La virtualización está de moda, tal y como predice Gartner es la tecnología estratégica número uno y la tendencia de mayor impacto en las TI de los próximos años. Debido a sus múltiples e innumerables ventajas, la virtualización es cada vez más utilizada y su crecimiento mayor pero como sucede casi siempre, la seguridad está en un segundo plano, en este caso, prácticamente en un tercero por detrás del ahorro de costes y la consolidación de servidores.
Como nueva tecnología y dada la necesidad de aprovechar cuanto antes sus beneficios, existen unos riesgos implícitos que la mayoría de las empresas no están teniendo en cuenta ni sopesando ya que son muchas más las ventajas que los inconvenientes. Para empezar, la mayoría de las organizaciones que implementan virtualización no cuentan con políticas concretas dirigidas a la seguridad virtualizada.
Además, numerosas compañías no disponen del conocimiento y la experiencia necesarios para gestionar la tecnología de virtualización porque combina diferentes aspectos como administración de redes, configuración de servidores, instalación de sistemas de almacenamiento, etc. Tampoco es fácil implicar, de forma adecuada, al personal de diferentes departamentos en un mismo proyecto teniendo en cuenta que suelen ser bastante independientes y con poca comunicación entre sí: administración de servidores, sistemas, almacenamiento, continuidad de negocio, seguridad, etc.
También es importante, que el personal encargado de la virtualización reciba formación específica para, por ejemplo, que un administrador pueda comprender que, si se produce un problema en una aplicación, antes de intentar solucionarlo debe estar convencido del lugar donde se encuentran las máquinas virtuales afectadas dentro de la granja de servidores de virtualización. En caso contrario, es posible reiniciar un servidor accidentalmente y tirar abajo otras máquinas virtuales que estén instaladas en el mismo sin saber qué aplicaciones pueden resultar afectadas.
Esta precaución no es necesaria en los entornos tradicionales porque resulta muy sencillo saber qué sistemas y servidores soportan qué aplicaciones. Por tanto, el administrador debe ser formado en el nuevo entorno tecnológico de virtualización para poder conocer el impacto de cada una de sus actuaciones sobre él.
Otro error muy común consiste en fiarse del material publicitario del fabricante en el que se explican diferentes aspectos del rendimiento de las máquinas virtuales y cómo aprovechar al máximo un hardware dado. La mayoría de esos valores se han conseguido ejecutando una única máquina virtual sobre un sólo servidor físico. Es decir, se basan en unas condiciones donde la virtualización no ofrece su principal atractivo: la consolidación de servidores. En un entorno típico es habitual soportar entre 8 y 12 máquinas virtuales en un host físico. Los datos de los fabricantes no parecen describir, por tanto, un escenario real ni se detalla cómo se puede llegar a cargar excesivamente el programador de la CPU del hipervisor y reducir considerablemente el rendimiento.
También existe la amenaza de instalar de forma descontrolada máquinas virtuales porque las nuevas aplicaciones son más fáciles de desplegar y poner en funcionamiento con la virtualización. Ello conlleva un aumento de los costes por temas de licenciamiento y, además, de la carga de trabajo asociada a la gestión y mantenimiento de las nuevas aplicaciones.
Con los servidores físicos tradicionales, perder un servidor impacta únicamente en la aplicación o aplicación residentes en él pero ahora, con la virtualización si se produce un incidente en un servidor se ven afectadas todas las máquinas virtuales que se ejecutan sobre la plataforma.
Otro de los inconvenientes que supone la virtualización y que afecta directamente a la seguridad, es la facilidad con que las máquinas virtuales se pueden trasladar en un disco duro portátil o dispositivo USB. Además, no es habitual que exista una completa separación y segmentación entra zonas de seguridad lo que supone problemas de auditoría, por no hablar de que el tráfico de red existente entre diferentes máquinas virtuales no atraviesa ninguno de los dispositivos de seguridad perimetral actuales: firewalls, IDS/IPS, analizadores de LOGs, etc. se crean lo denominados “Puntos Ciegos” para la seguridad ya que no se dispone de trazas, registros ni ningún dato acerca del tráfico generado.
Un pobre rendimiento, la falta de preparación del personal, costes ocultos de las licencias y la administración del entorno y la implantación descontrolada de nuevos servidores virtuales, son sólo algunos de los ejemplos de diferentes problemas que pueden acompañar a una inadecuada implementación de la tecnología de virtualización.
