Новости Статьи VMware Veeam StarWind vStack Microsoft Nakivo Citrix Symantec События Релизы Видео Контакты Авторы RSS
Виртуализация и виртуальные машины

Все самое нужное о виртуализации и облаках

Более 6150 заметок о VMware, AWS, Azure, Veeam, Kubernetes и других

VM Guru | Ссылка дня: Какие есть версии и номера билдов VMware vCenter, ESXi, Tools и Connection Server?

Интересное видео: Threat Investigation with VMware ATP


Слишком большое количество оповещений и ложных срабатываний является одним из ключевых препятствий, мешающих организациям наладить эффективный мониторинг и противодействие угрозам в области информационной безопасности.

VMware Advanced Threat Prevention в составе решения VMware NSX предоставляет уникальную распределенную архитектуру, которая не требует перестройки сети, использования зеркалирования портов и ТАР (Traffic Access Point) или сенсоров для получения полной видимости горизонтального трафика. Решение дает полную видимость потока, а также контекст эндпоинтов, с использованием искусственного интеллекта и машинного обучения для обнаружения аномалий. Кроме того в VMware ATP есть система оценки и анализа корреляции для проведения аудита безопасности с набором согласованных и готовых к применению кампаний, позволяющих организациям сосредоточиться на угрозах, которые действительно влияют на их среду и игнорировать фоновый шум.

В этом демонстрационном видео рассматривается, как система безопасности VMware NSX (с встроенными функциями предотвращения продвинутых угроз и возможностями обнаружения и реагирования в сети) может обнаруживать и локализовывать сложные угрозы, использующие множество тактик и техник, применяемых в современных кампаниях по вымогательству и взлому.


Таги: VMware, ATP, Security, NSX, Video

Базовые уровни безопасности (security baselines) в macOS Security Compliance Project и Workspace ONE


Определенные типы организаций обязаны настраивать протоколы безопасности своих конечных точек в соответствии с определенными стандартами и бенчмарками, такими как Standards and Technology (NIST) и Center for Internet Security (CIS). Некоторые организации выбирают соответствие этим стандартам просто потому, что это хорошая проверенная практика.

Проект macOS Security Compliance Project (mSCP) является инструментом с открытым исходным кодом, который позволяет администраторам создавать профили безопасности на основе этих стандартов, настраивать их в соответствии с конкретными потребностями их организации, чтобы дальше импортировать их в решение Workspace ONE. Используя эту интеграцию, администраторы могут упростить развертывание и управление своими профилями безопасности, увеличивая общую защищенность их парка устройств на базе macOS.

Преимущества использования mSCP

mSCP предоставляет полный набор руководств по безопасности на основе объединенных знаний и лучших практик отрасли, а также собственной документации по безопасности Apple. Инструмент включает поддерживаемые базовые настройки от организаций, включая упомянутые NIST и CIS, а также Defense Information Systems Agency (DISA) и Committee on National Security Systems Instruction (CNSSI). Используя mSCP, организации могут установить базовую конфигурацию безопасности, которая соответствует стандартам, тщательно разработанным этими структурами для защиты их устройств macOS от угроз и уязвимостей.

Некоторые из ключевых преимуществ mSCP - гибкость и надежность. Поскольку администраторы могут задавать различные настройки базовых уровней, им относительно легко найти правильный баланс между более высоким уровнем безопасности и удобством использования для конкретных потребностей их компании. Что касается надежности, mSCP регулярно обновляется для имплементации последних руководств по безопасности от Apple, помогая организациям опережать появление новых угроз.

Улучшение развертывания с помощью Workspace ONE

Workspace ONE предлагает простой способ развертывания и управления профилями безопасности, сгенерированными с помощью mSCP. Функциональность загрузки профиля в Workspace ONE позволяет администраторам напрямую загружать профили .mobileconfig от mSCP через консоль Workspace ONE.

Эта интеграция упрощает процесс развертывания, позволяя администраторам быстро и эффективно применять конфигурации безопасности к своим устройствам macOS. Более того, Workspace ONE предоставляет мощные возможности управления, такие как проверки соответствия и возможности удаленного стирания контента, обеспечивая безопасность устройств на протяжении всего их жизненного цикла.

Если вы хотите немедленно начать этот процесс, вы можете прочитать операционное руководство, которое поможет с первыми шагами: Enforcing macOS Security Compliance Project Baselines: Workspace ONE Operational Tutorial.

Дополнительные ресурсы:


Таги: VMware, Apple, macOS, Workspace ONE, EUC, Security

VMware Project Cypress - помощник для поиска сетевых уязвимостей и решения проблем на базе генеративного AI


В прошлом году на конференции Explore 2023 компания VMware рассказала об очень интересном продукте - Project Cypress (сейчас он работает на базе возможностей Intelligent Assist). Это решение позволяет интегрировать генеративный AI в решения по безопасности VMware, выступая в роли копилота при расследовании инцидентов информационной безопасности.


Таги: VMware, GenAI, Cypress, Security

Метод Хольта-Винтерса и обнаружение аномалий средствами решения VMware Avi Load Balancer


Администраторам приложений и сети необходимо иметь возможность идентифицировать, понимать и реагировать на изменения в операционных условиях своих облачных приложений и структуре операций в центрах обработки данных. Любые изменения в операционных процедурах могут быть критическими, поскольку они могут нести бизнес-риски. С другой стороны, некоторые из этих отклонений могут быть предвестниками позитивного роста.

Поэтому обнаружение аномалий является важным и может дать интересные инсайты. Рассмотрим следующие сценарии:

  • Поставщик облачных услуг хочет знать о любых изменениях в инфраструктуре, таких как отказы ресурсов или избыточный входящий/исходящий сетевой трафик.
  • Команда информационной безопасности хочет знать о необычных шаблонах поведения пользователей.
  • Компания управления розничными продажами хочет знать о событиях/скидках, которые действительно вызывают всплески покупок товаров.

Выявление аномалий во всех этих случаях требует создания моделей поведения, которые могут автоматически выявлять и корректировать критерии различия между нормальным и аномальным. Поведенческая модель опирается на поведение данных. Хорошо построенная модель может не только помочь идентифицировать и квалифицировать всплески, но и облегчить прогнозирование. Обратите внимание, что простой подход с использованием статических порогов и предупреждений непрактичен по следующим причинам:

  • Масштаб операционных параметров: существует более тысячи сетевых, инфраструктурных и прикладных метрик, необходимых для анализа операций облачного приложения.
  • Слишком много ложных срабатываний или ложных пропусков: если пороги слишком жесткие, может быть слишком много ложных срабатываний. Если они слишком расслаблены, реальные аномалии могут быть упущены.

Чтобы учитывать операционные ограничения в вышеуказанных сценариях, VMware добавила еще одну технику поведенческого обучения в свой арсенал - алгоритм для выявления аномалий в сезонных временных рядах.

Алгоритм Хольта-Винтерса

Алгоритм Holt-Winters (HW), разработанный Хольтом и Винтерсом, помогает построить модель для сезонного временного ряда (например, с учетом суточной сезонности). Эта техника улучшает существующие средства обнаружения аномалий Avi Load Balancer, которое использует алгоритм экспоненциально взвешенного скользящего среднего (EWMA). Если EWMA звучит непонятно, то для быстрого освежения памяти хорошо подходит учебник "Прогнозирование: принципы и практика". По сути, EWMA тесно следует за кривой данных, однако он работает так, что периодические компоненты данных просто игнорируются. Этот момент учитывается при декомпозиции сигнала алгоритмом Хольта-Винтерса. Для сравнения прогностических моделей двух алгоритмов рассмотрим интервалы прогнозирования 80% и 95% EWMA и HW при применении к одним и тем же данным.

Для повышения точности не должно быть игнорирования сезонности входного ряда данных. Алгоритм Хольта-Винтерса работает путем разбиения указанного временного ряда на три компоненты:

  • Уровень: Можно представить как усреднение входного сигнала.
  • Тренд: Представляет собой наклон или общее направление движения данных.
  • Сезонность: Отражает периодичность данных.

На рисунке ниже представлены три составляющие временного ряда (под основным сигналом), который мы прогнозировали выше:

Временной ряд может иметь аддитивную/мультипликативную тенденцию/сезонность. Для простоты в данной статье мы предполагаем применение алгоритма Хольта-Винтерса к временному ряду с аддитивной тенденцией и аддитивной сезонностью (additive-trend-additive-seasonality, HW-AA), так как это ближе к факторам в реальной жизни. Для такого ряда компоненты тренда и сезонности увеличиваются линейно и суммируются, чтобы составить точки данных на прогрессирующих временных срезах. Временной ряд представлен следующим образом:

Где отдельные компоненты вычисляются следующим образом:

Обратите внимание, что каждое уравнение компоненты по сути представляет собой расчет в стиле EWMA. Для дальнейшего понимания обратитесь к книге "Прогнозирование: принципы и практика".

Несколько слов о параметрах сглаживания alpha, beta, gamma. Как общее руководство, инженеры используют уравнение для определения параметров сглаживания, как это рекомендуется в статье "Обнаружение аномалий во временных рядах для мониторинга сети".

Это уравнение подчеркивает, какую важность мы хотим придать историческим данным. Например, в Avi, когда применяется алгоритм HW к метрике, представляющей пропускную способность приложения, вес 95% придается сэмплам (с интервалам 5 минут) за последний час. Подставим эти значения в уравнение выше:

Эта схема применима и к другим параметрам сглаживания. Обратите внимание, что, как видно из уравнений выше, объем памяти, потребляемый алгоритмом HW, пропорционален сезонному периоду. В контексте аналитического движка Avi это означает занимаемый объем памяти размером 96 КБ на метрику. Поэтому из тысячи метрик, анализируемых Avi, VMware внимательно балансирует применение алгоритма HW только к наиболее значимым сезонным метрикам, не перегружая операции.

Для оценки нашего выбора параметров для встраиваемой реализации алгоритма HW мы сравниваем прогнозные значения с уже известным временным рядом. Вот результат:

По оси X отложено время t, а по оси Y - соответствующее значение выборки данных. График представляет собой сравнение исходных и прогнозируемых значений, а также обозначает интервалы прогнозирования с доверительной вероятностью 95%. Легко заметить, что исходные и прогнозируемые данные довольно хорошо совпадают.

Аналитический движок Avi применяет несколько методов обнаружения аномалий к одному временному ряду. Как описано выше, эти методы обнаружения используют варианты EWMA и HW. Таким образом, результаты каждой модели подвергаются режиму консолидации ALL или ANY, где либо все результаты должны согласиться с решением (о маркировке точки данных как аномальной) или же достаточно и одного. Выбор режима консолидации зависит от баланса между ложноположительными и истинными результатами. В режиме ALL ожидаются более частые ложноположительные результаты с более точными истинными, так как диагностика хотя бы одной моделью достаточна для пометки выборки данных как аномальной. В отличие от этого, режим ALL требует единогласного решения алгоритмов, что требует большей уверенности в маркировке выборки данных. Следовательно, это делает более сложным пометку правильных данных как аномальных (соответственно, меньше ложноположительных, но и меньше истинных результатов). В рамках этого подхода VMware предустанавливает режимы в зависимости от конкретной метрики, основываясь на опыте наблюдений.

Вот преимущества подхода Avi:

  • Inline - это встроенная функция контроллера доставки приложений (Application Delivery Controller, ADC), она не требует дополнительных настроек или использования стороннего программного обеспечения.
  • Быстрый и действенный - обнаружение аномалий выполняется в реальном времени, а администраторам предоставляются средства по автоматизации их обработки (например, добавление ресурсов). Администраторам не нужно вручную блокировать клиентов, запускать новый сервер или увеличивать ёмкость на основе прогнозов использования ресурсов и т. д.
  • Интеллектуальный - машинное обучение операционным шаблонам и поведению позволяет аналитическому движку Avi принимать лучшие решения по обнаружению аномалий, прогнозированию нагрузки, планированию эластичной ёмкости и т. д.

Как отмечалось ранее, вы можете использовать модель не только для идентификации аномалий, но и для прогнозирования результатов в будущем. Фактически, прогностические модели используются аналитическим движком Avi для автомасштабирования ресурсов. Это требует оценки метрик, которые могут иметь суточный или другой сезонный характер. Таким образом, прогнозируемую ёмкость теперь можно использовать для масштабирования ресурсов приложений вверх/вниз, что значительно оптимизирует затраты.

В Avi постоянно улучшают эту технологию, разрабатывая и интегрируя все более интеллектуальные методы. Помимо интеграции Хольта-Винтерса в систему обнаружения аномалий, также разрабатываются модели, использующие теории машинного и глубокого обучения. Входные данные от таких новых концепций и технологий продолжают обеспечивать высокое качество моделирования.


Таги: VMware, Avi, Networking, Security, Sizing

Сессия VMware Explore 2023 - лучшие практики по защите и укреплению виртуальной инфраструктуры


В рамках сессии Best Practices for Hardening Your VMware Infrastructure на конференции VMware Explore 2023 был рассмотрен подход к комплексному обеспечению безопасности и активной защите виртуальной инфраструктуры:

Вот ключевые моменты, рассмотренные в видео выше:

1. Оцените ваше текущее состояние безопасности - крайне важно оценить вашу текущую позицию в плане безопасности, чтобы определить недостатки и уязвимости. Эта оценка должна включать анализ угроз, уязвимостей, рисков, требований комплаенса и эффективности существующих мер безопасности. Рекомендуемая частота такой оценки — раз в два года или при наступлении крупных изменений в архитектуре ИТ-среды.

2. Определите вашу стратегию кибербезопасности на будущее - после оценки вашего текущего состояния безопасности важно определить вашу будущую стратегию кибербезопасности. Это включает в себя выявление пробелов в текущей системе безопасности и разработку рекомендаций по их устранению и снижению рисков. Результатом этого процесса должен стать план действий для достижения вашего целевого состояния и обеспечения соответствия регулирующим требованиям и стандартам.

3. Укрепите вашу среду VMware - реализация лучших практик безопасности является ключевым элементом для укрепления виртуальной инфраструктуры. Это включает отключение ненужных сервисов, применение патчей безопасности, настройку брандмауэров и внедрение шифрования. Следуя этим лучшим практикам, вы можете улучшить контроль доступа, усилить сетевую безопасность, сократить поверхность атаки, обеспечить лучшую производительность и упростить соответствие требованиям.

4. Результаты оценки включают план достижения вашего целевого состояния - процесс оценки должен привести к разработке плана достижения вашего целевого состояния. Этот план должен включать рекомендации по устранению и снижению рисков, а также дорожную карту для решения любых выявленных пробелов. Следуя этому плану, вы можете улучшить вашу общую позицию в области безопасности и обеспечить соответствие регуляциям и лучшим практикам отрасли.

5. Оценки безопасности должны охватывать всю ИТ-экосистему - при проведении оценки безопасности важно охватить всю ИТ-экосистему. Это включает оценку безопасности инфраструктуры, безопасности виртуальных машин и приложений, соответствия требованиям, восстановления после аварий и непрерывности бизнеса, а также управления, рисков и соответствия (governance, risk, and compliance - GRC). Оценивая эти области, вы можете гарантировать, что ваша вся ИТ-инфраструктура безопасна и устойчива.

6. VMware предоставляет ресурсы для защиты вашей инфраструктуры - VMware предлагает ряд ресурсов, которые помогут вам в процессе защиты среды. К ним относятся руководства по защите, комплекты соответствия, руководства по технической реализации безопасности, руководства по аудиту и применимости продуктов, порты и протоколы брандмауэра VMware, а также советы по безопасности. Эти ресурсы предоставляют предписывающее руководство, руководства по реализации и актуальную информацию о лучших практиках безопасности. Большую часть этих материалов можно найти тут.

Полный список видеодокладов VMware с конференции Explore 2023 представлен здесь.


Таги: VMware, Explore, Security, Enterprise

Интересная сессия VMware Explore 2023 - как защитить VMware ESXi и vCenter от программ-вымогателей (Ransomware)


Ransomware стало настоящей напастью последних лет - выплаты компаний злоумышленникам, зашифровавшим данные и держащим их в заложниках, перевалили за миллиард долларов в прошлом году (и это только то, что известно). Серверы VMware ESXi и vCenter, являющиеся основными компонентами инфраструктуры vSphere, представляют главную мишень для атак Ransomware.

В рамках конференции VMware Explore Europe 2023 прошла интересная сессия, где рассматривались примеры из реального мира по борьбе с программами-вымогателями, а также обсуждались проактивные методики, которые позволят избежать атаки или минимизировать последствия:

Вот основные выводы, которые суммаризуют выступление выше:

1. vSphere является привлекательной целью для атак программ-вымогателей, что делает крайне важной защиту вашей среды vSphere от таких угроз.

2. Важно провести различие между защитой рабочих нагрузок (виртуальные машины, серверы, клиенты, AD) и защитой инфраструктурной платформы (vSphere, хранилище и т.д.), поскольку каждое требует различных мер безопасности. Эти аспекты должны быть отделены друг от друга.

3. Понимание путей атаки, ведущих к появлению программы-вымогателя в инфраструктуре vSphere, является ключевым. Эти пути включают начальный доступ, использование Active Directory и различные способы добраться и атаковать vCenter Server и ESXi.

4. Восстановление среды vSphere после атаки не должно включать в себя выплату выкупа. Платеж атакующим увеличивает риск будущих атак и не гарантирует полного решения проблемы.

5. Наличие и целостность резервных копий критически важны для восстановления. Важно обеспечить, чтобы резервными копиями нельзя было манипулировать и что их можно было успешно восстановить.

6. Очистка и восстановление скомпрометированных компонентов, таких как виртуальные машины, vCenter Server и хосты ESXi после атаки, требует тщательного рассмотрения и технического анализа (форензика).

7. Для защиты vSphere от атак должны быть предприняты несколько мер, включая сегментацию vSphere от рабочих нагрузок и клиентов, использование EDR/XDR/SIEM для конечных точек и vSphere, установку обновлений безопасности и следование рекомендациям по защите платформы vSphere.

8. Предотвращение выполнения стороннего кода в ESXi может быть достигнуто через настройки, такие как execInstalledOnly, которые предотвращают выполнение нежелательных файлов и скриптов.

9. UEFI Secure Boot может использоваться для проверки целостности файлов загрузки и ядра ESXi, что защищает от угроз с использованием неподписанных VIB.

10. Деактивация доступа к Shell для не-root пользователей ESXi может предотвратить боковое движение от vCenter к ESXi, что является важной мерой для остановки или замедления атакующего.


Таги: VMware, vSphere, Ransomware, ESXi, vCenter, Security

VMware Cloud Disaster Recovery - что нового в последнем релизе?


Борьба с программами-вымогателями и готовность к восстановлению после катастроф продолжают оставаться в приоритете для CIO по всему миру - число атак программ-вымогателей стремительно растет, требования к соблюдению нормативов вынуждают организации внедрять меры по обеспечению аварийного восстановления инфраструктуры.

VMware предлагает предприятиям готовые возможности, чтобы удовлетворить потребности современного бизнеса за счет новых функций в решениях VMware Cloud Disaster Recovery и VMware Ransomware Recovery. VMware Ransomware Recovery for VMware Cloud Disaster Recovery предлагает уверенное восстановление от критических угроз, быстрое восстановление с помощью управляемой автоматизации и упрощенные операции восстановления. Это полностью управляемое решение Ransomware Recovery as-a-Service, которое позволяет безопасно восстанавливаться от современных программ-вымогателей через поведенческий анализ включенных рабочих нагрузок в изолированной среде восстановления (IRE) в облаке.

На днях компания VMware выпустила обновленную версию Cloud Disaster Recovery с функциями Ransomware Recovery. Давайте посмотрим, что нового стало доступно пользователям в этом феврале:

1. 15-минутное RPO с частыми снимками

Потеря доступа организации к некоторым (или всем) данным может обойтись в миллионы упущенной выручки, повреждении репутации бренда и штрафах за несоблюдение нормативных требований - и это лишь некоторые из возможных последствий. По этой причине минимизация потерь данных при восстановлении давно является ключевой задачей, особенно в крупных организациях или в сильно регулируемых отраслях. Чтобы решить эту важную проблему, VMware Cloud DR и VMware Ransomware Recovery теперь поддерживают 15-минутное RPO (требование к контрольной точке восстановления), которое предоставляет клиентам большую гибкость и выбор. Эта техника позволяет делать до 96 снимков в день и поддерживает приостановку работы приложений для обеспечения их согласованности. В сочетании с глубокой историей неизменяемых точек восстановления, сохраненных в Cloud Filesystem, это предоставляет клиентам больший выбор в частоте и политиках хранения снимков. Такая гибкость важна для достижения баланса между готовностью к восстановлению и общей стоимостью владения инфраструктурой.

2. Запуск рабочих нагрузок в облаке

В случае инцидента с программой-вымогателем защищенный сайт может оставаться недоступным в течение длительного периода; например, могут проводиться исследования правоохранительными органами, или сайт еще может быть небезопасен для восстановления, поскольку он не был восстановлен и исправлен. Начиная с сегодняшнего дня, клиенты будут иметь возможность продолжать работу с очищенными виртуальными машинами в восстановленном SDDC в облаке до тех пор, пока производственный сайт не будет полностью защищен, и угрозы не будут устранены.

3. Transit Connect для репликации, переключения на резерв и возврата к исходному сайту

Расширенная поддержка Transit Connect обеспечивает улучшенную безопасность сети для клиентов, которые не могут передавать данные по общедоступным сетям из-за требований комплаенса или просто желают минимизировать риски передачи. С этим улучшением передача данных для репликации, переключения на резерв (failover) и возврата (failback) осуществляется через защищенную частную сеть, полностью изолированную от общедоступного интернета. Трафик автоматически шифруется в состоянии покоя и в процессе передачи, а правила брандмауэра на облачном шлюзе в сочетании со списками доступа на стороне VMware Cloud DR добавляют слой безопасности.

4. Улучшенное сетевое подключение

VMware Cloud DR и VMware Ransomware Recovery теперь позволяют клиентам изолировать DR-сеть от той, что используется для тестирования и восстановления. Наличие DR-сети, полностью отделенной от сети изолированной среды восстановления (Isolated Recovery Environment, IRE), предотвращает перемещение киберугроз в SDDC-датацентр восстановления, которые могли бы заразить рабочие нагрузки, если они работают в одной и той же среде. Сегментация сети, создаваемая на уровне NSX в резервном SDDC, теперь является опцией конфигурации плана DR. VMware Cloud DR и VMware Ransomware Recovery будут использовать NSX Compute Gateway для указания отдельных сетей, что позволяет операциям DR и восстановления проводиться одновременно и безопасно в одном и том же SDDC. Это также позволяет клиентам консолидировать инфраструктуру сайта восстановления без риска заражения рабочих нагрузок.

Более подробно о новых возможностях VMware Cloud Disaster Recovery можно прочитать в Release Notes.


Таги: VMware, Cloud, DR, Ransomware, Security, Update

Принцип работы технологии шифрования VMware vSAN Encryption


В блоге VirtualPad появилась интересная статья о технологии VMware vSAN Encryption. Шифрование vSAN поддерживает и гибридные, и All-Flash кластеры vSAN. Это относится к архитектуре OSA, поскольку ESA поддерживает только All-Flash для всего пула хранения.

Сейчас поддерживаются следующие методы шифрования vSAN: шифрование данных в состоянии покоя (Data-at-Rest Encryption) и шифрование данных в процессе передачи (Data-in-Transit Encryption). Оба конфигурируются независимо друг от друга и на уровне кластера. vSAN OSA выполняет шифрование на уровне всего кластера. Архитектура HCI Mesh не поддерживает шифрование данных в состоянии покоя.

Шифрование данных в процессе передачи (Data-in-Transit)

vSAN может шифровать данные в процессе передачи, когда они перемещаются между хостами в вашем кластере vSAN. Когда вы включаете такое шифрование, vSAN шифрует все данные и метаданные, передаваемые между хостами. Шифрованный трафик vSAN, проходящий между узлами vSAN, использует код аутентификации сообщений для обеспечения аутентификации и целостности, а затем применяет собственную технику для шифрования трафика vSAN.

Процесс шифрования трафика между узлами в кластере vSAN можно свести к трем основным шагам:

  • Создается TLS-соединение между узлами vSAN для обмена трафиком
  • Узлы vSAN создают общий пароль (secret) и прикрепляют его к текущей сессии
  • Общий секрет используется для установления сессии шифрования с аутентификацией между узлами

Шифрование данных в состоянии покоя (Data-at-Rest)

Шифрование данных в состоянии покоя vSAN надежно шифрует данные vSAN с использованием AES-256, когда они записываются на кэш и устройства емкости. При использовании этого метода мы получаем следующее:

  • Шифруются данные, находящиеся на устройствах кэша и дисковой емкости
  • Поддерживаются конфигурации All-Flash и Hybrid
  • Исключается необходимость в самошифрующихся дисках
  • Проверено на соответствие FIPS 140-2

Разумеется, выбор шифрования данных в состоянии покоя требует либо сервис управления ключами (Key Manager Service, KMS), либо собственного провайдера ключей vSphere (Native Key Provider, NKP) и конфигурируется на уровне кластера.

Шифрование данных vSAN в состоянии покоя (D@RE) помогает защищаться от ситуаций потери или кражи устройства. Шифрование D@RE в vSAN работает отдельно от шифрования виртуальных машин vSphere (VM Encryption).

Шифрование D@RE в vSAN является процессом реального времени, который шифрует данные до того, как они попадают на диск. Данные никогда не хранятся на диске в незашифрованном состоянии. Если в среде используется дедупликация и сжатие или только сжатие, шифрование происходит после операций дедупликации и сжатия или только сжатия, что позволяет клиенту использовать преимущества экономии места перед шифрованием. Когда данные читаются, они расшифровываются в процессе передачи и возвращаются в гостевую операционную систему. Ну а данные на диске остаются в зашифрованном состоянии.


Таги: VMware, vSAN, Encryption, Security

Службы VMware SD-WAN Enhanced Firewall Services - для кого это, какие проблемы решают и как работают?


Полтора года назад мы писали о платформе VMware SASE, которая построена на базе технологии программно-определяемых сетей SD-WAN. Концепция SD-WAN позволяет виртуализовать WAN-сети в целях отделения программных сетевых служб от оборудования и оконечных устройств, что дает гибкость, простоту управления, производительность, безопасность и возможность быстрого масштабирования в облаках. Для решения проблем безопасности современной распределённой корпоративной сети, включая рост объема сетевых сервисов на периферии сети, VMware предлагает услугу VMware SD-WAN Enhanced Firewall Services...


Таги: VMware, SASE, EFS, Firewall, Security, Enterprise, SD-WAN

Действия до и после исправления уязвимостей в VMware Aria Automation for Secure Hosts


В решении VMware Aria Automation for Secure Hosts Vulnerability Workspace появился интерфейс выполнения действий до и после исправления уязвимостей (remediation actions).

До выпуска версии 8.14.1 в ноябре этого года администратор должен был вручную выполнять действия до и после исправления вне самого продукта VMware Aria Automation for Secure Hosts. Теперь администратор может выбирать файлы состояния для выполнения до и после применения действия по устранению уязвимости в рабочем пространстве или через API.

Например, у администратора может быть файл состояния, который включает и отключает алерты для виртуальной машины. Таким образом, с новым интерфейсом remediation actions, администратор может отключить оповещения на подчиненных устройствах и вновь включить оповещения после завершения действия по устранению уязвимостей.


Таги: VMware, Aria, Automation, Security

Сброс пароля пользователя Root в VMware vCenter Server Appliance


Давно мы не писали о сбросе паролей элементов виртуальной инфраструктуры VMware vSphere. Сегодня мы поговорим о том, как сделать это для основного компонента - виртуального модуля vCenter Server Appliance (vCSA), который построен на базе операционной системы Photon OS.

Об этой процедуре рассказали в блоге vTechSummary, приведем ее вкратце ниже.

Во время установки vCenter Server Appliance мы задаем пароль Root, с которым мы можем получать доступ в графическую консоль vCenter Management (VAMI) и командную строку.

По умолчанию задано устаревание пароля в 90 дней. Это можно изменить, выставив Password expires в значение No:

Если пройдет 90 дней, и вы не смените пароль, то при попытке логина в VAMI вы увидите вот такой экран:

Если вы просто забыли пароль Root, то будет вот так:

1. Вы помните пароль root, но он устарел

В этом случае мы сможем залогиниться в консоль VCSA и по SSH для смены пароля.

Открываем консоль VCSA, нажимаем F2, после чего мы можем ввести пароль. В этом случае устаревший пароль подойдет:

После этого переходим в раздел Configure Root Password, где можно поменять пароль:

Второй способ - это зайти в консоль сервера vCenter по SSH. Для смены пароля можно использовать следующую команду:

# passwd root

2. Вы не помните пароль root

Перезагрузите сервер vCenter Server Appliance и после того, как система Photon OS стартанет, нажмите клавишу <e>, чтобы зайти в редактор загрузчика GNU GRUB.

Найдите строчку, которая начинается словом linux, и добавьте в ее конец следующую строчку:

rw init=/bin/bash

После этого нажмите кнопку F10 для продолжения загрузки.

Затем вам нужно будет последовательно ввести две следующих команды:

mount -o remount,rw /

passwd

После этого вы сможете задать новый пароль пользователя root.

Затем последовательно выполняем две следующих команды, вторая из которых перезагрузит сервер vCSA:

umount /

reboot -f

Затем вы можете логиниться пользователем root с новым паролем.


Таги: VMware, vCenter, Security

Влияние новой подсистемы безопасности VMware vSphere на клиентские плагины


С будущим крупным выпуском vSphere компания VMware планирует ввести режим строгой безопасности для vCenter (strong security mode), отражающий позицию безопасности VMware, который будет рекомендован к применению партнерам и клиентам в их операциях по управлению виртуальной инфраструктурой.

В строгом режиме не поддерживается SHA-1 как функция криптографического хеширования. VMware рекомендует заменить ее более безопасным и поддерживаемым SHA-256. Строгий режим также поддерживает полные SSL-сертификаты в качестве механизма обмена доверием, что может повлиять на некоторые API vSphere, использующие certificate thumbprints в качестве аргументов или как часть ответа API. Такие API могут не поддерживаться при включенном строгом режиме.

Параллельно со строгим режимом будет поддерживаться совместимый режим безопасности (compatible security mode) в целях обратной совместимости. Совместимый режим все еще поддерживает SHA-1 в качестве функции криптографического хеширования и опирается на certificate thumbprints для SSL-сертификатов как на действительный источник доверия. Использование совместимого режима не будет рекомендовано. Переключение между режимами будет происходить через свойство виртуального модуля vCenter Server Appliance. Подробная информация будет предоставлена в документации следующего выпуска vSphere.

Как будут выглядеть апгрейды существующих инфраструктур?

Начиная с грядущего крупного выпуска, все новые развертывания экземпляров vCenter будут настроены с включенным по умолчанию режимом строгой безопасности. При этом будут затронуты все решения партнеров, зависящие от устаревших алгоритмов криптографического хеширования, таких как SHA-1 или MD5. Клиенты смогут переключиться на compatible-режим, но он будет считаться устаревшим и не рекомендоваться VMware.

Обновленные до следующей версии экземпляры vCenter, ранее функционировавшие в уже существующих развертываниях, будут продолжать работать в режиме совместимости, установленном по умолчанию, если клиент не переключился на строгий режим до обновления vCenter. Таким образом, VMware рассчитывает, что клиенты будут применять самые строгие настройки безопасности, доступные в настоящее время. Это изменение повлияет и на плагины vSphere Client, использующие SHA-1 при регистрации в менеджере расширений vSphere. Отказ от адаптации к требованиям режима строгой безопасности vCenter повлечет за собой риск того, что соответствующий плагин vSphere Client станет непригодным для использования.

Влияние на плагины vSphere Client

Переход с SHA-1 на SHA-256

Все партнеры VMware должны иметь в виду, что начиная с предстоящего крупного выпуска, плагины vSphere Client, использующие устаревший стандарт SHA-1, не будут поддерживаться, когда в инфраструктуре клиента включен режим строгой безопасности vSphere. Чтобы решить эту проблему и обеспечить совместимость своих решений, VMware настоятельно советует партнерам убедиться, что версии плагинов vSphere Client, которые они предлагают сейчас, поддерживают SHA-256 в качестве алгоритма шифрования.

Алгоритм SHA-1 находится в состоянии устаревания с момента выпуска vSphere 7.0 Update 1. VMware дала возможность для плагинов vSphere Client регистрироваться в менеджере расширений с использованием SHA-256 в качестве алгоритма хеширования с выпуском vSphere 7.0 Update 3. Как следующий шаг в этом процессе, для предстоящего крупного выпуска vSphere, плагинам необходимо отказаться от использования SHA-1 в качестве функции криптографического хеширования.

Переход от certificate thumbprints к полным SSL-сертификатам

Вместе с миграцией с SHA-1, функции расширений клиента vSphere постепенно переходят к использованию полных SSL-сертификатов для регистрации плагинов. Полная поддержка сертификатов была введена для Client SDK с выпуском vSphere 8.0 Update 2. Выполнение полной проверки SSL-сертификата во время SSL handshake более безопасно, чем проверка отпечатка SSL-сертификата, даже если плагин уже использует отпечаток SSL-сертификата SHA-256.

Чтобы обеспечить совместимость плагинов в обе стороны сейчас партнерам рекомендуется предоставлять свои решения с возможностью регистрации у менеджера расширений клиента vSphere, используя как сертификат, так и отпечаток. Это необходимо, потому что в некоторых средах могут быть экземпляры vCenter, которые не поддерживают сертификаты, и которые могут попытаться загрузить новую версию плагина, зарегистрированную только с сертификатом.

Например, они могут применить certificate thumbprint (используя SHA-256 в качестве алгоритма хеширования) для регистрации с vCenter, работающим на версии 8.0 U1 или ранее, и полный SSL-сертификат для vCenter 8.0 U2 или более поздней версии.

Локальные плагины уходят в прошлое

Плагины vSphere Client, основанные на устаревшей локальной архитектуре плагинов вскоре уже не будут поддерживаться. Локальные плагины были объявлены устаревшими с момента выпуска vSphere 8.0 GA, и их поддержка прекращается со следующим крупным релизом vSphere.

Всем партнерам VMware необходимо предоставить своим клиентам версию плагина, основанную на удаленной архитектуре плагинов, чтобы они могли продолжить использование партнерского решения в следующем релизе vSphere.

Переход на TLS 1.3

Начиная с предстоящего обновления vSphere, VMware будет поддерживать протокол безопасности транспортного уровня TLS версии 1.3 вместе с устаревшим TLS 1.2, который включен по умолчанию. В следующем крупном выпуске TLS 1.2 и TLS 1.3 будут сосуществовать, и конфигурация vCenter по умолчанию будет поддерживать обе версии протокола. Однако в следующем релизе vSphere будет введен настраиваемый режим vCenter, поддерживающий только TLS 1.3.

VMware настоятельно рекомендует партнерам подумать о добавлении поддержки TLS 1.3 в их плагины, чтобы эти решения нормально работали во всех конфигурациях vCenter.


Таги: VMware, vCenter, Security, Client

Анонсы VMware Explore 2023 Europe: Intel и VMware рассказали об управлении уязвимостями ниже уровня ОС


На прошедшей недавно конференции Explore 2023 Europe компании VMware и Intel рассказали о своем видении того, как в будущем будет происходить управление и контроль над уязвимостями ниже уровня ОС.

Благодаря расширенному партнерству VMware и Intel, данные телеметрии от процессоров Intel Core позволят решению Workspace ONE Unified Endpoint Management (UEM) собирать данные об уязвимостях ниже уровня операционной системы. Эта новая интеграция сочетает в себе данные на уровне чипа с автоматическим устранением проблем и возможностями отчетности Workspace ONE UEM для повышения безопасности конечных устройств.

Видео старое, но суть объясняет:

Фундаментальные уязвимости

Обеспечение безопасности современных работников является постоянной задачей, так как киберугрозы увеличиваются как в частоте, так и в сложности. На конференции VMware Explore 2023 в Лас-Вегасе команда VMware рассказала о важности принятия комплексного подхода к управлению уязвимостями и его влиянии на безопасность организации. Новая эффективная платформа управления уязвимостями предлагает не только широкий охват платформ ОС, но и глубокое понимание от уровня приложений и ОС до firmware и оборудования. Уязвимости ниже уровня ОС, или фундаментальные уязвимости, особенно опасны, поскольку они остаются незамеченными традиционными сканерами уязвимостей и могут привести к потенциально катастрофическим последствиям.

Управление уязвимостями VMware и Intel

Было анонсировано решение для создания и сбора данных о фундаментальных уязвимостях для компьютеров с Windows с процессорами Intel Core (с технологией Intel vPro или без нее). Благодаря глубокому анализу и знанию различных производителей ПК, Intel обладает уникальной способностью интерпретировать данные конфигурации с конечных устройств и обнаруживать те уязвимости, которые не находятся традиционными сканерами безопасности. Данные сопоставляются с известными фундаментальными уязвимостями и упаковываются в анализы рисков с соответствующим контекстом и деталями для идентификации и последующего устранения.

Этот улучшенный телеметрический подход на самом низком уровне поможет дополнить движок управления уязвимостями и комплаенсом для решения Workspace ONE. Этот продукт будет визуализировать данные активных событий, позволяя клиентам имплементировать более сильную стратегию безопасности конечных устройств, использующую управление уязвимостями как выше, так и ниже уровня ОС. Новые данные об оборудовании не только дадут клиентам большую видимость их парка устройств, но и соберут более богатый контекст для повышения эффективности оценки уязвимостей и их устранения.

Бета-версия Intel Chip to Cloud

Облачная служба Intel Device Health скоро будет доступна в портале программы раннего доступа VMware Anywhere Workspace Early Access.

Если вы уже являетесь участником программы раннего доступа, вы можете выбрать бета-версию Intel Chip to Cloud в своем пользовательском профиле, когда она станет доступной. Бета-программа будет включать возможности анализа уязвимостей вместе с интеграцией Intel vPro Chip to Cloud. Если вы еще не являетесь участником, вы можете зарегистрироваться здесь.

Также рекомендуем посмотреть сессию по управлению уязвимостями "Решение загадки риска: управление уязвимостями, воздействием и устранением [EUSB1597BCN]".


Таги: VMware, Explore, Intel, Security

Самое время обновить VMware Tools - описание уязвимостей VMSA-2023-0024


Компания VMware недавно выпустила бюллетень безопасности VMSA-2023-0024, в котором описываются уязвимости CVE-2023-34057 и CVE-2023-34058, обнаруженные в различных версиях пакетов для гостевых ОС VMware Tools.

Надо отметить, что первая уязвимость затрагивает локальное повышение привилегий, а вторая - обход токена безопасности, что является критическими типами дыр в безопасности.

Используя уязвимость CVE-2023-34057, локальный пользователь MacOS может повысить свои привилегии в виртуальной машине до административных (критичность 7.8). Ну а в CVE-2023-34058 рассказывается о том, как можно обойти проверку сигнатуры SAML в токене безопасности (критичность 7.5).

Вот какие версии VMware Tools были затронуты, поэтому если у вас они используются, рекомендуется срочно обновить их:

Более подробно обо всем этом рассказано тут. Проверить версию VMware Tools для всей вашей виртуальной инфраструктуры наиболее удобно с помощью утилиты RVTools.


Таги: VMware, Tools, Security

VMware рассказала о критической уязвимости VMSA-2023-0023 - затронуты службы vCenter Server


24 октября компания VMware выпустила критическое уведомление о безопасности VMSA-2023-0023 (уязвимости CVE-2023-34048 и CVE-2023-34056), в котором рассматриваются обнаруженные и устраненные уязвимости безопасности в vCenter Server, которые присутствуют в продуктах VMware vSphere и Cloud Foundation.

Эти уязвимости связаны с управлением памятью и ее повреждением (Out-of-Bounds Write Vulnerability), которые могут быть использованы для удаленного выполнения кода против служб VMware vCenter Server.

Матрица реагирования на обнаруженную уязвимость для разных версий vCenter выглядит следующим образом:

Product Version Running On CVE Identifier CVSSv3 Severity Fixed Version Workarounds Additional Documentation
VMware vCenter Server
8.0
Any
CVE-2023-34048, CVE-2023-34056
9.8, 4.3
Critical
 
None
VMware vCenter Server
8.0
Any
CVE-2023-34048
9.8
Critical
 
None
VMware vCenter Server
7.0
Any
CVE-2023-34048, CVE-2023-34056
9.8, 4.3
Critical
 
None
VMware Cloud Foundation (VMware vCenter Server)
5.x, 4.x
Any
CVE-2023-34048, CVE-2023-34056
9.8, 4.3
Critical
 
None

Более подробная версия о том, какие обновления следует поставить, приведена тут.


Таги: VMware, vCenter, Security

Анонсы VMware Explore 2023: Tanzu Application Engine


Продолжаем рассказывать об анонсах новых продуктов и технологий, которые были сделаны на проходящей сейчас конференции VMware Explore 2023 в Лас-Вегасе, которая многие годы является главным событием в сфере виртуализации.

VMware Tanzu Application Engine предназначен для введения уровня абстракции, ориентированного на приложения, чтобы позволить им работать с постоянным операционным управлением и соответствием стандартам — как внутри облаков, так и между ними. Модель абстракции создает четкое разделение обязанностей между заинтересованными сторонами: разработчики смогут сосредоточиться на своих приложениях, не беспокоясь о деталях инфраструктуры, инженеры платформ смогут сосредоточиться на управлении и эксплуатации инфраструктуры в разных масштабах, а операторы смогут определять конфигурации для соответствия требованиям управления и стандартам организации.

Tanzu Application Engine ставит своей целью решение важных проблем для каждого из заинтересованных лиц, участвующих в выводе современных приложений в продакшен — в командах по приложениям, платформе и операциям.

  • Разработчикам приложений предоставляется возможность самообслуживания для доступа к утвержденным средам приложений, называемым VMware Tanzu Application Spaces, что уменьшает когнитивную нагрузку, связанную с операциями в инфраструктуре, и ускоряет процесс релиза продуктов. Tanzu Application Engine также ставит своей целью позволить разработчикам приложений управлять и масштабировать свои приложения, даже когда инженеры платформы обновляют и поддерживают основные кластеры Kubernetes и связанную с ними инфраструктуру и ресурсы, предоставляя обеим командам пространство для работы и оптимизации приложений.
  • Инженерам платформы могут пригодиться стандартизация и автоматизация полного цикла, позволяющая формировать и управлять средами приложений и основной инфраструктурой. Tanzu Application Engine разработан, чтобы позволить инженерам платформы повторно использовать, обновлять и управлять библиотекой профилей Tanzu Application Space, где находятся сформированные среды приложений, которые соответствуют текущим и будущим потребностям в области безопасности, производительности и стоимости содержания. Другие цели включают в себя возможности создавать резервные копии и восстанавливать Tanzu Application Space, а также обеспечивать бесперебойные обновления кластера.
  • Операторы инфраструктуры (например, NetSec и операторы сервисов) могут определять необходимые конфигурации для достижения максимальной управляемости и соответствия стандартам для приложений, работающих в цикле Dev-Test-Stage-Prod и различных облачных вариантах использования. Автоматизированные API самообслуживания позволяют организациям смещать безопасность влево, не возлагая всю нагрузку на разработчиков. Например, оператор безопасности может определить конфигурации и политики, связанные с защитой данных для соответствия стандартам PCI DSS, в то время как оператор может формировать классы сервисов, облегчающие разработчикам приложений или операторам приложений запрашивать и байндить экземпляры сервисов, такие как базы данных, очереди сообщений и кэши для повышения производительности разработчиков.

С помощью Tanzu Application Engine компания VMware внедряет следующие основные принципы и технические нововведения:

  • Внимание к опыту разработчика – Tanzu Application Engine предназначен для того, чтобы стать ключевой функцией платформы Tanzu Application, усиливая фокус VMware на упрощении опыта разработчиков в рамках полного цикла и позволяя разработчикам полностью сосредоточиться на написании кода и создании приложений.
  • Баланс между простотой, гибкостью и вариативностью – простота для разработчиков быстро выводить свои приложения в продакшен, готовые или настраиваемые профили Tanzu Application Space - для операторов, и гибкость для команд платформы и эксплуатации, позволяющая выбирать из огромной экосистемы Kubernetes и дополнительных ресурсов VMware, необходимых для выполнения сложных требований приложения.
  • Абстракции и сервисы, ориентированные на приложения – Tanzu Application Engine стремится предоставить уникальные абстракции и сервисы, которые находятся между приложениями и инфраструктурой, разделяя обязанности разработчиков приложений и операторов, и позволяя приложениям работать с постоянными возможностями и политиками — в кластерах и облаках.
  • Модель сотрудничества с минимальными препятствиями – Tanzu Application Engine стремится представить модель сотрудничества с минимальным "трением", которая позволяет различным группам заинтересованных сторон, таким как инженеры платформы, NetSec и операторы служб, работать параллельно и самостоятельно вносить конфигурации в Tanzu Application Space, уменьшая неэффективность процессов, связанных с организационными единицами и ручными процессами.
  • Готовые к использованию возможности – Tanzu Application Platform стремится предоставить богатый каталог возможностей, приложений и услуг, которые можно использовать с приложениями, работающими в Tanzu Application Spaces, как с открытым исходным кодом, так и проприетарным от VMware. Это позволит инженерам платформы выбирать из огромного экосистемного набора вариантов и легче внедрять стандарты безопасности, производительности и стоимости в пространства приложений.

Этот инновационный подход представляет собой будущее облачных платформ нового поколения в корпоративных публичных облаках и может решить технические и социальные проблемы функционирования в масштабе.

Больше о решении Tanzu Application Engine можно узнать из следующих сессий проходящей сейчас конференции VMware Explore 2023:

  • MAPK2762LV – Solution Keynote: Accelerate Application Delivery for Continuous Innovation
  • MAPB2682LV – VMware Tanzu: Your Complete Application Kubernetes Platform
  • MAPB2711LV – See it Now: Integrated, End-to-End Application Delivery with VMware Tanzu
  • MAPB2781LV – Accelerate App Delivery and Centralized Management on Public Clouds

Таги: VMware, Tanzu, Kubernetes, Applications, Security

Уязвимость CVE-2022-40982 Gather Data Sampling (GDS/Downfall) для хостов VMware ESXi 8 - проверьте и обновитесь


На днях на сайте virten.net появилась информация об уязвимости CVE-2022-40982 Gather Data Sampling (GDS/Downfall) хостов VMware ESXi 8 инфраструктуры vSphere, которая может быть полезна для администраторов.

8 августа этого года компания Intel рассказала о проблеме "transient execution side-channel vulnerability" (уязвимость побочного канала при переходном выполнении), которая затрагивает определенные процессоры. В особых микроархитектурных состояниях CPU возможно раскрытие информации после transient-исполнения команд в некоторых векторных модулях исполнения, что может привести к ситуации, когда аутентифицированный пользователь может получить неавторизованный доступ к информации через механику локального доступа. Подробнее об уязвимости CVE-2022-40982 можно почитать тут.

Также вам могут быть полезны следующие ресурсы:

Чтобы понять, имеет ли ваш процессор данную дыру в безопасности, вам нужно получить о нем следующую информацию: CPU Family, Model и Stepping. Сделать это можно через PowerShell с помощью скрипта Get-CPUid, который вы можете скачать здесь.

Если вы посмотрели на вывод колонок и узнали там свой процессор из таблицы, а в колонке на сайте Intel увидели значение "MCU", то вам нужно накатывать обновление микрокода вашего сервера для защиты от угроз данного типа. Для получения обновления вам нужно связаться с вендором вашего серверного оборудования (например, ссылки для HP и Dell приведены выше).


Таги: VMware, Intel, Security, CPU, Hardware, ESXi

Как включить аутентификацию Active Directory / LDAP / LDAPS в VMware vSphere 8


Florian Grehl на сайте virten.net опубликовал полезную статью о том, как включить аутентификацию Active Directory / LDAP / LDAPS в инфраструктуре VMware vSphere 8. Приводим ниже ее перевод.

Эта статья описывает, как интегрировать VMware vCenter Server в вашу инфраструктуру аутентификации. Источниками идентификации могут быть развертывания Microsoft Active Directory или протокола OpenLDAP.

В комплекте с управляющим сервером vCenter Server идет внутренняя база данных пользователей, которая позволяет добавлять и управлять пользователями из пользовательского интерфейса. Управление пользователями и единый вход предоставляются встроенным компонентом Platform Service Controller. В большой среде вы, возможно, захотите подключить вашу инфраструктуру виртуализации к централизованно управляемому провайдеру идентификации.

Обратите внимание, что VMware объявила о прекращении поддержки Integrated Windows Authentication (IWA). IWA был методом аутентификации, при котором вы присоединяли vCenter Server к вашему домену Active Directory. Несмотря на то, что Active Directory все еще поддерживается для аутентификации, рекомендуется использовать AD через LDAP или идентификацию с помощью ADFS. Для дополнительной информации см. KB78506.

1. Получение сертификата LDAPS

В связи с рисками безопасности, LDAPS заменяет LDAP как новый протокол каталога. Настоятельно рекомендуется использовать LDAPS, который использует SSL для установления безопасного соединения между клиентом и сервером перед обменом любыми данными. В настоящее время в пользовательском интерфейсе vCenter нет функции получения сертификата, поэтому сертификат нужно загрузить самостоятельно.

Подключитесь к vCenter Server Appliance (или любой системе с установленным OpenSSL CLI) с помощью SSH и войдите как root. Выполните следующую команду, чтобы показать сертификат LDAP:

# openssl s_client -showcerts -connect [LDAPS-Server]:636

Эта команда отображает цепочку сертификатов и информацию о сессии SSL. Вы можете использовать либо сертификат CA, либо сертификат сервера. Использование сертификата CA имеет преимущество в том, что вам не нужно перенастраивать провайдер идентификации, когда сертификат LDAPS заменяется.

Копируем содержимое между строчками -----BEGIN CERTIFICATE----- и -----END CERTIFICATE----- в текстовый файл.

После этого сохраните полученный файл с расширением .crt.

2. Добавление провайдера идентификации

  • Откройте vSphere Client.
  • Войдите как Single Sign-On Administrator.
  • Перейдите к Administration > Single Sign On > Configuration.
  • На вкладке провайдера идентификации откройте Identity Sources.
  • Нажмите ADD.

  • Измените Identity Source Type на Active Directory over LDAP.

  • Заполните остальные поля следующим образом:

Identity source name: Метка для идентификации (нужно указать имя домена)

Base distinguished name for users: Уникальное имя Distinguished Name (DN) начальной точки для поиска на сервере каталогов. Пример: Если ваше имя домена - virten.lab, то DN для всего каталога - "DC=virten,DC=lab".

Base distinguished name for groups: Уникальное имя (DN) начальной точки для поиска на сервере каталогов.

Domain name: Ваше имя домена. Пример: "virten.lab".

Domain alias: Ваше имя NetBIOS. Пример: "virten".

Username: Пользователь домена как минимум с правами просмотра.
Если вы получаете ошибку "Invalid DN syntax.", попробуйте ввести пользователя в формате DN: "uid=administrator,cn=users,dc=virten,dc=lab".

Password: Пароль пользователя домена.

Connect to: Выберите "Connect to any domain controller in the domain", если вы хотите использовать DNS для идентификации контроллеров домена или настроить статические основные и вторичные URL. При использовании статических записей вы можете либо запрашивать локальный каталог (порт 636), либо глобальный каталог (порт 3269). (Для устаревших незащищенных подключений используйте 389/3268). Пример: "ldap://dc.virten.lab:636".

  • Нажмите "Browse" рядом с сертификатом (для LDAPS).
  • Выберите файл .crt, полученный ранее от сервера LDAP.
  • Нажмите "ADD" и завершите мастер настройки.
  • В источниках идентификации ваш LDAP должен появиться в списке, и с этого момента вы можете назначать разрешения vCenter пользователям и группам из вашего каталога Active Directory.
  • Выберите ваш AD и нажмите кнопку "SET AS DEFAULT", чтобы сделать его доменом по умолчанию для аутентификации в вашем vCenter, что означает, что каждый, кто не указывает имя домена для входа, автоматически аутентифицируется в этом домене.
  • Для входа с пользователями AD вам нужно установить разрешения. Чтобы добавить пользователя/группу AD в качестве глобального администратора, перейдите к Administration > Access Control > Global Permissions.
  • Нажмите "ADD".
  • Выберите домен и начните вводить в поле поиска User/Group, чтобы выбрать Domain entity.

  • Нажмите "OK".

Теперь вы должны иметь возможность входить с помощью учетной записи Active Directory. Чтобы решать проблемы, связанные с аутентификацией, проверьте файлы журнала на vCenter Server Appliance в папке /var/log/vmware/sso.


Таги: VMware, vSphere, vCenter, LDAP, Security, Blogs

Что нового в решениях VMware Ransomware Recovery и Cloud Disaster Recovery


Борьба с программами-вымогателями и готовность к восстановлению после катастроф продолжают оставаться в приоритете для CIO по всему миру - число атак программ-вымогателей стремительно растет, требования к соблюдению нормативов вынуждают организации внедрять меры по обеспечению аварийного восстановления инфраструктуры.

VMware предлагает предприятиям готовые возможности, чтобы удовлетворить потребности современного бизнеса за счет новых функций в решениях VMware Cloud DR и VMware Ransomware Recovery.

Готовность к восстановлению средствами VMware Cloud DR - быстрое переключение и восстановление, оптимизированная стоимость владения

До сегодняшнего дня, когда клиенты сталкивались со сценарием DR, у них была только одна возможность - включить восстановленные виртуальные машины в резервном датацентре DR SDDC с помощью функции Instant Power On, при этом их диски располагались в облачной файловой системе. Затем они переносились на основное хранилище в DR SDDC через Storage vMotion.

Хотя это по-прежнему рекомендуемый подход для интенсивных по вводу-выводу или крупных рабочих нагрузок, пользователи теперь могут получить преимущества улучшенной производительности восстановления с новой функцией: Run Recovered VMs on Cloud Filesystem (запуск восстановленных машин в облачной файловой системе). Подробнее об этом рассказано тут.

С этой опцией ВМ могут продолжать работать в DR SDDC, причем их диски располагаются в Cloud Filesystem, что позволяет избежать использования Storage vMotion, что сильно ускоряет переключение в случае сбоя. Машины, работающие в Cloud Filesystem, получают защиту средствами высокой доступности (HA), а также низкие значения RPO.

Ключевые преимущества функции "Запуск восстановленных ВМ на Cloud Filesystem" включают:

  • Быстрое переключение и улучшенная производительность после восстановления: исключение использования Storage vMotion для vSAN и запуск восстановленных ВМ с дисками, по-прежнему располагающимися в Cloud Filesystem.
  • Быстрое обратное восстановление: эта новая функция устраняет необходимость создания снапшотов на базе VADP в резервном SDDC при обратном восстановлении.
  • Оптимизация TCO: для рабочих нагрузок, ограниченных объемом хранилища, требуется меньше ресурсов облачных хостов для непосредственного запуска ВМ на Cloud Filesystem по сравнению с традиционным переключением.
  • Гибкость: вы можете выбрать, какие рабочие нагрузки запускать на Cloud Filesystem, а какие - переносить в резервный SDDC с помощью storage vMotion.

Более подробно о VMware Cloud DR можно почитать на этой странице.

VMware Ransomware Recovery: быстрое и эффективное восстановление от современных атак

VMware недавно представила функцию "Bulk VM Processing" для решения VMware Ransomware Recovery. С этой функцией пользователи получают преимущества автоматизированного восстановления до 50 виртуальных машин за раз, что ускоряет время восстановления и оптимизирует ИТ-ресурсы.

Обработка машин в больших объемах работает в рамках существующего руководящего рабочего процесса восстановления от программ-вымогателей (Ransomware), который охватывает идентификацию, проверку и восстановление точек восстановления. До 500 ВМ можно включить в один план восстановления от программ-вымогателей, при этом одновременная обработка возможна для 50 ВМ в одном пакете, что позволяет сразу нескольким ВМ пройти живой поведенческий анализ для выявления предупреждений безопасности, которые могут быть использованы для очистки штаммов программ-вымогателей из скомпрометированных снимков. Вместе эти интегрированные возможности обеспечивают более уверенное и быстрое восстановление работы в случае успешной атаки программы-вымогателя.

Для более подробной информации об этом решении рекомендуем почитать FAQ и вот эту страничку на TechZone.


Таги: VMware, Cloud, DR, Ransomware, Security, HA

Лучшие практики оперирования и мониторинга сетей VMware SD-WAN


Архитектура SD-WAN является отличным инструментом для организаций, стремящихся оптимизировать производительность сети и улучшить связность между географически разбросанными локациями. Однако, чтобы получить полную выгоду от SD-WAN, вам необходимы эффективные операционные средства и утилиты для мониторинга. Это становится всё более важным из-за операционных сложностей и проблем с безопасностью, которые возникают по мере того как SaaS-приложения становятся более популярными, а пользователи могут работать из любого места.

VMware SD-WAN имеет мощные возможности, включая технологию VMware Edge Network Intelligence, которые помогут вам идентифицировать и решить проблемы с сетью прежде, чем они станут большими проблемами, использовать ресурсы на полную мощность, и обеспечить качественный пользовательский опыт. В видео ниже показаны некоторые из лучших практик для оперирования и мониторинга сети SD-WAN, с акцентом на мониторинг производительности в реальном времени, мониторинг безопасности и видимость приложений.

Мониторинг производительности в реальном времени

Возможность видеть поведение сети в реальном времени необходима для обеспечения оптимальной производительности сети и своевременного определения и решения потенциальных проблем. Вот некоторые лучшие практики эксплуатации сетей SD-WAN:

  • Мониторьте состояние сети - VMware SASE Orchestrator предоставляет детальное отображение показателей производительности сети, таких как latency, jitter и потери пакетов для каждого доступного WAN-соединения. В то время как функция Dynamic Multipath Optimization (DMPO) автоматически с миллисекундной задержкой принимает меры по устранению проблем со статусом соединения, она также может мониторить состояние сети и использование пропускной способности в реальном времени, чтобы своевременно выявить и решить любые проблемы с производительностью.
  • Включите механизмы оповещения - настройте алерты для платформ управления производительностью сети для сетевых параметров для метрик, таких как использование связи, потеря пакетов или отклонения в производительности приложения. Это позволяет получать своевременные уведомления, когда производительность отклоняется от ожидаемых уровней, давая возможность проактивно устранять неполадки. Потоковые метрики, которые предоставляются Webhooks и NetFlow, могут быть проанализированы для формирования почти в реальном времени представления о состоянии сети и производительности. Механизмы по запросу, такие как SNMP и API-вызовы, также могут быть использованы для периодического получения автоматизированных снимков состояния сети.
  • Используйте AI/ML аналитику - продвинутые платформы сетевой аналитики предоставляют ценные, пригодные для использования инсайты в среде SD-WAN для сетевого окружения на периферии. VMware Edge Network Intelligence использует техники искусственного интеллекта (AI) и машинного обучения (ML) для сбора, анализа и обработки данных о телеметрии сети в реальном времени от устройств на периферии. VMware Edge Network Intelligence позволяет пользователям выполнять мониторинг в реальном времени, обнаружение аномалий, прогнозирование, анализ безопасности, визуализацию, отчетность, интеграцию и автоматизацию. Он постоянно отслеживает сетевой трафик и показатели производительности на периферии, и может обнаруживать аномалии и ненормальные паттерны в поведении сети.
  • Применяйте непрерывный бенчмаркинг - используйте инструменты для непрерывного мониторинга, чтобы собирать и анализировать данные о производительности на постоянной основе. Это позволяет выявлять паттерны и тенденции, помогая администраторам сети принимать обоснованные решения для планирования емкости и оптимизации. Также фиксируйте ценные исторические базовые показатели производительности, которые могут быть использованы для определения, привели ли изменения в сети к улучшению или ухудшению производительности. Периодические автоматизированные отчеты также могут быть использованы для предоставления ценных исторических инсайтов и точек сравнения.

Хотя все эти механизмы рекомендуется использовать, большинство организаций могут сосредоточиться на некотором их подмножестве, которое наилучшим образом соответствует операционным требованиям и целям производительности. Возможности интеграции любых существующих платформ для логирования и алертинга также могут играть роль в выборе наилучших механизмов оповещения.

Кроме того, интегрированное решение на базе AI/ML, такое как VMware Edge Network Intelligence, может сократить необходимость передачи метрик для анализа стороннему решению и сократить среднее время до устранения проблем (mean-time-to-resolution).

Видимость приложений

Для обеспечения оптимальной производительности и пользовательского опыта критически важно иметь широкую видимость трафика приложений. Здесь можно рассмотреть следующие практики:

  • Используйте маршрутизацию соединений на базе приложений - осведомленность о приложениях предоставляет дополнительный способ контролировать трафик, соответствовать бизнес-целям организации и более эффективно использовать доступные сетевые каналы. Например, трафик критически важных или чувствительных приложений с более высоким приоритетом может быть настроен на использование более безопасных частных соединений, в то время как приложения с более низким приоритетом могут оставаться на более дешевых интернет-соединениях. VMware SD-WAN позволяет осуществлять маршрутизацию, основанную на приложениях, позволяя вам отдавать приоритет критически важным приложениям по сравнению с менее важным трафиком, и имеет возможность динамически перемещать трафик приложений с одного соединения на другое при необходимости.
  • Используйте инструменты мониторинга производительности приложений (Application Performance Monitoring, APM) - инструменты APM предоставляют глубокие инсайты о метриках производительности приложений, включая время отклика, пропускную способность и успешность транзакций. Эти инструменты помогают администраторам определять проблемы, связанные с приложениями, и эффективно их устранять.
  • Отслеживайте пользовательский опыт - реализуйте мониторинг пользовательского опыта end-to-end, включая время отклика и доступность приложений. VMware Edge Network Intelligence обеспечивает видимость пользовательского опыта, позволяя администраторам заблаговременно решать проблемы производительности. VMware Edge Network Intelligence обеспечивает динамический бенчмаркинг для приложений в реальном времени, таких как Zoom, и предупреждает о любых значительных отклонениях от этого бенчмарка. Он также отслеживает связанные индикаторы и предоставляет предложения по устранению основной причины проблем, сокращая среднее время до их устранения и, во многих случаях, позволяя ИТ-команде заранее решить проблему, прежде чем она затронет конечных пользователей.

Мониторинг безопасности

Обеспечение безопасности вашей SD-WAN сети является первоочередной задачей. Поскольку SD-WAN становится частью более крупного интегрированного решения SASE, важно, чтобы команды, отвечающие за транспорт и безопасность, также интегрировали свои операционные политики для обеспечения координации мониторинга, логирования, оповещений и отчетности, их согласованности и совместного управления. Вместо двух отдельных действий единый подход обеспечивает обеим командам полное представление о состоянии сети.

Вот ключевые практики для реализации лучших практик SD-WAN по безопасности:

  • Использовать безопасные соединения - для защиты конфиденциальности и подлинности трафика, проходящего через сетевой оверлей SD-WAN, следует использовать безопасные протоколы, такие как IPsec. SD-WAN от VMware использует шифрованный оверлей на основе IPsec для обеспечения подлинности и конфиденциальности трафика, использующего сети транспорта WAN. Также поддерживаются туннели на основе IPSec и GRE для подключения к не-SD-WAN назначениям.
  • Реализовать фаерволы нового поколения (next-generation firewalls, NGFW) - организации имеют возможность использовать интегрированный файрвол на основе приложений, размещенный на периферии, IDS и IPS, а также VMware Cloud Web Security для проверки и фильтрации трафика на предмет потенциальных угроз. Также поддерживается интеграция с решениями NGFW от сторонних производителей. Это обеспечивает многоуровневый подход к безопасности против вредоносных действий, а также детальную видимость для попыток вредоносной активности. Эта видимость критически важна для быстрого анализа угрозы и принятия мер по ее устранению, если это необходимо.
  • Мониторинг событий безопасности - используйте решения по управлению информацией и событиями безопасности (security information and event management, SIEM) для мониторинга и определения корреляции событий безопасности в сети SD-WAN. Анализируя логи и генерируя предупреждения, администраторы могут быстро реагировать на инциденты безопасности.

События безопасности могут быть записаны и проанализированы через логи файрвола, а также интеграцию с платформами SIEM. Orchestrator SASE от VMware также имеет обновляемый в реальном времени дэшборд обнаруженных угроз, включая информацию о затронутых локациях, распределение угроз и их источники.


Таги: VMware, SD-WAN, SASE, Enterprise, Networking, Security

Решение Workspace ONE Mobile Threat Defense с функциями антифишинга и защитой контента доступно для пользователей


Фишинг является значительной угрозой для организаций, а мобильные устройства требуют усиленной защиты – будь то корпоративные устройства или устройства, принадлежащие сотрудникам. На днях VMware объявила о финальной доступности (GA) решения VMware Workspace ONE Mobile Threat Defense с интегрированной защитой от фишинга и защитой контента.

С момента запуска Workspace ONE Mobile Threat Defense в прошлом году, произошел рост фишинговых атак на мобильных устройствах. Согласно отчету Verizon Data Breach Investigations за 2023 год, фишинг является одним из трех основных способов, с помощью которых злоумышленники проникают в организации.

По мере того, как организации и сотрудники увеличивают использование мобильных устройств и используют гибкие рабочие стратегии, телефоны становятся все более важными для бизнес-операций и повышения продуктивности. Однако вместе с этим возрастают и сложности при попытке обеспечить безопасность этих устройств. Фишинг создает дополнительные угрозы на мобильных устройствах, так как может распространяться за пределы традиционных электронных писем и веб-сайтов, эксплуатируя SMS, мессенджеры и даже QR-коды. Разные средства обманывают пользователей, заставляя их раскрывать учетные данные для входа или нарушать конфиденциальность, и эти нарушения могут привести к потере данных и финансовым потерям для предприятий.

О решении Workspace ONE Mobile Threat Defense

Публично доступная информация и готовые наборы инструментов для фишинга, доступные в даркнете, облегчают задачу злоумышленникам, нацеленным на большие группы сотрудников. Для организаций, стремящихся защитить свои мобильные устройства и среды от этих угроз, Workspace ONE Mobile Threat Defense с интегрированной защитой от фишинга и защиты контента представляет собой комплексное решение по безопасности, которое отвечает на угрозы, основанные на электронной почте, SMS, мессенджерах и социальных сетях - для устройств iOS, iPadOS и Android.

Workspace ONE Mobile Threat Defense обнаруживает попытки загрузки фишингового и вредоносного веб-контента из приложений и фоновые активности на устройстве - и блокирует контент соответствующим образом. Это достигается за счет интеграции с приложением Workspace ONE Tunnel, которое отправляет URL-адреса, которые устройство пытается загрузить, в Lookout Security Graph для расширенного анализа. Эта функция использует информацию в реальном времени, алгоритмы машинного обучения и большую базу известных фишинговых URL.

Администратор может настроить политики, позволяющие или запрещающие определенные домены и типы контента, в зависимости от потребностей своей организации. Когда пользователям запрещается доступ к вредоносному или запрещенному контенту, они получают уведомление и могут видеть причину блокировки контента, без вмешательства или действий со стороны ИТ-отдела или службы безопасности.

Workspace ONE Mobile Threat Defense применяет ориентированный на приватность подход к обеспечению безопасности. Никакой пользовательский контент не отслеживается и не проверяется, и обнаруженные вредоносные или фишинговые домены могут быть настроены так, чтобы быть видимыми или невидимыми для администратора.

Защита мобильных устройств от фишинга и вредоносного контента не должна идти в ущерб обеспечению безопасного доступа к корпоративным ресурсам. Для организаций, которым требуется VPN или безопасный удаленный доступ к корпоративным ресурсам с мобильных устройств, Workspace ONE Tunnel представляет собой современное решение для удаленного доступа, обеспечивающее доступ к сети на основе принципа "нулевого доверия" (ZTNA). Защита от фишинга и контента в Mobile Threat Defense работает в паре с Workspace ONE Tunnel на устройстве, предотвращая загрузку вредоносного контента при применении правил и политик трафика для устройства. Использование Workspace ONE Tunnel для VPN требует настройки сервиса туннеля с помощью VMware Unified Access Gateway или решения для хостинга ZTNA: VMware Secure Access.

Также вам будет полезна записанная демонстрация защиты от фишинга и контента в Mobile Threat Defense:

Страница продукта Workspace ONE Mobile Threat Defense находится тут, а документация доступна здесь.


Таги: VMware, Mobile, ONE, Security, Enterprise

Защита от Ransomware средствами VMware Ransomware Recovery


Дункан Эппинг опубликовал статью о VMware Ransomware Recovery, которая может оказаться полезной администраторам, встретившимся или готовящимся встретиться с проблемой программ-вымогателей. Об этом продукте мы также рассказывали вот тут. Приведем основные мысли этой статьи ниже.

VMware Ransomware Recovery является частью облачного решения VMware Cloud Disaster Recovery. Эту услугу можно начать использовать как службу облачного хранения, куда вы реплицируете свои рабочие нагрузки, когда вам не требуется запуска полноценного программно-определенного дата-центра. Это особенно полезно для организаций, которые могут позволить себе потратить примерно 3 часа на запуск SDDC, когда возникает необходимость восстановиться на резервную инфраструктуру (или протестировать этот процесс). Также вы можете постоянно иметь SDDC, всегда готовый к восстановлению, что значительно сократит целевое время восстановления.

VMware предоставляет возможность защиты различных сред и множества различных рабочих нагрузок, а также множества копий point-in-time (снапшотов). Но, что более важно, эта служба позволяет вам проверить вашу точку восстановления в полностью изолированной среде. Решение фактически не только изолирует рабочие нагрузки, но и предоставляет вам информацию на различных уровнях о вероятности заражения снимка. В первую очередь, в процессе восстановления показываются энтропия и скорость изменений, что дает представление о том, когда потенциально среда была заражена (или, например, был активирован вирус-вымогатель).

Кроме того, с помощью NSX и программного обеспечения Next Generation Anti-Virus от VMware можно безопасно проверить точку восстановления. Создается карантинная среда, где точка восстановления проверяется на уязвимости и угрозы, а также может быть проведен анализ рабочих нагрузок для восстановления, как показано на скриншоте ниже. Это значительно упрощает процесс восстановления и проверки, поскольку устраняет необходимость ручных операций, обычно включенных в этот процесс. Конечно, в рамках процесса восстановления используются продвинутые возможности сценариев VMware Cloud Disaster Recovery, позволяющие восстановить полный дата-центр или просто выбранную группу виртуальных машин, запустив план восстановления. В этот план восстановления включен порядок, в котором нужно включить и восстановить рабочие нагрузки, но в него также можно включить настройку IP, регистрацию DNS и многое другое.

В зависимости от результатов анализа, вы можете затем определить, что делать со снапшотом. В рамках анализа вы сможете ответить на следующие вопросы:

  • Данные не скомпрометированы?
  • Рабочие нагрузки не заражены?
  • Есть ли какие-либо известные уязвимости, которые мы должны сначала устранить?

Если данные скомпрометированы или среда заражена в любой форме, вы можете просто игнорировать снимок и очистить среду. Повторяйте процесс, пока не найдете точку восстановления, которая не скомпрометирована! Если есть известные уязвимости, а среда чиста, вы можете устранить их и завершить восстановление. В итоге это приведет к полному доступу к самому ценному активу вашей компании - данным.

Более подробно о решении VMware Ransomware Recovery можно почитать тут.


Таги: VMware, Ransomware, Cloud, Security, DR

VMware представила решение Aria Guardrails


Компания VMware объявила о том, что решение Aria Guardrails теперь доступно в качестве SaaS-продукта. Напомним, что оно было выпущено в рамках технологического превью прошлым летом на конференции VMware Explore 2022. О нем мы также рассказывали здесь, это некоторое ответвление функций, ранее доступных в продукте vRealize Automation.

VMware Aria Guardrails - это служба управления многооблачной средой для автоматизации и масштабирования политик контроля на всех облачных платформах и в средах Kubernetes. Она позволяет организациям последовательно применять стандарты, которые помогают контролировать расходы, снижать риски и оптимизировать производительность. Специалисты облачных сред могут избежать ручных подходов к определению политик зон, получить отчет о нарушениях политик и отклонений в контексте инвентаря облачных сервисов, основанный на графах, а также автоматизировать устранение проблем.

Командам облачных операций необходимо удовлетворять высокий спрос на соблюдение требований к облачным аккаунтам своевременно. Однако этого недостаточно для применения корпоративных стандартов в растущей облачной среде. После активации и настройки учетных записей обязанность обеспечения непрерывной поддержки требуемых политик ложится на команды облачных операций. В то же время, зависимость от ручных и имеющих тенденцию к ошибкам процессов и разрозненных инструментов затрудняет применение стандартов соблюдения требований, что приводит к увеличению затрат, рисков безопасности и проблемам с производительностью.

Решение VMware Aria Guardrails предоставляет последовательную конфигурацию политик на этапе развертывания и обеспечивает непрерывное обнаружение и устранение отклонений при изменении конфигурации ресурсов в рамках единого сервиса.

Возможности управления облачными сервисами:

1. Подход "Политика-как-код"

Одной из самых сложных задач, стоящих перед командами облачных операций, является обеспечение последовательного применения политик для нескольких аккаунтов в облачной среде. Guardrails предоставляет шаблоны, что упрощает повторную настройку политик для облачных аккаунтов. Вы также можете создать шаблон на основе конфигураций, установленных в существующем облачном аккаунте, и использовать его в качестве базового уровня для обнаружения будущих отклонений для этого аккаунта. Создание пользовательских шаблонов помогает учитывать специфические требования организации.

Эта функциональность ускоряет создание соответствующих требованиям аккаунтов для нескольких команд разработки приложений в разных средах и снижает количество ошибок. Десятки готовых шаблонов для Amazon Web Services и Microsoft Azure уже доступны для быстрого начала применения политик по расходам, безопасности, производительности и сетям.

Обнаружение отклонений конфигурации на основе событий гарантирует, что любые нарушения политик обнаруживаются и легко исследуются путем сравнения нарушения с состоянием, объявленным в шаблоне:

2. Управление безопасной конфигурацией

Aria Guardrails обеспечивает всестороннее использование передовых практик безопасности конфигурации и механизмов соблюдения требований. Решение реализует более чем 1200 предопределенных политик, включая мониторинг общедоступных ресурсов, безопасную конфигурацию данных и возможность аудита ресурсов. 20 готовых отраслевых шаблонов комплаенса, включая SOC2, HIPPA, NIST 800-53 и MITRE ATT&CK, облегчают непрерывное соблюдение требований для облачных ресурсов и сред Kubernetes.

Кроме того, можно создать кастомные политики для обнаружения определенных конфигураций, используя связи облачных компонентов, при этом не требуются навыки программирования. Сканируя взаимосвязи между Kubernetes и облачными сервисами, Guardrails использует более 250 расширенных правил обнаружения для выявления рисков, которые пользователи не определят вручную.

3. Управление облачными привилегиями

Управление привилегиями в масштабе и внедрение передовых практик IAM является непростой задачей в большой облачной среде. В связи с ростом числа людей и машин, имеющих права на облачные ресурсы, организациям требуется решение, которое помогает определить и аудировать условия доступа, которые могут привести к нарушению безопасности. VMware Aria Guardrails помогает визуализировать и определить пути, по которым пользователь может получить доступ к облачному ресурсу, отображая связи между принципалами (человеческим пользователем или рабочей нагрузкой), привилегиями и ресурсами. Это также позволяет категоризировать разрешения и помогает понять объем привилегий принципала, что упрощает и ускоряет расследование инцидентов ИБ в облачных средах.

Например, на скриншоте выше вы можете посмотреть роли и политики, которые обеспечивают доступ к AWS.EC2.KeyPair для принципала, понять, какие действия принципал может предпринять, и отфильтровать представление по действиям с обновлением графа.

4. Управление конфигурацией и безопасностью хостов

Guardrails предоставляет встроенное решение для управления конфигурацией ОС и соблюдения комплаенса с широким набором предустановленных стандартов (с данными о приложениях), функциями обнаружения изменений конфигурации на основе событий и автоматическим устранением отклонений, как только они возникают. Вы также можете сканировать среду на предмет уязвимостей системы на уровне ОС, сопоставлять с общими уязвимостями и эксплуатациями (CVE) и устранять любые риски безопасности для хостов.

5. VMware Aria Hub на базе VMware Aria Graph

Используя графическое хранилище данных, предоставляемое VMware Aria Graph, для каждого оповещения о нарушении политики, вы можете визуализировать конфигурацию ресурса и связанные объекты для понимания общего риска. VMware Aria Hub предлагает простой способ управления облачными аккаунтами, получения контроля над всем облачным инвентарем и изучения топологии приложений. Подробнее об этом продукте можно почитать тут.

Подпишитесь на бесплатную версию VMware Aria Hub, чтобы получить доступ к VMware Aria Guardrails.


Таги: VMware, Aria, Guardrails, Cloud, Security, Compliance

Поддержка аутентификации OAuth 2.0 для утилит VMware Cloud Automation Tools


На днях компания VMware объявила о том, что решения VMware Cloud on AWS Terraform Provider и Python Automation Utility for VMware Cloud on AWS теперь поддерживают аутентификацию приложений OAuth 2.0 для VMware Cloud, что позволяет зарегистрировать средства автоматизации с поддержкой этого типа аутентификации. Теперь администраторы могут управлять учетными данными, привязанными к API-токенам доступа отдельных разработчиков, на уровне организации.

Объекты OAuth app действуют как сущности в рамках коммуникаций server-to-server и могут быть использованы в разных организациях. Только пользователь, создавший API-токен, может управлять им, а владелец OAuth app - это организация, которая управляется администратором с ролью Developer. Поэтому для использования API, где не требуется связывание токена с пользователем (например, полностью автоматизированные решения), рекомендуется не использовать API-токены персональных аккаунтов.

Это позволяет избежать ситуации, когда аккаунт этого человека был деактивирован или устарел, для него изменилась роль и т.п., что может повлиять на сервисы, использующие этот токен. Вместо этого владелец объекта Organization создает OAuth App с App ID и App Secret, чтобы дать доступ приложению по API. Детали этого процесса на платформе VMware Cloud on AWS приведены вот в этой статье.

Итак, здесь есть 2 важных шага по созданию OAuth: создать объект App и назначить его объекту Org.

Для создания App нужно сделать следующее:

  • Логинимся в CSP, кликаем на имя пользователя и выбираем для него View Organization
  • Переходим на вкладку OAuth Apps в самом верху страницы
  • Нажимаем Create App и выбираем Server to server app

  • Определяем имя приложения, описание, время жизни токена (Access Token TTL, рекомендуется 30 минут). Надо помнить, что как только токен создан - уже нет способа отозвать доступ, поэтому не надо задавать слишком большое время.
  • Нажимаем Create. Надо помнить, что стоит максимально ограничивать роли для сервисов и действий в рамках организации минимально необходимыми привилегиями.
  • Скачиваем копию App ID и App Secret.

Помните, что после этого экрана вы уже не сможете скачать App Secret, но вы можете просмотреть App ID, а сам App Secret можно сгенерировать снова. Другие свойства приложения также можно редактировать после создания.

Назначаем объект App объекту Org:

  • Нажимаем Add после того, как вы создали App, чтобы добавить приложение в текущую организацию.
  • Переходим на страницу OAuth Apps со страницы View Organization (у пользователя должны быть права по добавлению в эту организацию)

Последний релиз VMware Cloud on AWS Terraform Provider был обновлен и теперь включает два новых поля в файле переменных variables.tf: client_id и client_secret. Параметр client_id - это идентификатор объекта OAuth App, ассоциированный с организацией, а client_secret  - это его пароль. Оба этих параметра вместе используются для аутентификации при вызове VMware Cloud Services API. Помимо этой комбинации, вы можете использовать и один параметр api_token.

Решение Python Automation Utility for VMware Cloud on AWS также было обновлено, чтобы поддерживать метод аутентификации OAuth 2.0 app. Чтобы использовать его, нужно указать параметры oauth_clientId и oauth_clientSecret в файле config.ini, как показано в примере ниже:

По умолчанию механизм аутентификации использует API-токен, указанный в поле refresh_Token файла config.ini. Чтобы использовать новый метод аутентификации OAuth app, нужно добавить параметр -oauth при запуске команд, указанных ниже.

Пример команды для использования аутентификации по умолчанию с использованием refresh_Token:

./pyVMC.py sddc show-sddcs

А вот так нужно запускать эту команду для использования аутентификации OAuth app:

./pyVMC.py sddc show-sddcs –oauth

Для получения полного списка команд и инструкций по использованию средства Python Utility for VMware Cloud on AWS обратитесь к этому документу.


Таги: VMware, Cloud, Automation, Security, Python, AWS, VMConAWS

Управление кредами PowerShell 7 с помощью модуля VMware.VISecret в инфраструктуре VMware vSphere


Многие пользователи применяют сценарии PowerCLI (недавно, кстати, вышла 13-я версия этого пакета) для автоматизации виртуальной инфраструктуры VMware vSphere на базе фреймворка PowerShell.

При этом для скриптов часто встает вопрос безопасного хранения данных учетных записей (логин-пароль), чтобы не указывать их прямым текстом в исходниках сценариев. Компонент PowerCLI credential store использует хранилище учетных записей, которое, в свою очередь, использует Windows data protection API для шифрования данных учетных записей и хранения их в файле. Поэтому PowerCLI credential store доступен только в Windows и не является кроссплатформенным. А что насчет пользователей Linux и MacOS?

Некоторое время назад Microsoft выпустила два полезных кроссплатформенных модуля SecretManagement и SecretStore (подробнее об этом тут). SecretManagement предоставляет командлеты, которые позволяют пользователям управлять паролями в различных хранилищах, а SecretStore - это, собственно, само хранилище и есть. Эти два модуля можно использовать вместо стандартного хранилища VICredential. Чтобы проиллюстрировать, как работать с ними, в VMware сделали пример модуля с разными версиями командлетов VICredential.

Первый шаг - это регистрация и конфигурация защищенного хранилища. В примере использования модуля, упомянутом выше, можно использовать Initialize-VISecret, который реализует эту процедуру - регистрирует SecretStore как хранилище по умолчанию и настраивает окружение так, чтобы пароль не запрашивался при доступе к хранилищу.

function Initialize-VISecret {
[CmdletBinding()]
param(
[string]$Vault = "VMwareSecretStore"
)

process {
Set-SecretStoreConfiguration -Scope CurrentUser -Authentication None -Interaction None -Confirm:$false
  Register-SecretVault -Name $Vault -ModuleName Microsoft.PowerShell.SecretStore -DefaultVault
}
}

Этот режим по пользовательскому опыту близок к VICredentialStore, так как пароли хранятся в зашифрованном виде, но сам пароль при доступе к нему не запрашивается. В примере используется SecretStore по умолчанию, но можно изменить хранилище на любое по вашему выбору, а именно:

Чтобы сохранить креды в хранилище, нужно использовать командлет Set-Secret модуля SecretManagement. Сами креды в этом командлете идентифицируются по имени, но в примере ниже креды описываются двумя идентификаторами - имя пользователя и сервер, к которому нужно получить доступ. Такими образом, командлет New-VISecret склеивает строки "VISecret", сервер и имя пользователя в один идентификатор, который и используется для получения пароля.

Если вы хотите сохранить креды более чем для одного продукта, вы можете изменить функцию так, чтобы заменить VISecret на другую специфичную для продукта строку, чтобы создать идентификатор, например, "VMCSecret" для VMware Cloud. Можно передавать пароль простым текстом или в виде защищенной строки.

Также вы можете удалить креды из хранилища, используя командлет Remove-VISecret, который создает идентификатор и вызывает функцию Remove-Secret для удаления кредов. Если вы используете SecretStore в качестве хранилища, вы можете очистить его полностью с помощью функции Reset-SecretStore.

Создание нового идентификатора выглядит так:

function New-VISecret {
    [CmdletBinding()]
    [Alias("Set-VISecret")]
    param (
        [Parameter(Mandatory=$true)]
        [string]$Server,
        [Parameter(Mandatory=$true)]
        [string]$User,
        [string]$Password,
        [securestring]$SecureStringPassword,
        [string]$Vault
    )
    begin {
        if ([string]::IsNullOrWhiteSpace($password) -and (-not $secureStringPassword)) {
            Throw "Either Password or SecureStringPassword parameter needs to be specified"
        }
        if (-not [string]::IsNullOrWhiteSpace($password) -and $secureStringPassword) {
            Throw "Password and SecureStringPassword parameters cannot be both specified at the same time"
        }
    }
    process {
        $params = @{
            "Name" = "VISecret|"+$server+"|"+$User
        }
         if ($password) {
            $params += @{"Secret" = $password}
        } elseif ($secureStringPassword) {
            $params += @{"SecureStringSecret" = $secureStringPassword}
        } elseif ($Vault) {
            $params += @{"Vault" = $Vault}
        }
        Set-Secret @params
    }
}

Получение кредов из хранилища выглядит так:

function Get-VISecret {
    [CmdletBinding()]
    param (
        [Parameter(Mandatory=$true)]
        [string]$Server,
        [Parameter(Mandatory=$true)]
        [string]$User,
        [switch]$AsPlainText,
        [string]$Vault
    )
    process {
        $params = @{
            "Name" = "VISecret|"+$server+"|"+$User
        }
        if ($AsPlainText.IsPresent) {
            $params += @{"AsPlainText" = $AsPlainText.ToBool()}
        } elseif ($Vault) {
            $params += @{"Vault" = $Vault}
        }
        Get-Secret @params
    }
}

Последний командлет в примере - это Connect-VIServerWithSecret. Он сочетает в себе оба командлета, приведенных выше, что дает интегрированный инструмент для работы по аналогии с командлетом Connect-VIServer для VICredentialStore. Вы можете вызвать Connect-VIServerWithSecret с логином и паролем, но использовать параметр -SaveCredentials для сохранения кредов в хранилище.

После этого вы можете опускать параметры учетной записи, а Connect-VIServerWithSecret будет автоматически получать пароль из хранилища и соединяться с сервером vCenter. При использовании VICredentialStore, если у вас сохранены креды только к одному серверу, вы можете соединяться с ним через Connect-VIServer без указания имени пользователя. А для использования функции Get-Secret параметр -Username является обязательным, так как не проверяется, что в хранилище сохранена только одна учетная запись. Чтобы упростить жизнь в этом случае есть глобальная переменная $global:defaultUser, значение которой и будет использоваться в Connect-VIServerWithSecret.


Таги: VMware, PowerCLI, PowerShell, Security, vSphere

VMware vSphere IA/GA - или как VMware сделала выводы из ошибок прошлого


На прошедшей осенью этого года главной конференции о виртуализации Explore 2022 компания VMware сделала немало интересных анонсов, главным из которых стал выпуск новых версий платформ vSphere 8 и vSAN 8. На американской и европейской конференциях много говорили о будущих новых продуктах и технологиях VMware, но несколько незамеченным остался переход VMware на новую схему релизов платформы vSphere...


Таги: VMware, ESXi, ESX, Security, Update, vSphere

Решение VMware Ransomware Recovery доступно для пользователей


На прошедшей конференции Explore 2022 компания VMware представила множество интересных продуктов и технологий, о которых мы рассказали вот тут. Сегодня мы поговорим еще об одном решении, релиз которого состоялся на этой неделе - VMware Ransomware Recovery.

Согласно исследованиям, каждые 11 секунд в мире происходят атаки типа Ransomware (программы-вымогатели). Компаниям приходится платить до 5 миллионов долларов в качестве выкупа за получение доступа к своим данным. При этом в 92% случаев жертвы Ransomware после переведения оплаты в итоге не получают полного доступа к своим данным.

Сегодня мероприятия по борьбе с Ransomware состоят из следующих этапов:

В настоящее время большие компании заинтересованы в получении услуги Ransomware Recovery as-a-Service, которая подразумевает непрерывную работу по обнаружению и ликвидации вредоносного ПО, которое постоянно проникает в крупные организации. Проблема здесь в том, что Ransomware может жить незаметно в инфраструктуре до нескольких месяцев (сейчас медианный показатель составляет 11 дней), поэтому регулярное резервное копирование, неизменяемые копии (immutable backups) и жесткие политики хранения данных тоже не являются на 100% работающим средством.

В процессе восстановления после атаки Ransomware администраторы сталкиваются со следующими проблемами:

  • Идентификация точки восстановления, которая находится до момента возникновения подозрительной активности.
  • Валидация точки восстановления, чтобы убедиться в том, что данные в ней не содержат вредоносного кода.
  • Проведение итеративного процесса восстановления как можно быстрее.
  • Минимизация потерь данных в рамках процесса восстановления и после него - машины нужно поднять в изолированном окружении (Isolated Recovery Environment, IRE) и протестировать их на отсутствие инфекции. При этом надо сделать так, чтобы внутри ВМ оказались самые последние незараженные версии файлов и папок.

Итак, выпущенный VMware продукт Ransomware Recovery представляет собой облачное решение, доступное по запросу как Ransomware Recovery as-a-Service. Оно является дополнением к продукту VMware Cloud Disaster Recovery и использует двухъярусную инфраструктуру хранения, которая была разработана, в том числе, для задач борьбы с Ransomware.

Об этом мы уже писали ранее - одной из имплементаций такой инфраструктуры является платформа VMware Cloud Flex Storage.

Это решение построено на базе файловой системы enterprise-класса, которая разрабатывается уже много лет на базе продукта Datrium DHCI, купленного VMware в июле 2020 года. Эта же файловая система используется для сервиса VMware Cloud Disaster Recovery. Она имеет двухъярусный дизайн, который позволяет просто масштабировать емкость и производительность хранилищ, используя архитектуру Log-Structured Filesystem (LFS).

Там доступны такие возможности, как эффективные снапшоты, неизменяемость бэкапов (immutability), защита от ransomware и многое другое, что позволяет использовать их для разных типов организаций и рабочих нагрузок.

Функциональность VMware Ransomware Recovery в консоли Cloud Disaster Recovery позволяет обеспечить рабочий процесс идентификации Ransomware, валидации резервных копий и восстановления инфраструктуры после атаки в рамках утвержденных шагов согласно руководствам blueprints от VMware.

Возможности guided restore point selection позволяют найти точку во времени (снапшот данных), которая является наиболее подходящей для восстановления, учитывая баланс теряемых данных и вероятности возвращения инфекции:

Встроенные функции Next Gen AV and Behavioral Analysis позволяют проанализировать выбранный снапшот на наличие вредоносного кода. Это, конечно же, не дает 100% гарантии, что его там нет, но очень существенно снижает риски.

Все тесты проходят в окружении Isolated Recovery Environment (IRE), где внутрь виртуальной машины вставляет специальный security sensor, который проверяет машину на подозрительные активности.

В результате анализа будет выведен отчет о подозрительных активностях ВМ:

Кроме того, VMware Ransomware Recovery предоставляет следующие функции:

  • Пользователи могут использовать предконфигурированные сетевые политики в изолированном окружении, чтобы избежать реинфицирования.
  • За счет возможности Live Mount виртуальные машины включаются мгновенно в среде IRE, без необходимости их восстанавливать в нативном формате. Это минимизирует общее время восстановления инфраструктуры.
  • Возможности 30-minute RPO и Granular Recovery позволяют сохранять резервные копии в облако каждые полчаса и хранить их там в immutable-режиме в файловой системе Scale Out Cloud Filesystem. Это позволяет хранить глубокую историю снапшотов, а также восстанавливать отдельные файлы и папки из резервных копий в нужную точку восстановления (машину для этого даже не нужно включать).
  • Встроенные отчеты об аудите дают представление о производительности и полноте операций аварийного восстановления. Они доступны напрямую из SaaS-консоли.

Релиз VMware Ransomware Recovery уже состоялся. Более подробно почитать об этом решнии можно по этой ссылке.


Таги: VMware, Ransomware, Recovery, Security, Cloud, LSFS, DR

Анонсировано решение VMware Aria Operations for Networks 6.8 (бывший продукт vRealize Network Insight)


Недавно мы писали об анонсированной на конференции VMware Explore 2022 платформе VMware Aria, которая пришла на смену семейству продуктов VMware vRealize для управления кросс-облачными виртуальными датацентрами, присоединив к себе решение Skyline.

Сегодня мы поговорим еще об одном продукте VMware Aria Operations for Networks 6.8, сменившем средство vRealize Network Insight 6.7, продвинув его версию на 0.1. Напомним, что vRNI - это платформа для мониторинга и защиты сетевой инфраструктуры виртуальной среды на уровне приложений в онпремизном и облачном датацентре.

Первое большое нововведение Aria Operations for Networks - это обновленный стартовый дэшборд, где собрана сводная информация об инфраструктуре сетевых взаимодействий виртуального датацентра.

Здесь есть информация о здоровье платформы и ее сборщиков, различные источники данных, такие как vCenter, NSX-T, AWS и физические серверы, алерты, инстайты в сетевом разрезе, а также выявленные аномалии.

Также тут представлены тепловые карты окружения, объединяющего онпремизные, облачные и гибридные облачные ресурсы. Среди инсайтов представлены рекомендации по оптимизации правил фаерволов, подсистемы безопасности и многого другого, что требует внимания администратора.

Ну и главное, что здесь визуально видно, что именно требует немедленного реагирования, чтобы обеспечить работоспособность, безопасность и производительность приложений:

Также появились улучшения функций Network Assurance and Verification, основанных на приложениях. Теперь они позволят повысить производительность за счет нахождения проблем в TCP-трафике с точки зрения задержек (latency), повторной передачи и отображения алертов на дэшборде. Также есть возможность сравнить поведение приложения на разном оборудовании инфраструктуры, чтобы определить есть ли ошибки конфигурации, такие как некорректный размер пакета или MTU.

Онпремизные инсталляции теперь поддерживают функции Guided Network Troubleshooting (ранее было доступно только для SaaS-версии), которые позволяют визуализовать взаимозависимости компонентов и пройти по шагам к источнику проблемы, что дает администратору ответ на вопрос, куда копать в поисках решения:

Также добавилось еще несколько новых возможностей:

  • Улучшения Cisco ACI, включая возможность поиска путей в топологиях NSX-T и Cisco ACI, а также поддержка различных сценариев Endpoint Groups (EPG).
  • VMware HCX API для автоматизации действий по миграции рабочих нагрузок в облако и между облаками.
  • Улучшенная интеграция с VMware Cloud on AWS, что позволяет упростить развертывание продукта Aria Operations for Networks как аддона в облаке SDDC.
  • Встроенные обучающие гайды для операций с трафиком, планирования инфраструктуры безопасности, обнаружения приложений, влияния найденных проблем на бизнес, сетевого здоровья компонентов и поисковых запросов.

Пробную версию продукта VMware Aria Operations for Networks 6.8 можно загрузить по этой ссылке.


Таги: VMware, Aria, Operations, Networking, vNetwork, Security, Update

VMware представила Project Newcastle для поддержки новых технологий шифрования


На прошедшей недавно конференции Explore 2022 компания VMware представила Project Newcastle - решение, использующее методику Post Quantum Cryptography (PQC) для создания фреймворка на базе политик, который позволяет организовать переход на современные технологии защиты для нового поколения приложений.

Вся индустрия шифрования на протяжении десятилетий использовала алгоритмы шифрования инфраструктуры открытых ключей RSA и ECDSA (Elliptic Curve Digital Signature Algorithm). С приходом квантовых вычислений их надежность в плане защиты от взлома с помощью квантовых компьютеров встала под угрозу.

Как многие знают, методики шифрования - это всегда компромисс между различными параметрами, такими как скорость обработки, размерность ключа, размер полезного сообщения и прочими. Чтобы перевести технологии шифрования на новый уровень, VMware представила методику Cryptographic agility - это механизм конфигурации на базе политик и платформа оркестрации для больших инфраструктур, где используются новые техники шифрования и обеспечивается обратная совместимость со старыми.

Project Newcastle, интегрированный с архитектурой Tanzu Service Mesh, предоставляет разработчикам средства, позволяющие перенастроить криптографию для приложений, чтобы она соответствовала политикам организации и отраслевым стандартам.

В партнерстве с компанией Entrust, VMware представила enterprise-grade решение, которое позволит обеспечить полную поддержку современных механизмов шифрования PQC с возможностью оркестрации операций жизненного цикла сертификатов на базе политик. Связка Entrust + Project Newcastle обеспечивает полную автоматизацию операций в этом ключе.

В рамках Explore 2022 компания VMware провела демонстрацию технологии Project Newcastle на базе облаков GCP и AWS, в которых располагаются кластеры Kubernetes:

Здесь представлена видимость криптографических политик между облаками, которые поддерживают провайдеров Post Quantum Cryptography при межоблачном взаимодействии.

При создании политики нужно указать область ее действия - для отдельных сервисов, кастомной группы или выбранных API. Ниже показан пример создания политики для всего приложения в варианте глобального пространства имен Global Namespace (GNS).

Далее определяется спецификация для создаваемой политики. Первый вариант - это кастомная политика криптографии на базе выбранных протоколов, используемых библиотек и прочего:

Для более простого варианта, который "просто работает", VMware рекомендует готовую политику, обеспечивающую комплаенс FIPS 140-3 и защиту от квантовых атак (quantum safety). Можно просто выбрать стандарт, который требуется в вашей организации:

Дальше нужно выбрать центр сертификации (certificate authority). VMware работает с Entrust, чтобы динамически развертывать сертификаты, соответствующие указанным требованиям. Служба Entrust PKI Service поддерживает сертификаты PQC:

Далее определяем, когда политика должна быть применена (прямо сейчас, сохранена как неактивная или внедрена в другой рабочий процесс):

После этого можно просмотреть данные о выбранной политике. Она будет обратно совместимой с уже существующими стандартами шифрования, такими как RSA, ECDSA и ECDHE:

Активация политики позволяет Project Newcastle перенастроить провайдеров шифрования, чтобы они соответствовали выбранным политикам. Это динамически включает возможность поддерживать PQC-коммуникацию между облаками. Ниже можно увидеть, что межоблачное соединение поддерживает стандарты NIST для аутентификации и обмена ключами:

Project Newcastle имеет встроенные средства для аттестации приложений, чтобы ограничить риски типа supply chain attacks. Для каждого приложения доступны не только сервисы аттестации, но и детальный отчет о статусе комплаенса для данного приложения в любой момент:

Более подробно о Project Newcastle можно узнать из следующих статей в блогах VMware:


Таги: VMware, Newcastle, Security, Enterprise, Cloud

VMware представила Project Narrows для динамического сканирования безопасности контейнеров


На конференции Explore 2022 компания VMware представила много новых продуктов и технологий. О некоторых из них мы уже рассказали:

Сегодня мы поговорим о Project Narrows - новом решении, предназначенном для динамического сканирования безопасности контейнеров.

Сейчас многие пользователи Kubernetes применяют решение Harbor для хранения, сканирования и подписания контента для распространения Cloud Native приложений в рамках полной цепочки развертывания. Project Narrows представляет собой дополнение к Harbor, которое позволяет получить доступ к состоянию безопасности кластеров Kubernetes в реальном времени.

Образы, которые ранее не проверялись, теперь будут сканироваться на уязвимости не только в процессе добавления в кластер, то есть теперь можно будет своевременно обнаружить бреши в безопасности, пометить их и поместить рабочие нагрузки на карантин.

Администраторы кластеров сейчас используют Harbor для статического анализа уязвимости в образах, используя различные утилиты, такие как Trivy, Claiк и ArkSec. Эти утилиты позволяют сканировать образы только после выполненного действия, такого как обновление образа или добавление рабочей нагрузки в кластер. Однако угрозы безопасности могут возникнуть и во время исполнения рабочих нагрузок.

Project Narrows добавляет динамическое сканирование образов, что позволяет получить большую защищенность и контроль над исполнением рабочих нагрузок, чем при использовании традиционных средств.

Это даст следующие преимущества:

  • Немедленное оповещение об уязвимости во время исполнения рабочей нагрузки
  • Предотвращение атаки в процессе работы приложений
  • Ограничение эксплоитов в работающем приложении без необходимости уничтожать контейнер
  • Находить эксплоиты в более сложных приложениях и сервисах
  • Идентифицировать сложные, состоящие из нескольких шагов атаки

Суть сложных атак заключается в том, что они используют уязвимости в ПО различных вендоров, которые не обнаруживаются на уровне хранения образов, но во время работы приложений они активируются и могут быть использованы злоумышленниками.

Архитектура Project Narrows позволяет интегрироваться с Harbor как плагин (выделенный квадрат на рисунке) для кластеров Kubernetes, которым необходимо динамическое сканирование. Используя простой UI и интерфейс CLI, администратор может выполнять следующие действия:

  • Просматривать в реальном времени статус защищенности рабочих нагрузок
  • Создавать политики для сканирования, включая найденные ошибки в приложениях
  • Делать ревью базовых уровней политик и, при необходимости, предотвращать развертывание рабочих нагрузок из уязвимых образов
  • Настраивать политику карантина для незащищенных рабочих нагрузок
  • Просматривать, фильтровать и удалять отчеты о политиках
  • Генерировать отчеты о состоянии систем при каждом сканировании
  • Просматривать информацию о помеченных узлах с потенциальными рисками

Первоначальные возможности Project Narrow доступны уже сейчас в репозитории на GitHub как проект Cloud Native Security Inspector ("CNSI"). Также вы можете посмотреть про этот проект полезную сессию с конференции VMware Explore 2022 - Running App Workloads in a Trusted, Secure Kubernetes Platform [VIB1443USD].


Таги: VMware, Narrows, Explore, Kubernetes, Security

1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15    >   >>
Интересное:





Зал Славы Рекламодателя
Ближайшие события в области виртуализации:

26/08/2024:  VMware Explore 2024 Лас-Вегас
04/11/2024:  VMware Explore 2024 Барселона

Быстрый переход:
VMware VMachines Offtopic NAKIVO vStack Gartner Veeam Vinchin StarWind Nakivo IT-Grad Cloud Teradici VeeamON VMworld PowerCLI Citrix VSAN GDPR 5nine Hardware Nutanix vSphere RVTools Enterprise Security Code Cisco vGate Microsoft SDRS Parallels IaaS HP VMFS VM Guru Oracle Red Hat Azure KVM VeeamOn 1cloud DevOps Docker Storage NVIDIA Partnership Dell Virtual SAN Virtualization VMTurbo vRealize VirtualBox Symantec Softline EMC Login VSI Xen Amazon NetApp VDI Linux Hyper-V IBM Google VSI Security Windows vCenter Webinar View VKernel Events Windows 7 Caravan Apple TPS Hyper9 Nicira Blogs IDC Sun VMC Xtravirt Novell IntelVT Сравнение VirtualIron XenServer CitrixXen ESXi ESX ThinApp Books P2V Update Avi Aria Broadcom Workstation Private AI EUC Community vSAN VCF Skyline NSX HCX AI Host Client Explore Chargeback Horizon Labs SASE Tanzu Workspace ONE Networking Backup Ransomware Tools Performance Lifecycle VCP Network AWS Intel API USB SDDC Fusion Whitepaper SD-WAN Mobile VMUG SRM ARM HCI Converter Photon OS Operations VEBA App Volumes Certification VMConAWS Workspace Imager SplinterDB DRS SAN vMotion Open Source iSCSI Partners HA Monterey Kubernetes V2V vForum Learning vRNI UAG Support Log Insight AMD vCSA NSX-T Graphics NVMe HCIBench SureBackup vCloud Обучение Web Client vExpert OpenStack UEM CPU PKS vROPs Stencils Bug VTL Forum Video Update Manager VVols DR Cache Storage DRS Visio Manager Virtual Appliance PowerShell LSFS Client Datacenter Agent esxtop Book Photon Cloud Computing SSD Comparison Blast Encryption Nested XenDesktop VSA vNetwork SSO VMDK Appliance VUM HoL Automation Replication Desktop Fault Tolerance Vanguard SaaS Connector Event Free SQL Sponsorship Finance FT Containers XenApp Snapshots vGPU Auto Deploy SMB RDM Mirage XenClient MP iOS SC VMM VDP PCoIP RHEV vMA Award Licensing Logs Server Demo vCHS Calculator Бесплатно Beta Exchange MAP ONE DaaS Hybrid Monitoring VPLEX UCS GPU SDK Poster VSPP Receiver VDI-in-a-Box Deduplication Reporter vShield ACE Go nworks iPad XCP Data Recovery Documentation Sizing Pricing VMotion Snapshot FlexPod VMsafe Enteprise Monitor vStorage Essentials Live Migration SCVMM TCO Studio AMD-V KB VirtualCenter NFS ThinPrint ESA Troubleshooting Director Android Python Upgrade Stretched ML Hub Guardrails CLI VCPP Memory Driver Foundation HPC Orchestrator Optimization Bugs SVMotion Diagram Ports SIOC Plugin Helpdesk VIC VDS Migration Air DPM Flex Mac SSH VAAI Heartbeat MSCS Composer
Полезные постеры:

Постер VMware vSphere PowerCLI 10

Постер VMware Cloud Foundation 4 Architecture

Постер VMware vCloud Networking

Постер VMware Cloud on AWS Logical Design Poster for Workload Mobility

Постер Azure VMware Solution Logical Design

Постер Google Cloud VMware Engine Logical Design

Постер Multi-Cloud Application Mobility

Постер VMware NSX (референсный):

Постер VMware vCloud SDK:

Постер VMware vCloud Suite:

Управление памятью в VMware vSphere 5:

Как работает кластер VMware High Availability:

Постер VMware vSphere 5.5 ESXTOP (обзорный):

 

Популярные статьи:
Как установить VMware ESXi. Инструкция по установке сервера ESXi 4 из состава vSphere.

Включение поддержки технологии Intel VT на ноутбуках Sony VAIO, Toshiba, Lenovo и других.

Типы виртуальных дисков vmdk виртуальных машин на VMware vSphere / ESX 4.

Как настроить запуск виртуальных машин VMware Workstation и Server при старте Windows

Как работают виртуальные сети VLAN на хостах VMware ESX / ESXi.

Сравнение Oracle VirtualBox и VMware Workstation.

Что такое и как работает виртуальная машина Windows XP Mode в Windows 7.

Работа с дисками виртуальных машин VMware.

Диски RDM (Raw Device Mapping) для виртуальных машин VMware vSphere и серверов ESX.

Инфраструктура виртуальных десктопов VMware View 3 (VDI)

Подключение локальных SATA-дисков сервера VMware ESXi в качестве хранилищ RDM для виртуальных машин.

Где скачать последнюю версию VMware Tools для виртуальных машин на VMware ESXi.

Как использовать возможности VMware vSphere Management Assistant (vMA).

Бесплатные утилиты для виртуальных машин на базе VMware ESX / ESXi.

Как перенести виртуальную машину VirtualBox в VMware Workstation и обратно

Интервью:

Alessandro Perilli
virtualization.info
Основатель

Ратмир Тимашев
Veeam Software
Президент


Полезные ресурсы:

Последние 100 утилит VMware Labs

Новые возможности VMware vSphere 8.0 Update 1

Новые возможности VMware vSAN 8.0 Update 1

Новые документы от VMware

Новые технологии и продукты на VMware Explore 2022

Анонсы VMware весной 2021 года

Новые технологии и продукты на VMware VMworld 2021

Новые технологии и продукты на VMware VMworld 2020

Новые технологии и продукты на VMware VMworld Europe 2019

Новые технологии и продукты на VMware VMworld US 2019

Новые технологии и продукты на VMware VMworld 2019

Новые технологии и продукты на VMware VMworld 2018

Новые технологии и продукты на VMware VMworld 2017



Copyright VM Guru 2006 - 2024, Александр Самойленко. Правила перепечатки материалов.
vExpert Badge