“La sicurezza, in linea generale, non funziona”, sostiene Rajiv Ramaswami, chief operating officer, products and services, VMware. “Le applicazioni sono più distribuite, implementate su più cloud pubblici e privati, utilizzano diversi tipi di infrastrutture e sono accessibili da molti dispositivi diversi. Troppi prodotti, agenti e interfacce implementati in un'organizzazione generano complessità nella gestione della sicurezza. La strategia di VMware è quella di rimuovere la complessità inerente alla sicurezza oggi e offrire una sicurezza intrinseca dagli endpoint al cloud”.
Per attuare questo approccio la società ha annunciato il lancio di un nuovo firewall service-defined, un approccio innovativo al firewall interno che riduce la superficie di attacco per gli ambienti on-premise e cloud rendendo la sicurezza una parte intrinseca dell'infrastruttura.
VMware ritiene che il mercato debba spostarsi da un modello incentrato sulla ricerca delle minacce a uno incentrato sull'assicurazione di un buono stato di sicurezza, focalizzandosi sulle applicazioni piuttosto che sull'infrastruttura..
Proteggere data center e cloud
Con un portafoglio ampliato di soluzioni basate sul software che portano il cloud all'utente finale, VMware rende la sicurezza intrinseca all'infrastruttura in modo che i clienti possano bloccare il comportamento “known good” delle applicazioni e ridurre significativamente il rischio per le applicazioni critiche, i dati sensibili e gli utenti.
In tema di sicurezza informatica meglio non fidarsi mai
La soluzione firewall service-defined di VMware adotta un approccio completamente diverso al firewalling che si concentra sulle risorse che le imprese conoscono bene, le applicazioni che loro stessi hanno distribuito, piuttosto che analizzare l'ignoto. Questa soluzione funziona su bare metal, VM e ambienti applicativi basati su container e supporterà in futuro ambienti cloud ibridi come VMware Cloud on AWS e AWS Outposts. Le aziende possono utilizzare questa soluzione come unica soluzione firewall per le loro esigenze interne.
Il firewall service-defined di VMware è unico per diversi aspetti come puntualizza una nota:
Application Verification Cloud: la posizione di VMware nell'host consente al firewall service-defined di acquisire una profonda conoscenza di un'applicazione e dei suoi 100 o persino 1.000 microservizi e di tutte le loro variazioni nel tempo. Utilizzando la machine intelligence di milioni di VM a livello globale, l’Application Verification Cloud della soluzione crea una mappa accurata dello stato "known good" previsto dell'applicazione. Una volta stabilita una comprovata comprensione del comportamento “known good” delle applicazioni, la soluzione può generare politicy di sicurezza adattive per la soluzione firewall service-defined che è “layer 7 capable” e può eseguire una stateful inspection.
Protetto dal guest: la soluzione firewall service-defined sfrutta la capacità intrinseca di VMware di ispezionare il sistema operativo e l'applicazione guest senza risiedere nel guest stesso. Ciò significa che anche se un utente malintenzionato ottenesse l'accesso come root, non potrebbe superare la soluzione firewall service-defined. La soluzione firewall service-defined può anche rilevare e bloccare il traffico dannoso sulla rete; inoltre, può ispezionare l'ospite stesso e identificare e interrompere qualsiasi comportamento malevolo all'interno del sistema operativo o dell'applicazione in fase di esecuzione. Questa capacità unica equivale a un nuovo approccio al firewall di rete e all'host IPS.
Distribuito nel software: l'approccio tradizionale al firewall hardware richiede un “hairpinning” del traffico fuori dall'ambiente virtuale e in un'appliance hardware per la scansione. Questo sistema è inefficiente e difficile da scalare, in particolare per le applicazioni moderne che dispongono di numerosi componenti o servizi che funzionano su molti server e possono spesso estendersi su cloud diversi. Situato interamente nel software, il firewall service-defined di VMware è altamente distribuito, il che significa che viene eseguito ovunque l'applicazione venga gestita, su ogni cloud. Ciò significa che le policy possono essere applicate in modo coerente senza hairpinning di traffico su tutti gli ambienti cloud.