Broadcom rafforza la sicurezza di VMware Cloud Foundation (VCF) introducendo VMware HyperArmor, una soluzione progettata per proteggere l'hypervisor ESX, uno dei componenti più critici delle infrastrutture virtualizzate, “dall’interno”. La novità consiste nell'applicazione di controlli preventivi a livello di host, capaci di bloccare attività malevole anche prima che vengano installate le patch che bloccano le vulnerabilità sfruttate dagli attaccanti.
L'annuncio risponde a un problema particolarmente delicato per le aziende che utilizzano infrastrutture di private cloud: una vulnerabilità nell'hypervisor può compromettere il livello tecnologico sul quale vengono eseguite numerose macchine virtuali, con conseguenze potenzialmente disastrose ed estese su applicazioni e servizi aziendali.
Secondo Broadcom, la crescente automazione degli attacchi beneficia di un’accelerazione causata dall’uso dell’IA e rende sempre meno efficace un approccio alla sicurezza basato esclusivamente sull'individuazione delle minacce e sulla successiva applicazione delle patch. «L'intelligenza artificiale di frontiera ha cambiato le tre V delle minacce informatiche: volume, velocità e varietà», afferma Paul Turner, Chief Product Officer della VMware Cloud Foundation Division di Broadcom. Quando gli attacchi avvengono alla velocità delle macchine, sostiene Turner, rilevamento reattivo e patching non sono più sufficienti perché non riescono a tenere il passo.
Virtual patching, ma senza riavviare gli host
Una delle caratteristiche principali di VMware HyperArmor è la possibilità di applicare un virtual patching direttamente all'ambiente host ESX, intercettando e bloccando le azioni malevole che tentano di sfruttare vulnerabilità del sistema. Il virtual patching non modifica il codice vulnerabile, ma introduce controlli che impediscono lo sfruttamento delle falle. Si tratta quindi di una misura di mitigazione, ma che tiene l’infrastruttura al sicuro in attesa del vero aggiornamento.
Il vantaggio operativo è che la protezione può essere attivata senza riavviare gli host e senza aggiornare immediatamente il software dell'hypervisor. Gli amministratori possono così ridurre il periodo durante il quale una vulnerabilità rimane sfruttabile, mantenendo al tempo stesso la possibilità di pianificare l'installazione delle patch ufficiali secondo le esigenze dell'ambiente di produzione. Per le aziende che gestiscono infrastrutture virtualizzate complesse, questo approccio può rendere più accettabile il compromesso tra sicurezza e continuità operativa. Le patch dell'hypervisor richiedono infatti procedure di validazione e coordinamento che possono risultare particolarmente impegnative nei sistemi critici.
La funzionalità è complementare al virtual patching già disponibile a livello di rete attraverso VMware vDefend, estendendo la protezione a un livello dell'infrastruttura che non può essere adeguatamente difeso con i soli controlli sul traffico.
Un modello allowlist per impedire l'esecuzione di codice non autorizzato
La seconda componente di HyperArmor introduce un approccio basato sulla positive security, nel quale il sistema definisce esplicitamente quali programmi e script possono essere eseguiti sull'host. A differenza dei sistemi tradizionali che cercano di identificare il codice malevolo, questa modalità parte dal principio opposto: tutto ciò che non è stato autorizzato viene bloccato. Non proprio una novità, ma la scelta è particolarmente adatta agli hypervisor, perché un host ESX esegue normalmente un insieme relativamente limitato e prevedibile di processi. HyperArmor può quindi stabilire una baseline delle attività consentite e impedire l'esecuzione di componenti estranei.
La soluzione effettua automaticamente un inventario degli script già presenti sull'host, autorizzandoli automaticamente. Gli amministratori possono successivamente approvare nuovi script se e quando necessario. Questo meccanismo ostacola l'esecuzione di malware, strumenti non autorizzati e script utilizzati dagli attaccanti dopo aver ottenuto accesso al sistema. La protezione opera a livello di infrastruttura, senza richiedere l'installazione di agenti all'interno delle macchine virtuali guest e, secondo quanto dichiara Broadcom, con un impatto sulle prestazioni molto limitato.
Autenticazione multifattore direttamente sull'hypervisor
Il terzo elemento riguarda uno dei vettori di compromissione più pericolosi per gli ambienti virtualizzati: il furto delle credenziali amministrative. Da quanto vediamo accadere nelle aziende, gli attacchi agli hypervisor sono riconducibili principalmente a due problemi: vulnerabilità non corrette e credenziali root compromesse.
Per affrontare il secondo rischio, VMware HyperArmor integra l'autenticazione multifattore direttamente nel processo di accesso SSH a ESX. L'amministratore deve prima autenticarsi con le normali credenziali SSH e successivamente superare una seconda verifica attraverso un codice temporaneo monouso, o TOTP, associato a un'identità definita separatamente.
In questo modo, il possesso della password root non è più sufficiente per ottenere l'accesso alla riga di comando dell'hypervisor attraverso SSH. È una protezione particolarmente importante perché l'accesso privilegiato all'host può consentire a un attaccante di intervenire direttamente sull'infrastruttura di virtualizzazione, aggirando molte delle misure di sicurezza implementate all'interno delle singole macchine virtuali.
Una difesa multilivello per VMware Cloud Foundation
HyperArmor si inserisce nella strategia di Broadcom per costruire un sistema di defense in depth all'interno di VMware Cloud Foundation, distribuendo le protezioni tra infrastruttura, rete, hypervisor e applicazioni. La piattaforma dispone già di funzionalità come la gestione centralizzata delle identità, la cifratura dei dati a riposo e in transito e VMware vSphere Live Patching che consente di applicare aggiornamenti critici all'hypervisor senza interrompere i workload o portare gli host in una modalità di manutenzione completa.
La differenza rispetto a HyperArmor è, però, importante perché mentre il live patching permette di distribuire gli aggiornamenti con un impatto operativo ridotto, HyperArmor punta a impedire lo sfruttamento delle vulnerabilità anche prima dell'applicazione della correzione software. L'introduzione di HyperArmor evidenzia un cambiamento nell'approccio alla protezione degli ambienti virtualizzati. L'hypervisor non viene più considerato soltanto un componente da aggiornare e configurare correttamente, ma un livello sul quale applicare controlli preventivi specifici e continuativi.
«Gli attaccanti utilizzano automazione e intelligenza artificiale per sfruttare le debolezze infrastrutturali più rapidamente di quanto molte organizzazioni riescano ad applicare le patch», osserva Stephen Elliot, Group Vice President, Software Development and IT Operations di IDC.
VMware HyperArmor supporta VMware ESX 8.x e le versioni successive, ma Broadcom non ha ancora specificato dettagli relativi a prezzi, modalità di licensing e disponibilità commerciale.