Nie daj się zresetować! Cyber Compliance i Cyber Recovery w VMware VCF

Tak, to jest taki dodatek, który nazywa się Advanced Cyber Security, czyli właśnie dotyczy bezpieczeństwa, ale nie bezpieczeństwa rozumianego tak, Nie wiem, sieciowcy na przykład rozumieją, gdzie są firewallingi, network traffic analysis, advanced threat prevention, tylko to jest takie bezpieczeństwo, które jest definiowane w dużych firmach, regulowanych firmach, Które właśnie potrzebują compliance'u. Takiego compliance'u, który jest nie tylko na papierze, ale taki, który jest sprawdzany. Które potrzebują sprawdzać, czy ten compliance jest utrzymywany na odpowiednim poziomie. Które potrzebują również na przykład disaster recovery i cyber recovery. Za chwilę się rozwinę. No i są jeszcze takie dodatkowe funkcje, które pozwalają zrobić na przykład confidential computing, czyli jak już firmy chcą być bardzo bezpieczne, to na przykład żeby pamięć operacyjna jakiegoś procesu była szyfrowana, czyli takie rzeczy też zapewniamy.

No ale tutaj moim zdaniem krytyczny jest ten compliance, bo pracowałem kiedyś w dużych firmach, dzisiaj też pracuję z dużymi firmami i wiem, że ten compliance to jest zawsze, on jest na papierze, się mówi jakie mają być wymagania, że na przykład hasło ma być zmienione co jakiś czas, Że serwery mają mieć synchronizowane zegary i tak dalej, a po pewnym czasie tak naprawdę w wielkich środowiskach, które mają tysiące VM-ek, czy nawet 100 VM-ek, czy 500 VM-ek, to później upilnowanie, czy rzeczywiście te zasady compliance'u na różnych serwerach, na różnych systemach operacyjnych są przestrzegane, jest niezwykle trudne. Czy na przykład jest najlepszy zestaw patchy, albo najnowszy kernel, to upilnowanie tego jest manualnie właściwie nie do zrobienia. Więc my przygotowaliśmy taki produkt.

Po pierwsze jest design, który ma być taki, żeby to było co do zasady bezpieczne, który ma już kwestię sieciową taką fizyczną, później ma Podział już w obrębie VMware'a, czasami multi tenancy w obrębie VMware'a. Na tym kładzie się zaawansowanego firewall'a, jeżeli chce się pójść krok dalej, czyli już mieć pełną kontrolę i tak naprawdę przejrzystość infrastruktury, możliwość audytowania, sprawdzenia tego od strony infrastruktury. To co dzisiaj, czyli ACC, Advanced Cyber Compliance, to jest Jeszcze wyżej na tym. Czyli kiedy jesteśmy na tyle dojrzałą organizacją, która rozumie, że to co powiedziałeś, compliance w skali jest czymś absolutnie niemożliwym manualnie. Znaczy możemy się oszukiwać.

To jest zawsze rozwiązanie. Zawsze można się oszukać, że jest super. Ale też myślę, że istotą tego poza compliance'a jest to, że możemy robić pewnego rodzaju poza sprawdzeniem, poza takim czystym compliance'em, też kilka dodatkowych funkcji. Co tam jeszcze jest? Zanim przejdziemy do tego compliance'owego szczegółu, co mamy jeszcze w tym pakiecie? No remediation, czyli to co powiedziałeś, czyli jeżeli znajdziemy jakieś odstępstwo od narzuconych sobie zasad compliance'owych, bo chcę powiedzieć, że my jako VMware tam już dajemy pewne gotowe template'y compliance'owe, na przykład czy jesteś zgodny z ISO 27001 albo amerykańskie normy HIPA czy PCI, czyli karty płatnicze.

I myślę, że ten enterprise jest wyrażony skrótem VCF. Jakby uruchomienie tego dodatku ACC będzie możliwe jakby na VCF-ie? I teraz tak, i czy to jest jakby już z paczki, rozumiem, dostajemy te ISO 27000, HIP, PCSSA, tak? To jakby wszystko jest od razu, czyli nie musimy od razu siadać i wiesz, brać książki, zastanawiać się tego, jest już gotowy value proposition już jest podany na stole, nie? Czyli mamy to od razu. Czy ktoś z słuchaczy mógłby sobie zadać pytanie, po co my kupować ACC, czyli Advanced Cyber Compliance, jeżeli SALT, ten produkt, który tak naprawdę tam jest zbudowany pod spodem, jest open source'owym produktem?

Dlatego, że VMware zrobił coś takiego, to jest nasz błąd. My włączyliśmy te funkcje, znaczy powiedzieliśmy tylko licencyjnie, że nie możecie z nich korzystać, ale one są dzisiaj w 9.1, jak zainstalujecie operations, te funkcje macie. Możecie sobie sprawdzić swoje środowisko pod kątem compliance'u i tak dalej, bo te funkcje są włączone, nie wyłączyliśmy tych funkcji, one są. Więc jak ktoś sobie wejdzie w Operations, Protect i tam jest odpowiedni security posture, czyli wejdziecie sobie w takie sprawdzenie, jaka jest wasza postawa security, to tam macie te wszystkie benchmarki gotowe, możecie sprawdzić swoje środowisko. Więc to jest pierwsze, co chcecie, sprawdźcie już dzisiaj. Tak jest, sprawdźcie sobie dzisiaj, macie to po prostu.

To będzie pewnie wyłączone w kolejnej wersji, no bo oczywiście jak ktoś się zorientował, to pewnie wyłączę. Ale druga rzecz jest taka, że my, bo na czym polega to sprawdzenie compliance, że my co jakiś czas odpalamy taki proces w tle i on tam sprawdza te wszystkie tzw. high state, czyli to jest takie pojęcie ze salta, że sprawdza czy wszystko się zgadza albo przetrzesuje całe nasze środowisko. Piotrze, poczekaj, bo to jest ciekawy moment. My zaczęliśmy na samym początku o SaltStacku rozmawiać przed rozpoczęciem tego podcastu. Niektórzy z naszych słuchaczy może nie do końca wiedzą, kto to jest. Jakbyś mógł tu w tym momencie opowiedzieć, trochę zboczyć z kursu.

I ten serwer co jakiś czas przez crontaba wywołuje funkcje i te wszystkie setki czy tysiące minionów odpowiadają mu, co się dzieje. To co zrobił VMware może, to jeszcze tylko dodam, bo możecie sobie zrobić tego salta w swojej firmie przecież open source'owo, to poza tym, że dajemy te wszystkie gotowe już pakiety, o których mówiliśmy, że dajemy tą wartość, czyli już gotowe takie stany, które chcemy sprawdzać, żeby compliance, na przykład ISO i tak dalej, te wszystkie normy, żeby były sprawdzone, to my jeszcze dajemy interfejs graficzny. Bo ja w domu się bawię i to jest linia comment, to jest Python, to jest YAML i to są te wszystkie rzeczy, które się trzeba naprawdę pobawić, żeby to zrobić. To jest złożone, to jest rzeczywiście trzeba tam się już bawić.

Ja myślę, że warte jest rozpoznania SOLT. Jest, tak jak wspominałem na samym początku, dość już taką dojrzałą platformą, to znaczy to nie jest, nie wiem, trzy wersje temu wymyślone przez Broadcom, na rynku jest od czasów Czefa, Papeta, Podczasów początków Ansibla. To jest dość taka dojrzała platforma. Myślę, że warte sprawdzenia, nawet jeżeli nie w kontekście Compliance'a, to w kontekście zastanowienia się, czy przeniesienie workflow'ów deploymentowych na to rozwiązanie nie jest jakąś alternatywą. Mówię, dość nieznane, troszeczkę w tym ferworze VCF-a i tych wszystkich zmian ostatnich dwóch, trzech lat, no to trochę poszło, że tak powiem, w cieniu, tak całej transformacji się przemyka, ale tak jak mówię, czas do tego wrócić. A my wrócimy do tego...

To jest bardzo ważne i te narzędzia mogą być wykorzystywane też jakby w próbie. Bo to, co jest dzisiaj, tak jak mówiłeś przed chwilą, wiele przedsiębiorstw sobie patrzy w lustro i mówi tak, mamy compliance. To tak samo wiele przedsiębiorstw sobie dzisiaj patrzy i mówi tak, jesteśmy gotowi na atak ransomware'owy. Na atak wszyscy są gotowi, na odzysk sobie nie bardzo. No właśnie. No to tutaj możemy również testować, tak samo jak w zwykłym SRM-ie możemy testować te procedury disaster recovery, to tutaj możemy testować procedury cyber recovery, zobaczyć czy to rzeczywiście działa, mieć to przećwiczone, być przygotowanym do tego typu zdarzenia, żeby w chwili prawdy, kiedy rzeczywiście coś złego się stanie, to żeby być na to przygotowanym, żeby móc odtworzyć się do punktu w czasie, kiedy jeszcze nasze środowisko było zdrowe.

...developerom zaplanować, gdzie te swoje workloady, w jakich VPC chcą uruchamiać, bo oni będą już lepiej rozumieli, czy to jest VPC ma być wyizolowana, baza danych, czy może nie. A druga rzecz jest taka. Jeżeli dajemy użytkownikom możliwość tworzenia VM-ek, bo dajemy z automation możliwość tego, stwórz sobie VM-kę z dowolnym systemem operacyjnym i możemy skonfigurować ten system operacyjny, czyli przez sysinit albo przez sysprep albo sysinit możemy sam ten system skonfigurować w momencie instalacji. Ale jeżeli dajemy użytkownikom możliwość stworzenia VM-ek, to możemy być pewni, że te VM-ki czy te systemy nie będą skonfigurowane zgodnie z naszym Compliance-em, bo na pewno ktoś je jakoś nie doda, nie zainstaluje, nie skonfiguruje sieci. Nie jest jego rola już, Piotr, bo też trzeba na to spojrzeć.

Rolą np. dewelopera czy wytwórcy oprogramowania jest generalnie wytwarzanie oprogramowania. On nie ma być administratorem security. Ja myślę, że kluczem tutaj jest to, że świat VCF-owy idzie w tę stronę, w której pozwala ludziom realizować swoje specjalizacje, bo ktoś jest specją od security, ustawia ten compliance cały, wymusza dociągnięcie tego do pewnego poziomu. Nie dramatyczne, bo tu nie mówimy o rzeczach typu odinstaluj połowę softu, mówimy o tym, żeby ustawić Windows Firewall w pewien specyficzny sposób, nie zapomnieć o tym. No i postawienie takich nawet maszyn wirtualnych, bo ja najbardziej się boję, w szczególności w tych takich wdrożeniach, które obserwujemy, nie maszyn wirtualnych z template'ów,

Wiesz, to też strefy są, nie? Tak, dokładnie. Dokładnie, wiesz, to jest strefa, w której można się bawić, ten playzone, nie? I tam możesz sobie robić, co chcesz, no ale w momencie, kiedy przychodzi to w QA, a później w jakiś tam segment produkcyjny, no cóż, no tam są już jakieś zasady, nie? To generalnie, jak się wchodzi do restauracji, to nie powinno się mieć zabłoconych butów, nie? No to jest tego typu rozmowa. Dlatego te narzędzia zaczynają odwzorowywać takie naturalne, Trochę wymaganie już na rynku od kilku lat, bo wiesz, jak ktoś pracował w murze publicznej, choćby AWS-a czy Azure'a, to to tam było i nikt nie zadawał pytań związanych z tym, dlaczego ja nie mogę zdeproyować VM-ki i tu mi wyskakuje informacja, że tam muszę wyłączyć XYZ, nie? To było naturalne. Był Compliance, Sonar Cube bardzo często patrzył w ten pipeline CE i tak mówił, nie, nie, wracaj, wracaj.

Wiesz, to jest takie... Nie wiem. Nie wiem. Dlatego jest ta różnica. SRM jest per VMK chroniona i tam się już wtedy nie interesujemy tymi innymi rzeczami, a tu jest per workload domena i wszystko co jest w tej workload domenie może być disaster recovery, cyber recovery, SALT, compliance i remediation. Czyli to jest, mówię, super workloadów dla takich, które są szczególnie dla nas ważne. Możemy sobie tą jedną workload domenę pokryć licencjami. To jest mega ciekawe, dlatego że w większości designów zrobionych już, powiedzmy, takiej nową szkołą designu, czy tam szkołą tak zwanego niepolskiego VCF-a, tylko normalnego VCF-a, raczej mamy rozdzielność na poziomie workload domeny.