Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 11 Sicherheit für ESX-Systeme
den Dienstleistern FTP-Zugriff auf Daten zu gewähren, die auf extern verfügbaren
Servern gespeichert sind. Zusätzlich zur Verarbeitung der Daten für die
virtuelle Maschine 1 verarbeitet das externe Netzwerk 1 auch Daten für FTP-
Server auf anderen ESX-Hosts am Standort.
Da sich die virtuelle Maschine 1 keinen virtuellen Switch oder physischen
Netzwerkadapter mit anderen virtuellen Maschinen auf dem Host teilt, können
die anderen virtuellen Maschinen auf dem Host keine Datenpakete in das
Netzwerk der virtuellen Maschine 1 übertragen oder daraus empfangen. Dadurch
werden Spionageangriffe verhindert, da dem Opfer dafür Netzwerkdaten
gesendet werden müssen. Außerdem kann der Angreifer dadurch die natürliche
Anfälligkeit von FTP nicht zum Zugriff auf andere virtuelle Maschinen
auf dem Host nutzen.
Interne virtuelle Maschinen
DMZ
Die virtuellen Maschinen 2 bis 5 sind der internen Verwendung vorbehalten.
Diese virtuellen Maschinen verarbeiten und speichern vertrauliche firmeninterne
Daten wie medizinische Unterlagen, juristische Dokumente und Betrugsermittlungen.
Daher müssen Systemadministratoren für diese virtuellen Maschinen
den höchsten Schutz gewährleisten.
Diese virtuellen Maschinen sind über ihren eigenen virtuellen Switch und
physischen Netzwerkadapter an das Interne Netzwerk 2 angeschlossen. Das
interne Netzwerk 2 ist der internen Nutzung durch Mitarbeiter wie Reklamationssachbearbeiter,
firmeninterne Anwälte und andere Sachbearbeiter vorbehalten.
Die virtuellen Maschinen 2 bis 5 können über den virtuellen Switch untereinander
und über den physischen Netzwerkadapter mit internen Maschinen an
anderen Stellen des internen Netzwerks 2 kommunizieren. Sie können nicht
mit Computern oder virtuellen Maschinen kommunizieren, die Zugang zu den
externen Netzwerken haben. Wie beim FTP-Server können diese virtuellen
Maschinen keine Datenpakete an Netzwerke anderer virtueller Maschinen
senden oder sie von diesen empfangen. Ebenso können die anderen virtuellen
Maschinen keine Datenpakete an die virtuellen Maschinen 2 bis 5 senden oder
von diesen empfangen.
Die virtuellen Maschinen 6 bis 8 wurden als DMZ konfiguriert, die von der
Marketingabteilung dazu verwendet wird, die externe Website des Unternehmens
bereitzustellen.
Diese Gruppe virtueller Maschinen ist dem externen Netzwerk 2 und dem internen
Netzwerk 1 zugeordnet. Das Unternehmen nutzt das externe Netzwerk
2 zur Unterstützung der Webserver, die von der Marketing- und der Finanzabteilung
zur Bereitstellung der Unternehmenswebsite und anderer webbasierter
Anwendungen für externe Nutzer verwendet werden. Das interne
Netzwerk1 ist der Verbindungskanal, den die Marketingabteilung zur Veröffentlichung
des Inhalts von der Unternehmenswebsite, zur Bereitstellung von
Downloads und Diensten wie Benutzerforen verwendet.
Da diese Netzwerke vom externen Netzwerk 1 und vom internen Netzwerk 2
getrennt sind und die virtuellen Maschinen keine gemeinsamen Kontaktpunkte
(Switches oder Adapter) aufweisen, besteht kein Angriffsrisiko für den FTP-
Server oder die Gruppe interner virtueller Maschinen (weder als Ausgangspunkt
noch als Ziel).
Wenn die Isolierung der virtuellen Maschinen genau beachtet wird, die virtuellen Switches ordnungsgemäß
konfiguriert werden und die Netzwerktrennung eingehalten wird, können alle drei Zonen der virtuellen Maschinen
auf dem gleichen ESX-Host untergebracht werden, ohne dass Datenverluste oder Ressourcenmissbräuche
befürchtet werden müssen.
VMware, Inc. 165