Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 12 Absichern einer ESX-Konfiguration
Zusätzlich zu den in Tabelle 12-1 aufgeführten TCP- und UDP-Ports können Sie andere Ports je nach Ihren
Bedürfnissen konfigurieren:
• Mit dem vSphere-Client können Sie Ports für installierte Verwaltungs-Agenten und unterstützte Dienste
wie NFS freigeben.
• Für andere Dienste und Agenten, die für Ihr Netzwerk notwendig sind, können Sie in der Servicekonsole
weitere Firewall-Ports öffnen, indem Sie Befehlszeilenskripts ausführen.
Absichern virtueller Maschinen durch VLANs
Das Netzwerk gehört zu den gefährdetsten Teilen eines jeden Systems. Ihre VM-Netzwerk muss genauso wie
ihr physisches Netzwerk geschützt werden. Sie können Ihr Netzwerk der virtuellen Maschinen auf verschiedene
Weise absichern.
Wenn das Netzwerk virtueller Maschinen an ein physisches Netzwerk angeschlossen ist, kann es ebenso Sicherheitslücken
aufweisen wie ein Netzwerk, das aus physischen Computern besteht. Selbst wenn das virtuelle
Maschinennetzwerk nicht an ein physisches Netzwerk angeschlossen ist, kann ein Angriff auf virtuelle Maschinen
innerhalb des Netzwerks von anderen virtuellen Maschinen des Netzwerks aus erfolgen. Die Anforderungen
an die Absicherung virtueller Maschinen sind oft die gleichen wie für physische Maschinen.
Virtuelle Maschinen sind voneinander isoliert. Eine virtuelle Maschine kann weder Lese- noch Schreiboperationen
im Speicher der anderen virtuellen Maschine ausführen noch auf deren Daten zugreifen, ihre Anwendungen
verwenden usw. Im Netzwerk kann jedoch jede virtuelle Maschine oder eine Gruppe virtueller Maschinen
Ziel eines unerlaubten Zugriffs von anderen virtuellen Maschinen sein und daher weiteren Schutzes
durch externe Maßnahmen bedürfen.
Sie können die Sicherheit durch unterschiedliche Maßnahmen erhöhen:
• Hinzufügen von Firewallschutz für das virtuelle Netzwerk durch Installation und Konfiguration von
hostbasierten Firewalls auf einigen oder allen virtuellen Maschinen im Netzwerk.
Aus Effizienzgründen können Sie private Ethernet-Netzwerke virtueller Maschinen oder Virtuelle Netzwerke
einrichten. Bei virtuellen Netzwerken installieren Sie eine hostbasierte Firewall auf einer virtuellen
Maschine am Eingang des virtuellen Netzwerks. Diese dient als Schutzpufferzone zwischen dem physischen
Netzwerkadapter und den übrigen virtuellen Maschinen im virtuellen Netzwerk.
Die Installation einer hostbasierten Firewall auf virtuellen Maschinen am Eingang eines virtuellen Netzwerks
ist eine bewährte Sicherheitsmaßnahme. Da hostbasierte Firewalls jedoch die Leistung beeinträchtigen
können, sollten Sie Sicherheitsbedürfnisse und Leistungsanforderungen abwägen, bevor Sie hostbasierte
Firewalls in anderen virtuellen Maschinen im Netzwerk installieren.
• Beibehalten verschiedener Zonen aus virtuellen Maschinen innerhalb eines Hosts auf verschiedenen
Netzwerksegmenten. Wenn Sie virtuelle Maschinenzonen in deren eigenen Netzwerksegmenten isolieren,
minimieren Sie das Risiko eines Datenverlusts aus einer virtuellen Maschinenzone in die nächste. Die
Segmentierung verhindert mehrere Gefahren. Zu diesen Gefahren gehört auch die Manipulation des Adressauflösungsprotokolls
(ARP), wobei der Angreifer die ARP-Tabelle so manipuliert, dass die MAC- und
IP-Adressen neu zugeordnet werden, wodurch ein Zugriff auf den Netzwerkdatenverkehr vom und zum
Host möglich ist. Angreifer verwenden diese ARP-Manipulierung für Denial of Service-Angriffe (DOS),
zur Übernahme des Zielsystems und zur anderweitigen Beeinträchtigung des virtuellen Netzwerks.
VMware, Inc. 179