Основные принципы безопасности в среде VMware Virtual Infrastructure на платформе ESX Server. Часть 1 – виртуальные машины. Основные принципы безопасности в среде VMware Virtual Infrastructure на платформе ESX Server. Часть 1 – виртуальные машины. Автор: Александр Самойленко Дата: 12/02/2009 Поддержите VM Guru! USDT / TRC20, адрес: TCDP7d9hBM4dhU2mBt5oX2x5REPtq9QdU1 Статья:

Некоторые пользователи VMware Virtual Infrastructure предъявляют особые требования к безопасности виртуальной инфраструктуры. В их числе финансовые компании, банки, организации здравоохранения и т.п. Компания VMware очень внимательно подходит к безопасности своих продуктов и имеет несколько сертификатов от организаций, проводящих сертификацию в этой сфере.

Сегодня мы приведем основные принципы безопасности в VMware Virtual Infrastructure 3.5 для виртуальных машин на платформе VMware ESX.

Итак, что рекомендует VMware для обеспечения Security в VI.

1. Правила безопасности для виртуальных машин на ESX.

• Обеспечивайте безопасность виртуальных машин так же, как и физических систем с точки зрения гостевой ОС. Ставьте антивирусы, сетевые экраны и, вообще, воспринимайте их как физические компьютеры.
• Отключите неиспользуемые функции для виртуальных машин. Отключите ненужные виртуальные Floppy-дисководы, CD/DVD устройства, последовательные и параллельные порты. Не используйте монтирование USB устройств, если это не необходимо.
• Будьте очень осторожны с шаблонами. Вредоносный код, размещенный в шаблоне виртуальной машины (Template), может легко распространятся в развертываемых из него виртуальных машинах. Особенно это относится к шаблонам, из которых развертываются виртуальные настольные ПК на платформе VMware View. Non-persistent pools, которые работают на базе одного шаблона, могут быть скомпрометированы всего одним случаем заражения гостевой ОС. Поэтому защита таких сред должна стать приоритетом.
• Опасайтесь предоставления неограниченных ресурсов хоста или кластера виртуальным машинам. Если ресурсы виртуальной машины не ограничены настройками пула (Pool Limit) или индивидуальными настройками (Limit), атака на такую виртуальную машину с целью отказа в обслуживании других систем (DoS-атака) может иметь место. С целью обеспечения безопасности необходимо производить регулярный мониторинг виртуальной инфраструктуры.
• Изолируйте сетевое взаимодействие виртуальных машин с помощью VLAN. Основные принципы функционирования VLAN для виртуальных машин описаны здесь.
• Старайтесь не использовать подключение к консоли виртуальных машин сервера ESX средствами VI Client. Во-первых, средства управления виртуальной машиной через VI Client превосходят по функционалу терминальные службы (например, управление питанием или устройствами). Во-вторых, множество открытых консолей в VI Client существенно влияет на производительность сервисной консоли, а значит и всего сервера ESX.
• Защищайте виртуальные машины не только со стороны сервера ESX, но и что самое важное, со стороны системы хранения. С дискового массива можно целиком унести весь vmdk-диск (или даже пачку виртуальных дисков, если есть доступ к Datastore), после чего запустить украденную виртуальную машину на другом компьютере. То же самое относится и к внедрению вредоносного ПО в виртуальные диски шаблона подобным образом.
• Отключите возможность копирования и вставки из консоли виртуальной машины, если это не требуется. Как это сделать описано в этой статье http://www.vm-guru.com/news/vmware-esx-disable-copypaste/.
• Мониторьте состояние логов виртуальной машины. Потенциальная опасность такова – злоумышленник будет флудить логи виртуальной машины, после чего хранилище сервера ESX может переполниться и, опять-таки, вызвать отказ в обслуживании. Можно отключить логирование виртуальных машин. Для этого в настройках виртуальной машины Выберите Options > Advanced > Configuration Parameters, чтобы открыть диалог ввода расширенных параметров и нажмите кнопку «Add». Добавьте следующий параметр (Name и Value):

  Isolation.tools.log.disable       true

• Не используйте непостоянные (non-persistent) диски для виртуальных машин. С использованием ВМ с таким диском злоумышленник может нанести вред виртуальной инфраструктуре, после чего откатиться к исходному состоянию, что заметет все следы его пребывания.

В следующей статье мы расскажем о принципах Security для самого VMware ESX Server. Следите за обновлениями VM Guru!

Данная статья любезно предоставлена консультантами из компании VMC.