Handbuch zur Serverkonfiguration für ESX - VMware

Handbuch zur Serverkonfiguration für ESX
4 Speichern Sie die Änderungen, und schließen Sie die Datei.
5 Führen Sie den folgenden Befehl aus, um den SSHD-Dienst neu zu starten:
service sshd restart
Sicherheitspatches und Software zum Suchen nach Sicherheitslücken
Bestimmte Sicherheitssuchprogramme wie Nessus überprüfen zwar die Versionsnummer, nicht jedoch das
Patch-Suffix, wenn sie nach Sicherheitslücken suchen. Daher kann es dazu kommen, dass diese Suchprogramme
fälschlicherweise melden, dass die Software nicht aktuell ist und – ungeachtet der Realität – nicht die
neuesten Sicherheitspatches enthält. In diesem Fall können Sie bestimmte Überprüfungen durchführen.
Dieses Problem tritt in der IT-Branche häufig auf und ist nicht auf VMware beschränkt. Einige Sicherheitssuchprogramme
sind in der Lage, diese Situation ordnungsgemäß abzuhandeln, aber normalerweise liegen
sie um eine Version oder mehr zurück. So meldet die Nessus-Version, die nach einem Red Hat-Patch veröffentlicht
wird, diese Fehlmeldungen meistens nicht.
Sobald ein Patch für ein bestimmtes von Linux unterstütztes Softwarepaket, das von VMware als Servicekonsolenkomponente
angeboten wird, zum Beispiel ein Dienst, ein Hilfsprogramm oder ein Protokoll, zur Verfügung
steht, stellt VMware ein Bulletin mit einer Liste der vSphere-Installationspakete (VIBs) bereit, mit dem
Sie das Softwarepaket auf ESX aktualisieren können. Verwenden Sie statt RPMs von Drittanbietern immer die
Bulletins, die VMware generiert, selbst wenn diese Patches auch von anderen Quellen bereitgestellt werden.
Bei der Veröffentlichung von Patches für ein Softwarepaket portiert VMware den Patch grundsätzlich auf eine
Version der Software zurück, die auch wirklich stabil ist. Durch diese Herangehensweise werden die Chancen
verringert, dass durch den Patch neue Fehler und Stabilitätsprobleme in die Software gelangen. Da der Patch
auf eine bestehende Version der Software aufgespielt wird, bleibt die Versionsnummer der Software gleich,
nur die Patchnummer wird als Suffix angehängt.
Es folgt ein Beispiel, wie dieses Problem entsteht:
1 Sie installieren ESX mit OpenSSL, Version 0.9.7a (wobei 0.9.7a die ursprüngliche Version ohne Patches
ist).
2 OpenSSL veröffentlicht einen Patch, der eine Sicherheitslücke in Version 0.9.7 schließt. Diese Version wird
0.9.7x genannt.
3 VMware portiert den Patch OpenSSL 0.9.7x auf die ursprüngliche Version zurück, aktualisiert die Patchnummer
und erstellt ein VIB. Die OpenSSL-Version in dem VIB ist 0.9.7a-1, d. h. die ursprüngliche Version
(0.9.7a) enthält nun Patch 1.
4 Sie installieren die Updates.
5 Das Sicherheitssuchprogramm übersieht das Suffix „-1“ und meldet fälschlicherweise, dass die Sicherheitseinstellungen
für OpenSSL nicht aktuell sind.
Wenn Ihr Suchprogramm meldet, dass die Sicherheitseinstellungen für ein Paket nicht aktuell sind, führen Sie
die folgenden Überprüfungen durch.
• Überprüfen Sie das Patch-Suffix, um zu ermitteln, ob Sie eine Aktualisierung benötigen.
• Konsultieren Sie die VIB-Dokumentation von VMware bezüglich Informationen zu den Patchinhalten.
• Überprüfen Sie die „Common Vulnerabilities and Exposures“-Nummer (CVE) aus der Sicherheitswarnung
im Änderungsprotokoll für Software-Updates.
Wenn sich die CVE-Nummer dort befindet, deckt das Paket die Sicherheitslücke ab.
230 VMware, Inc.