Infrastructural Security for Virtualized Grid Computing

Ein Grid soll einem Benutzer Ressourcen so einfach zu Verfüng stellen, wie das Stromnetz: Ein Gerät wird an die Steckdose angeschlossen und sofort danach mit Strom versorgt. Im Gegensatz zu einer Steckdose nutzt Grid Computing allerdings entfernte Ressourcen, die bei einem Provider installiert sind. Diese können durch böswillige Nutzer missbraucht werden, die damit nicht nur ihre eigenen Installationen sondern auch die von anderen Benutzern und dem Provider gefährden. Ressourcen im Grid Computing werden gemeinsam benutzt, d.h. Daten und Programme von konkurrierenden Nutzern oder Unternehmen sind auf der selben physischen Ressource gespeichert. Diese gemeinsame Nutzung stellt eines der Hauptprobleme dar, da Unternehmen sich im Allgemeinen gegenseitig misstrauen und die Gefahr durch Industriespionage omnipräsent ist. Die aktuelle Strategie, um mit diesen Problemen umzugehen, basiert auf dem Vertrauen des Nutzers gegenüber anderen Nutzern und dem Administrator. Diese Entwicklung resultiert aus der Tatsache, dass sich das Grid von einer rein akademischen Spielwiese hin zu einem anerkannten Produkt mit ersten kommerziellen Anwendern entwickelt hat. Im Gegensatz zu kommerziellen Anwendern haben akademische Nutzer meist niedrigere Sicherheitsanforderungen, da Quelldaten und Ergebnisse frei zur Verfügung stehen. Kommerzielle Daten und Anwendungen beinhalten in der Regel geistiges Eigentum, das besonderem Schutz bedarf. In der gemeinsamen Nutzung von Ressourcen im traditionellen Grid Computing liegt also eines der Hauptprobleme, welches die kommerzielle Verbreitung erschwert. Informationen über andere Benutzer und deren Jobs können auf solchen Systemen einfach erlangt werden. In den einfachsten Fällen stellt die blosse Kenntnis, dass ein Konkurrent auf demselben System rechnet, einen Informationsvorsprung dar, der nicht akzeptabel ist, da sogenannte Meta-Daten meist vertraulich sind. Es kann konstatiert werden, dass ein wirksamer Schutz von sensitiven Inhalten im Grid nicht ausreichend vorhanden ist. Diese Arbeit stellt neue Infrastruktur-Mechanismen vor, die das Konzept von virtuellen Grids weiter voran bringen. Die Arbeiten dafür begannen 2007 und haben zur Entwicklung der XGE geführt. Die XGE ist eine Software zum Erzeugen und Verwalten von virtuellen Grid-Umgebungen. Jobs von Benutzern werden nicht länger nativ, sondern in virtuellen Maschinen ausgeführt. Um die Software einfach in ein bestehendes Grid einzubinden, kann die XGE die Entscheidungen eines bereits installierten Schedulers nutzen und mit der Grid-Middleware auf der Grid-Headnode zusammenarbeiten. Eine neue Grid-fähige, zweigleisige, demilitarisierte Zone schützt die Grid-Headnode vor direkten Angriffen aus dem Internet. Zudem sind die Headnode und die Rechenknoten voneinander isoliert und nicht, wie in einem traditionellen Grid-Umfeld, im selben Netzwerk installiert. Obwohl die demilitarisierte Zone Angriffe erschwert, bietet sie, wie alle Sicherheitslösungen, keinen hundertprozentigen Schutz. Daher ist ein Network Intrusion Detection System um Grid-spezifische Signaturen erweitert worden, damit Angriffe auf Grid-Komponenten verhindert und aufgezeichnet werden können. Um die Daten der Benutzer über die demilitarisierte Zone hinaus zu schützen, ist eine Lösung namens Fence entwickelt worden, die die Daten verschlüsselt vom Rechner des Benutzers in das interne Grid-Netzwerk überträgt. Fence arbeitet dabei mit allen beteiligten Komponenten, inklusive dem Scheduler, zusammen. Ein System verhindert, dass unsichere Kernel-Module und somit auch Kernel-Rootkits zur Laufzeit geladen werden können. Um die Sicherheit der virtuellen Maschinen zu gewährleisten wird ein Malware-Scanner eingesetzt. Dieser nutzt die spezielle Technik der Virtual Machine Introspection um alle laufenden Programme zu überwachen und dabei selber unsichtbar und, für die meiste Malware, unangreifbar zu bleiben. Um die Erkennung zu beschleunigen, können mehrere Erkennungsinstanzen im Grid parallel betrieben werden. Das neue Konzept der öffentlichen, virtuellen Grid-Knoten wird ebenfalls im Kontext dieser Arbeit vorgestellt. Dies ist eine Menge von Grid-Knoten, die aus dem Internet erreichbar und durch dynamische Firewalls geschützt sind. Die Knoten können sich sowohl in einem, als auch in mehreren Rechenzentren befinden. Ein spezieller Web-Service erlaubt es dem Benutzer eigene Firewall-Regeln für seine virtuellen Maschinen zu spezifizieren, ohne damit die Gesamtumgebung zu gefährden. Das Hauptergebnis der Arbeit sind Lösungen, die dazu beitragen die Sicherheit von Grid-Infrastrukturen auf unterschiedlichen Ebenen zu erhöhen. Alle Ansätze werden detailliert mit Design, Implementierung und Evaluation beschrieben und sind als Open-Source-Software frei verfügbar. Eine Zusammenfassung und ein Ausblick auf kommende Forschung schliessen die Arbeit ab.