Risker med virtualisering av IT-system

Virtualisering av IT-system är en beprövad och utbredd teknik för att bygga såväl stora datacenterlösningar som mindre installationer. Virtualisering ger ett antal fördelar för drift och verksamhet, men innebär även risker. Denna rapport diskuterar virtualisering av IT-system med fokus på de risker och sårbarheter som kan uppstå i virtualiserade miljöer. Rapporten tar främst upp så kallad systemvirtualisering, det vill säga system där den virtualiserade miljön motsvarar en fysisk dator. Studien baseras på en litteraturstudie av översikter avseende sårbarheter i virtualiseringsmjukvara. Målet med studien är att bidra till förståelsen för de risker som virtualisering innebär, genom att beskriva sårbarheter i etablerade virtualiseringsmjukvaror. Virtualiserade miljöer innehåller i regel samtliga sårbarheter som finns i motsvarande fysiska miljöer. Virtualisering innebär dessutom att mjukvara tillförs i systemet för att skapa virtualiseringsmiljön, upprätthålla separation och ge ett lämpligt "hårdvarulikt" gränssnitt mot de virtuella maskinerna. Den tillförda mjukvaran kan innehålla sårbarheter vilket ger ytterligare möjligheter för angripare. Jämfört med fysisk separation finns exempelvis ökad risk för läckage mellan virtuella maskiner och att virtuella maskiner påverkar varandra på oönskade sätt. Risken för att lyckade angrepp ska få mer utbredda konsekvenser är i regel större i virtualiserade miljöer än i miljöer byggda på fysiskt åtskilda maskiner. I vissa fall är risken acceptabel utifrån de fördelar som virtualiseringen innebär. I andra fall, till exempel om separationen måste skydda information med hög informationssäkerhetsklass, så är risken hög med dagens virtualiseringstekniker. Införandet av virtualisering i ett kritiskt IT-system måste därmed föregås av noggranna riskbedömningar för att säkerställa att lämplig risknivå upprätthålls.