zero Trust de ponta a ponta, sem pontos cegos.

Para saber mais sobre o Illumio ZTS, entre em contato conosco hoje para uma consulta e demonstração gratuitas.