Виртуализация в России — 2025: чем заменить VMware vSphere 7?

Сегодня виртуализация стала неотъемлемой частью российского ИТ-рынка. При этом, согласно исследованию ИБ-вендора «Код Безопасности», 78% организаций РФ выбирают отечественные средства виртуализации. В каком состоянии сейчас этот сегмент рынка и как защищены современные виртуализированные платформы?

1. Введение
2. zVirt + SDN: точечный подход
3. vGate: принципы защиты виртуализированных платформ
4. zVirt + vGate: устойчивость и безопасность
5. Выводы

Введение

В 2022 году о своем уходе из России заявило большое количество самых разных западных вендоров ПО. Не стал исключением и гигант виртуализации VMware, чьими продуктами активно пользовались российские компании. Американская корпорация была безусловным лидером сегмента, поэтому ее «самоотвод» стал весьма серьезной проблемой для отечественного бизнеса.

За почти четыре года отечественный рынок пришел к определенной консолидации. На данный момент в реестре российского ПО находятся 92 продукта по виртуализации, при этом самая большая инсталляционная база сформировалась у решения zVirt (разработчика Orion soft). По итогам 2025 года вендор ожидает увеличение количества хостов до 21 тысячи.

При этом VMware все еще сохраняет свою долю, поскольку ряд организаций нашел выход из ситуации и продолжил пользоваться продуктами вендора через юрлица, зарегистрированные в граничащих с Россией государствах. Но момент, когда рука регуляторов дотянется и до этого сегмента, не за горами. Кроме того, существуют отдельные требования ФСТЭК России к безопасным средам виртуализации (приказ № 187), а также меры по защите виртуализации, предусмотренные требованиями ФСТЭК России к государственным информационным системам, значимым объектам критической информационной инфраструктуры и системам, обрабатывающим персональные данные.

Свою лепту вносит и та же VMware, которая объявила 2 октября этого года о прекращении поддержки седьмой версии VMware vSphere — этот продукт используют около 80% компаний, продолжающих работать на зарубежном ПО виртуализации. То есть прекратится и техническая поддержка этой версии, и выпуск обновлений для неё, включая патчи.

Таким образом, перед всеми эксплуатантами виртуализированных систем, в особенности использующих продукты VMware, остро встаёт вопрос безопасности. И дело не только в использовании каких-либо несертифицированных или зарубежных средств, но и в том, что многие организации подходят к защите виртуальных ИТ-инфраструктур как к физическим серверам. Между тем существуют уникальные, характерные только для этого сегмента риски, которые могут привести не только к остановкам в работе, но и к тотальному краху всей системы управления и перехвату контроля над инфраструктурой злоумышленниками.

zVirt + SDN: точечный подход

Реализованная в zVirt технология виртуализации сетей — SDN — сегодня актуальна для компаний, у которых сложился так называемый «зоопарк» решений. Частая ситуация: до 2022 года в инфраструктуре преобладали западные продукты разных производителей, затем в ходе импортозамещения появляются российские, тоже от различных разработчиков. Это касается не только программных продуктов, но и оборудования.

Такими гетерогенными средами, в которых сочетается множество разнородных аппаратных продуктов, сложно управлять. Например, настроить все необходимые доступы к инфраструктуре — уже очень комплексная задача. Необходимо заходить в консоли каждого устройства, прописывать правила маршрутизации и доступа для каждого «куска» сетевой инфраструктуры. Это чревато ошибками, особенно в крупных инфраструктурах на десятки и сотни хостов.

Эту проблему и решает функция управления виртуальными сетями. SDN реализует на программном уровне все задачи по маршрутизации на базе единых политик. В итоге на каждом сервере — в частности, на сервере с управлением — появляется централизованное хранилище настроек: все политики и доступы распределяются из одной консоли. Это упрощает массовые операции, когда, например, необходимо раздать доступы большому количеству сотрудников или отозвать их. С точки зрения информационной безопасности SDN также повышает прозрачность процессов управления инфраструктурой, так как все данные логирования собираются в одном месте.

Одна из основных функций SDN в zVirt, которая помогает защитить инфраструктуру от кибератак, — микросегментация. Это технология, которая позволяет разделить сеть на большое количество атомарных сегментов, изолировать их и централизованно назначить правила доступа к ним. Она необходима компаниям с масштабной, иногда распределенной инфраструктурой, где может быть несколько юрлиц, так как позволяет предотвратить распространение атаки даже в случае, если злоумышленник смог проникнуть в корпоративный контур.

В рамках SDN для каждой виртуальной машины на уровне сетевого порта можно назначить, по каким протоколам, с каких виртуальных машин и сетей к ней разрешён доступ на вход и выход. Так формируются правила микросегментации, которые с помощью SDN можно создавать массово. При этом изначально рекомендуется использовать Zero Trust — принцип изначальной закрытости и «нулевого» доступа к каждому сегменту. SDN является важным компонентом реализации Zero Trust по отношению к сети: комбинация этого принципа и микросегментации на уровне каждой ИТ-системы обеспечивает высокий уровень защиты инфраструктуры от несанкционированного доступа. 

vGate: принципы защиты виртуализированных платформ

Как мы уже говорили, платформы виртуализации можно защищать с помощью классических для «физики» средств безопасности, однако это крайний случай. Проблема в том, что такие продукты не учитывают специфику «виртуалки».

Физические межсетевые экраны:

• имеют ограничения по производительности;
• разработаны для работы с физической инфраструктурой;
• усложняют архитектуру сети.

Виртуальное исполнение межсетевых экранов:

• те же ограничения что и у физических МЭ;
• ограниченно масштабируются лишь за счёт добавления ресурсов виртуальной машине.

Решением для функций анализа трафика и сохранения нужной пропускной способности выступает межсетевой экран уровня гипервизора.

Межсетевой экран уровня гипервизора:

• создаётся специально под особенности сред виртуализации, поэтому «понимает» не только IP-адреса, но и внутренние идентификаторы виртуальных машин;
• сохраняет установленные правила и политики при переезде виртуальной машины с одного физического хоста на другой;
• не влияет на сетевую топологию и не является бутылочным горлышком для сетевого трафика.

Именно межсетевой экран уровня гипервизора используется в продукте vGate от «Кода Безопасности». Такой подход позволяет упростить администрирование и снизить расходы на эксплуатацию, а также дает возможность легко масштабироваться, и уже неважно, насколько разветвлённой будет ИТ-инфраструктура.

Особую ставку разработчики vGate сделали на необходимую для сетей, в особенности тех, что построены на технологиях SDN, микросегментацию. Как правило, одну из самых больших угроз несет горизонтальное распространение хакеров по виртуализированной сети. Ведь проблема в том, что организации часто фокусируются на защите внешнего периметра, но как только злоумышленники пройдут за него, дальнейшее их распространение практически ничем не ограничено.

В vGate же предусмотрена распределенная архитектура и динамическое создание политики безопасности, при этом каждый компонент фильтрации хранит список всех правил МЭ, что не только повышает эффективность защиты, но и обеспечивает корректную миграцию виртуальных машин.

Преимуществом vGate также является сертификация по требованиям ФСТЭК России к межсетевым экранам типа «Б», что позволяет использовать vGate для создания сегментов государственных информационных систем и значимых объектов КИИ в средах виртуализации.

Помимо межсетевого экрана, в vGate реализован еще ряд защитных функций, которые помогут повысить безопасность виртуальных инфраструктур, построенных на базе отечественной среды виртуализации:

• Ролевая модель управления доступом, реализованная по требованиям приказа ФСТЭК России № 187. Строгое распределение ролей (разработчик виртуальных машин, администратор средства виртуализации, администратор виртуальной машины, оператор виртуальных машин) позволяет исключить избыточный доступ к данным и обеспечить предсказуемое управление доступом.
• Доверенная загрузка и контроль целостности виртуальных машин. Обеспечивает гарантию подлинности и неизменности VM-образов.
• Затирание, гарантирующее отсутствие остаточной информации об обрабатываемых данных на жестких дисках после удаления ВМ.
• Контроль действий администраторов виртуальной инфраструктуры. Обеспечивает подтверждение критически значимых действий над виртуальными машинами и независимый аудит действий администраторов.

В контексте использования только сертифицированных средств защиты в органах власти стоит отметить, что vGate имеет сертификацию по требованиям ФСТЭК России:

• 4-й уровень доверия;
• 4-й класс защиты МЭ типа «Б»;
• 5-й класс защищённости СВТ.

Благодаря этому набору, данное СЗИ можно использовать для защиты систем персональных данных, государственных информационных систем, а также значимых объектов критической информационной инфраструктуры.

zVirt + vGate: устойчивость и безопасность

За несколько лет импортозамещения российские вендоры смогли занять ниши ушедших западных игроков в большинстве сегментов. Причём на сегодняшний день, как отмечают организации-эксплуатанты, в ряде направлений они не только соответствуют стандартам, но и где-то превосходят западные аналоги.

С виртуализацией, с одной стороны, все сложнее, а с другой, в чем-то проще. Сложность заключается в том, что замена такого гиганта, как VMware — задача не из тривиальных. Но российским разработчикам не надо делать кальку этого продукта — можно сосредоточиться на своих сильных сторонах, а для создания полноценного решения привлечь других лидеров рынка.

По этому принципу и произошло объединение zVirt и vGate. Продукт Orion soft предоставляет созданную по технологиям SDN виртуализированную платформу, о чьих преимуществах мы уже говорили, а СЗИ от «Кода Безопасности» дает дополнительную защиту. При этом vGate может использоваться и как наложенное средство безопасности, и как дополнительный механизм микросегментации. В этом случае сетевой трафик будет ориентироваться на ограничения и от vGate, и от zVirt. Например, если правила платформы разрешают обращение трафика к какому-либо сервису, а vGate нет, тогда доступ будет запрещен.

Среди других ключевых преимуществ комбинированного применения vGate и zVirt:

• выполнение требований ФСТЭК России по микросегментации сети;
• соответствие требованиям по КИИ и ГИС;
• усиленная аутентификация;
• использование МЭ без ограничений по производительности;
• большое количество инструментов безопасности.

Напомним, что интеграция между двумя продуктами была достигнута более года назад.

Выводы

Согласно исследованию iKS-Consulting и «Кода Безопасности», ежегодно объём рынка виртуализации будет расти более чем на 20% и к 2030-му достигнет около 50 млрд рублей. Этому, по мнению аналитиков, помимо темпов импортозамещения будет способствовать потребность крупного российского бизнеса и промышленности в обновлении инфраструктурного ПО, поскольку жизненный цикл имеющихся решений постепенно подходит к концу.

Таким образом, организациям РФ уже сейчас необходимо озаботиться изучением рынка и проведением пилотных проектов, которые позволяют оперативно мигрировать в облака в случае надобности.

При этом очевидно, что текущее геополитическое противостояние к этому моменту по-прежнему будет играть важную роль. Если в политическом плане государства могут прийти к консенсусу, то торговые отношения имеют определенную инерцию, и «жить, как прежде» уже не получится: даже при условии возвращения западных вендоров, в том числе поставщиков виртуализированного ПО, они не смогут занять прежние позиции.

Во-первых, никто не станет снова перекраивать инфраструктуру, при том, что надёжность иностранных разработчиков отныне будет под вопросом; во-вторых, постепенное ужесточение требований регуляторов сделает невозможным использование западного ПО в критически важных для государства компаниях. Третий серьёзный фактор: в последние несколько лет российские вендоры сделали особую ставку на взаимную интеграцию продуктов как из своего портфеля, так и из арсенала других игроков рынка. 

Уже сейчас разработчики предоставляют заказчикам обкатанные технологические стеки, которые можно быстро внедрить в ИТ-инфраструктуру. Дальнейшее усиление этого тренда станет сильным преимуществом отечественных вендоров перед возможными западными интервенциями.