Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 12 Absichern einer ESX-Konfiguration
belle voll ist, schaltet der Switch ggf. in einen vollständig geöffneten Status um,
in dem alle eingehenden Pakete auf allen Ports übertragen werden, sodass der
Angreifer den gesamten Datenverkehr des Switches verfolgen kann. In diesem
Fall kann es auch zu Paketlecks in andere VLANs kommen.
Zwar speichern die virtuellen Switches von VMware eine MAC-Adressentabelle,
aber sie erhalten die MAC-Adressen nicht von erkennbarem Datenverkehr
und sind daher gegen diese Art von Angriffen immun.
Angriffe durch 802.1qund
ISL-Kennzeichnung
Bei diesem Angriff werden die Datenblöcke durch den Switch an ein anderes
VLAN weitergeleitet, indem der Switch durch einen Trick dazu gebracht wird,
als Verbindungsleitung zu fungieren und den Datenverkehr an andere VLANs
weiterzuleiten.
Die virtuellen Switches von VMware führen das dynamische Trunking, das für
diese Art des Angriffs notwendig ist, nicht aus, und sind daher immun.
Doppelt eingekapselte
Angriffe
Bei dieser Art von Angriffen erstellt der Angreifer ein doppelt eingekapseltes
Paket, in dem sich der VLAN-Bezeichner im inneren Tag vom VLAN-Bezeichner
im äußeren Tag unterscheidet. Um Rückwärtskompatibilität zu gewährleisten,
entfernen native VLANs standardmäßig das äußere Tag von übertragenen
Paketen. Wenn ein nativer VLAN-Switch das äußere Tag entfernt, bleibt
nur das innere Tag übrig, welches das Paket zu einem anderen VLAN weiterleitet,
als im jetzt fehlenden äußeren Tag angegeben war.
Die virtuellen Switches von VMware verwerfen alle doppelt eingekapselten
Datenblöcke, die eine virtuelle Maschine auf einem für ein bestimmtes VLAN
konfigurierten Port senden möchte. Daher sind sie immun gegen diese Art von
Angriffen.
Multicast-Brute-Force-
Angriffe
Bei diesen Angriffen wird eine große Anzahl von Multicast-Datenblöcken fast
zeitgleich an ein bekanntes VLAN gesendet, um den Switch zu überlasten, damit
er versehentlich einige Datenblöcke in andere VLANs überträgt.
Die virtuellen Switches von VMware erlauben es Datenblöcken nicht, ihren
richtigen Übertragungsbereich (VLAN) zu verlassen und sind daher gegen
diese Art von Angriffen immun.
Spanning-Tree-Angriffe
Diese Angriffe zielen auf das Spanning-Tree-Protokoll (STP), das zur Steuerung
der Überbrückung verschiedener Teile des LANs verwendet wird. Der
Angreifer sendet Pakete der Bridge Protocol Data Unit (BPDU) in dem Versuch,
die Netzwerktopologie zu ändern und sich selbst als Root-Bridge einzusetzen.
Als Root-Bridge kann der Angreifer dann die Inhalte übertragener Datenblöcke
mitschneiden.
Die virtuellen Switches von VMware unterstützen STP nicht und sind daher
gegen diese Art von Angriffen immun.
Zufallsdatenblock-Angriffe
Bei diesen Angriffen wird eine große Anzahl Pakete gesendet, bei denen die
Quell- und Zieladressen gleich sind, diese jedoch Felder unterschiedlicher
Länge, Art und mit verschiedenem Inhalt enthalten. Ziel des Angriffes ist es
zu erzwingen, dass Pakete versehentlich in ein anderes VLAN fehlgeleitet
werden.
Die virtuellen Switches von VMware sind gegen diese Art von Angriffen immun.
Da mit der Zeit immer neue Sicherheitsgefahren auftreten, kann diese Liste möglicher Angriffe nicht vollständig
sein. Rufen Sie regelmäßig die VMware-Sicherheitsressourcen im Internet ab, um mehr über Sicherheit,
neue Sicherheitswarnungen und die Sicherheitstaktiken von VMware zu erfahren.
VMware, Inc. 183