העברת חוות שרתים לענן – זווית אבטחת הרשת

מאת פרופסור אבישי וול, יזם ומדען ראשי, אלגוסק
הגירה לענן היא הנושא החם בעולם אבטחת הרשתות כיום. ארגונים רבים מעוניינים לנצל את היתרונות והתועלות של הענן ומתכננים להעביר את חוות השרתים שלהם אליו. מהם השיקולים המרכזיים להעביר את חוות השרתים, או לפחות חלק מהאפליקציות החשובות ביותר למרכז מחשוב בענן?
1.חיסכון בהוצאות התפעול.
2.שיפור יכולות ההתאוששות מאסון.
3.תאימות לדרישות רגולטוריות לשמירה על נתונים אישיים של לקוחות מסוימים בתוך המדינה ואיסור על הוצאתם מחוצה לה.
העברת חוות שרתים לענן, מכל סיבה שהיא, הוא תהליך מסובך המערב בעלי תפקידים רבים שלא תמיד מדברים באותה שפה, וביניהם צוות אבטחת הרשת, אשר לו תפקיד מהותי בתוכנית ההגירה. במאמר זה נבחן את תהליך המעבר לחוות שרתים וירטואלית מנקודת המבט של צוות אבטחת הרשת.
העברת חוות שרתים פיזית לענן פרטי או משותף דורשת חזרה על ארבעה צעדים בסיסיים:
1.בחירת שרת בחוות השרתים הישנה.
2.יצירת עותק (clone) של השרת בחוות השרתים החדשה.
3.הפנית כל האפליקציות שקיבלו שירותים מהשרת הישן אל השרת החדש. (זהו השלב בתהליך שבו צוות אבטחת הרשת הכי מעורב. כדי שהאפליקציות העסקיות יוכלו להשתמש בעותק השרת החדש, יש לעדכן את המדיניות וההרשאות בפיירוולים והנתבים הרלבנטיים וכך לאפשר זרימת מידע אל ומאת השרת החדש).
4.סגירת השרת הישן.
צעדים אלה נראים פשוטים, אך האתגר הוא לבצע אותם מבלי לשבש שירותים קיימים ומבלי לגרום להשבתות בלתי מתוכננות. למעשה, סקר שערכנו לאחרונה מצא ששני שליש מהארגונים נתקלו בהפרעות או השבתות של הפעילות בשל פרויקטים להעברת חוות השרתים.
מדוע תקלות נפוצות כל כך? לרוב לא ברור בדיוק איזה אפליקציות תלויות בשרת מסוים בחוות השרתים הישנה כיוון שהשרתים בדרך כלל תומכים באפליקציות רבות. מעבר לכך, לא תמיד ברור אילו שרתים אחרים צריכים לתקשר עם השרת שנמצא בתהליך הגירה, ואילו פורטים ופרוטוקולים צריך לפתוח לצורך התקשורת הזו. הסיבה לחוסר הוודאות היא שבארגונים רבים תיעוד התלות של אפליקציות בשרתים, וערוצי תעבורת הנתונים התומכים בכל אפליקציה הוא שגוי, מיושן או לעיתים פשוט לא קיים.
אבל לא הכל שחור כיוון שישנו מקור אחד למידע אמין שתמיד ניתן לפנות אליו, גם אם מזניחים אותו לעיתים – ההרשאות בפיירוול עצמן. אחרי הכל, לפני העברת השרתים האפליקציות עבדו כשורה. המסקנה ההגיונית היא שכל ערוצי תעבורת הנתונים שהאפליקציות נזקקו להן היו, ועדיין, פתוחים בחוקי הפיירוול.
בזכות השימוש בחוקים הקיימים של פיירוול, ניתן להעביר את השרתים ללא הפתעות בלתי מתוכננות. בשלב ראשון צריך לגלות את כל חוקי הפיירוול המתייחסים לכתובת ה- IP הישנה של השרת. לאחר מכן תוכלו להוסיף את כתובת ה- IP של השרת המשוכפל לכל החוקים שחשפתם (כך שהשרת הישן והשרת החדש יוכלו לעבוד במקביל). כאשר הכתובות מעודכנות, מהנדסי היישומים יוכלו לקנפג מחדש את כל רכיבי האפליקציות ולהפנות אותם לשרת החדש מבלי שהתקשורת תיחסם. ברגע שכל האפליקציות הנזקקות לשרת החדש עודכנו ונבדקו, ניתן להוריד את השרת הישן ללא חשש, ולהסיר מחוקי הפיירוול את כל ההפניות לכתובת שיצאה משימוש.
למעשה, השימוש בחוקי פיירוול כדי להכווין את העברת חוות השרתים יאפשר לצוות אבטחת הרשת להוליך את תהליך ההגירה. לא משנה כמה התיעוד בחוות השרתים לוקה בחסר, חוקי הפיירוול תמיד יוכלו לספק רמזים חשובים לשאר צוותי טכנולוגיות המידע לגבי איזה אפליקציות יושפעו מהגירה של שרת מסוים, ואיזה קבוצות של שרתים עדיף להעביר כקבוצה אחת.