Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 15 Best Practices und Szenarien für die Sicherheit
Entfernung überflüssiger Hardwaregeräte
Benutzer und Prozesse ohne Berechtigungen für die virtuelle Maschine können Hardwaregeräte wie Netzwerkadapter
oder CD-ROM-Laufwerke einbinden oder trennen. Das Entfernen überflüssiger Hardwaregeräte
kann somit Angriffe verhindern.
Angreifer können diese Fähigkeit auf verschiedene Arten nutzen, um die Sicherheit einer virtuellen Maschine
zu gefährden. So kann zum Beispiel ein Angreifer mit Zugang zu einer virtuellen Maschine ein nicht verbundenes
CD-ROM-Laufwerk einbinden und auf vertrauliche Informationen auf dem Medium zugreifen, das sich
im Laufwerk befindet, oder einen Netzwerkadapter trennen, um die virtuelle Maschine vom Netzwerk zu
isolieren, was zu einem Denial-Of-Service führt.
Als allgemeine Sicherheitsmaßnahme sollten Sie Befehle auf der Registerkarte [Konfiguration] auf dem
vSphere-Client verwenden, um alle nicht benötigten oder ungenutzten Hardwaregeräte zu entfernen. Obwohl
diese Maßnahme die Sicherheit der virtuellen Maschinen erhöht, aber ist sie keine gute Lösung, wenn ein
ungenutztes Gerät später reaktiviert werden soll.
Verhindern, dass ein Benutzer oder Prozess auf einer virtuellen Maschine die
Verbindung zu Geräten trennt
Wenn Sie ein Gerät nicht dauerhaft entfernen möchten, können Sie verhindern, dass ein Benutzer oder Prozess
einer virtuellen Maschine das Gerät aus dem Gastbetriebssystem heraus einbindet oder trennt.
Vorgehensweise
1 Melden Sie sich mit dem vSphere-Client bei einem vCenter Server-System an.
2 Wählen Sie die virtuelle Maschine im Bestandslistenbereich aus.
3 Klicken Sie auf der Registerkarte [Übersicht (Summary)] auf [Einstellungen bearbeiten (Edit Settings)]
.
4 Wählen Sie [Optionen] > [Allgemeine Optionen] aus und notieren Sie den Pfad, der im Textfeld
[Konfigurationsdatei der virtuellen Maschine] angezeigt wird.
5 Melden Sie sich an der Servicekonsole an, und rufen Sie Root-Berechtigungen ab.
6 Wechseln Sie das Verzeichnis, um auf die Konfigurationsdatei der virtuellen Maschine zuzugreifen, deren
Pfad Sie in Schritt 4 festgelegt haben.
Die Konfigurationsdateien der virtuellen Maschinen befinden sich im Verzeichnis /vmfs/volumes/Datenspeicher,
wobei es sich bei Datenspeicher um den Namen des Speichergeräts handelt, auf dem sich die
Dateien der virtuellen Maschine befinden. Wenn beispielsweise die Konfigurationsdatei der virtuellen
Maschine, die Sie im Dialogfeld „Eigenschaften der virtuellen Maschine“ abgerufen haben, [vol1]vmfinance/vm-finance.vmx
ist, wechseln Sie zu folgendem Verzeichnis:
/vmfs/volumes/vol1/vm-finance/
7 Fügen Sie der .vmx-Datei mit einem Texteditor die folgende Zeile hinzu, wobei Gerätename der Name des
Geräts ist, das geschützt werden soll (z. B. ethernet1):
device_name.allowGuestConnectionControl = "false"
HINWEIS Standardmäßig ist Ethernet 0 so konfiguriert, dass die Trennung des Geräts nicht möglich ist.
Der einzige Grund, der Sie dazu veranlassen könnte, dies zu ändern, ist dann gegeben, wenn ein vorheriger
Administrator Gerätename.allowGuestConnectionControl auf true. gesetzt hat.
8 Speichern Sie die Änderungen, und schließen Sie die Datei.
VMware, Inc. 237