Abwehr von Microsoft Hyper-V-Sicherheitshacks

Wenn es um IT-Sicherheit geht, gibt es diejenigen, die der Meinung sind, dass die Anbieter ihre besten Interessen im Herzen haben, und andere …

die vorsichtiger sind. In virtuellen Umgebungen müssen sich IT-Experten damit abfinden, dass sie der potenziellen Angriffsfläche eine weitere Ebene hinzufügen. Während immer neue Angriffsmethoden entdeckt werden, sind virtuelle Umgebungen aus Sicherheitsgründen erstellt.
In diesem Fall können wir unsere eigenen schlimmsten Feinde sein. Während die Aussparungen der Malware Die Community stützt sich auf bekannte Exploits. Bei den häufigsten Malware-Angriffen ergreifen Benutzer normalerweise Maßnahmen, um ihre eigene Sicherheit zu gefährden. Als Administratoren virtueller Umgebungen lassen wir dies möglicherweise mit weniger als sicheren Konfigurationen zu.

Hypervisor-Exploits aus der realen Welt
Wenn Sie der Meinung sind, dass das Hacken von virtuellen Maschinen nur ein Konzept ist, werfen Sie einen Blick auf den VMware-Breakout-Exploit (CVE-2009-1244), der 2009 eingeführt wurde. Der Hack ermöglichte es einem Angreifer einer virtuellen Maschine oder einer Gastmaschine, aus dem auszubrechen Integrierte Grenzen dieser virtuellen Instanz und Kontrolle über die Host-Maschine. Obwohl es schnell gepatcht wurde, war es immer noch ein verfügbarer Exploit.
Ein weiterer bekannter Hack betraf einen Dienstangriff auf einen nicht gepatchten Windows Server 2008- oder R2-Hyper-V-Host von einer virtuellen Gastmaschine über die Kanäle des virtuellen Busses. Microsoft hat diese Sicherheitsanfälligkeit im Security Bulletin MS 10-102 behoben.
Wichtige Konfigurationsüberlegungen für Hyper-V
Obwohl viele IT-Abteilungen das Patchen von Servern sehr ernst nehmen, kann das Patchen eines virtuellen Hosts schmerzhaft sein. Es kann zeitaufwändig und – wie ich oft festgestellt habe – unmöglich sein, alle Ihre virtuellen Maschinen offline zu schalten oder sie sogar auf ein anderes Hyper-V-Clustermitglied zu verschieben, wenn die Ressourcen überlastet sind. Die Behandlung des Hypervisors als Hardware kann kurzfristige Stabilität bieten, schafft jedoch in Wirklichkeit eine potenzielle Sicherheitslücke. Daher ist das Patchen dieser Ebene von entscheidender Bedeutung.
Exploits und aktuelle Patches sind ein offensichtliches Problem, aber im Moment sind sie möglicherweise die geringste Sorge, da echte Code-Exploits für den Hypervisor noch relativ selten sind. Administratoren setzen häufig ein bestimmtes Maß an Sicherheit oder Trennung in der Virtualisierung voraus, das möglicherweise nicht vorhanden ist, und ignorieren möglicherweise Warnungen und Best Practices, um die tägliche Verwaltung der virtuellen Maschinen zu vereinfachen. Diese schlechten Entscheidungen werden jedoch oft kurz nach ihrer Entscheidung vergessen, und Sie werden diese Fehler erst erkennen, wenn Ihre Systeme angegriffen werden.
Wenn Sie sich auf Microsoft Hyper-V konzentrieren, müssen Sie bei der Ersteinrichtung einige wichtige Schritte ausführen, um Ihren Angriffsvektor zu reduzieren. Zunächst müssen Sie Ihre virtuellen Netzwerke einrichten. Der Hypervisor hostet virtuelle Ethernet-Switches, die auf verschiedene Weise verwendet und verbunden werden können, um mithilfe der Netzwerkkarte in Ihrem übergeordneten Host eine Verbindung zur physischen Schicht herzustellen. Bei einer Fehlkonfiguration können diese virtuellen Verbindungen möglicherweise zu mehreren Problemen führen.
Wenn Sie Ihr Verwaltungsnetzwerk für Ihre Gast-VMs freigeben, ermöglicht der Angriffsvektor einer VM den Zugriff auf das Hyper-V-Verwaltungsbetriebssystem und mit den richtigen Anmeldeinformationen. Greifen Sie auf den Hyper-V-Host zu und Einstellungen oder andere virtuelle Maschinen. Diese Option ist standardmäßig deaktiviert, wird jedoch von zu vielen Administratoren aufgrund der einfachen Verwaltung auf vielen Computern oder der eingeschränkten Verfügbarkeit von aktiviert Netzwerkkarten (NICs). Das Aktivieren dieser Einstellung stellt eine Sicherheitsbedrohung dar, da Sie das Verwaltungsbetriebssystem von jeder von ihm gehosteten virtuellen Maschine aus angreifen können. Verwenden Sie daher immer einen physischen Netzwerkadapter für ein dediziertes Verwaltungsnetzwerk und geben Sie diese Netzwerkkarten niemals für den normalen VM-Verkehr frei.
Sie können Hyper-V auch so konfigurieren, dass VLANs erkannt werden, um den von den verschiedenen Computern kommenden Datenverkehr logisch zu trennen. Dies ist zwar eine wunderbare Methode, um verschiedene Subnetze auf einem einzigen Computer zu mischen und abzugleichen und Cluster-Hosts zu unterstützen, ohne sich um die physische Schicht zu kümmern, aber Sie erhöhen die Sicherheit nicht wirklich. Dies kann an der Oberfläche so erscheinen, da virtuelle Maschinen in separaten VLANs den Datenverkehr ohne Zugriff und ordnungsgemäßes Routing auf der Netzwerkebene nicht sehen können. In Wirklichkeit befinden sich diese Bits jedoch alle auf derselben virtuellen und physischen Leitung, was VLAN-Hacking ermöglicht. Als solche gelten die Regeln, die man in der physischen Welt anwenden würde, auch für die virtuelle Welt.
Dies führt zu meinem nächsten Punkt: Mischen Sie keine Server mit unterschiedlichen Sicherheitsanforderungen auf einem einzigen virtuellen Host. Jeder Server sollte eine grundlegende Sicherheitsstufe haben, die von Ihnen oder Ihrer IT-Abteilung festgelegt wird. Zum Beispiel ein Webserver in einem demilitarisierte Zone (DMZ) hätte eine andere Sicherheit als ein interner Dateiserver. Wenn Sie diesen mit dem Internet verbundenen DMZ-Webserver als risikoreicher als Ihren internen Dateiserver bezeichnen, sollten Sie weder zulassen, dass diese Server auf demselben virtuellen Host vorhanden sind, noch diese beiden Netzwerke auf demselben virtuellen Host zulassen. Dies ist ein weiterer Fall, in dem physische Sicherheitsregeln auch für die virtuelle Welt gelten.
Wenn Sie Microsoft Hyper-V ausführen, sollte auf diesem Host nichts anderes als Hyper-V ausgeführt werden. Allzu oft nimmt ein Administrator einen vorhandenen Server und installiert die Hyper-V-Rolle, um diesen physischen Server zusätzlich zu nutzen. Diese Idee ist in Ordnung, aber Sie können nicht zulassen, dass eine andere Serverfunktion auf dem Host weiterhin vorhanden ist. Verschieben Sie die Anwendung stattdessen auf eine virtuelle Maschine. Ein Exploit im Anwendungscode, der in den meisten Umgebungen häufig schwieriger zu verfolgen und zu patchen ist, könnte den Zugriff auf den Hostcomputer ermöglichen, was dann zu allen virtuellen Gastmaschinen führen würde.
Ein weiterer Ratschlag besteht darin, ein Konto oder eine Gruppe für die Verwaltung virtueller Maschinen zu haben, die sich von denen für Ihre virtuellen Hosts unterscheidet. Wenn ein Exploit auftritt, möchten Sie die Schlüssel für das virtuelle Königreich nicht weitergeben. Stellen Sie außerdem für eine bestmögliche Überwachung sicher, dass Integration Services auf allen Ihren virtuellen Maschinen installiert ist.
Microsoft Hyper-V enthält viele Funktionen zum Schutz Ihrer Systeme, z. B. ASLR (Address Space Layout Randomization), den Prozess für die im Benutzermodus ausgeführten virtuellen Prozessoren und jede VM, die virtuelle Geräte und VM-Busse besitzt. Das größte Problem ist häufig nicht der Hypervisor selbst, sondern der Zugriff auf übermäßig privilegierte Konfigurationen oder Exploits für andere Anwendungen. Verwenden Sie bewährte Methoden, um Ihre Patches und Netzwerke getrennt zu halten und die schwerwiegenderen Bedrohungen für Ihre virtuelle Umgebung zu vermeiden.
Sie können SearchWindowsServer.com auf Twitter folgen @ WindowsTT.
ÜBER DEN AUTOR
Eric Beehler ist seit Mitte der 90er Jahre in der IT-Branche tätig und hat schon lange zuvor mit Computertechnologie gespielt. Derzeit bietet er Beratung und Schulung durch sein Miteigentum an Consortio Services, LLC an.

Similar Posts

Leave a Reply