Virtualization Security Hypervisor und Cloud-Umgebungen vor unerwünschtem Zugriff schützen

Cloud Computing wäre ohne Virtualisierung nicht möglich. Doch die Kerntechnologie bringt einige neue Sicherheitsrisiken mit sich, die in der physischen Netzwerk-Infrastrukturen noch keine Rolle spielten. Dieser Artikel beleuchtet die vier gängigsten Probleme der Virtualisierung und wie das Unternehmen sie in den Griff bekommt.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Beim Aufbau von Sicherheitsmechanismen gegen Risiken der Virtualisierung sollte man immer eine konzeptionelle Besonderheit im Hinterkopf behalten: Der Hypervisor und seine Gast-Maschinen sind nichts anderes, als ein einziger Haufen Code auf einem physischen Rechner.

Leider gibt es keine Garantie dafür, dass der Hypervisor sicherer oder weniger fehlerbehaftet ist, als eine andere Software vergleichbarer Größe. Die physische Isolation bzw. Abgrenzung als Sicherheitsfaktor ist hinfällig – und dies sollte man beim Abwägen der Gefahren berücksichtigen.

Virtuelle Systeme

Als erstes Sicherheitsrisiko der Virtualisierung sollte man nicht vertrauenswürdige VMs (virtuelle Maschinen) oder als Trojaner missbrauchte virtuelle Appliances angehen. Eine nicht vertrauenswürdige Virtual Machine kann sich unter Umständen in einer öffentlichen Cloud-Umgebung (Public Cloud) aufhalten. Mit ihr wird ein bösartiges System gestartet, das in „benachbarten“ Systemen nach Schwachstellen sucht.

Das eigentliche Problem besteht darin, dass die gefährliche VM auf demselben Hypervisor oder in der gleichen Cloud-Umgebung läuft, wie die anderen VMs. Räumt der Cloud Provider nun ein gewisses Vertrauensverhältnis zwischen den Maschinen ein, dann steigt die Wahrscheinlichkeit einer erfolgreichen Attacke dramatisch an.

Vorgefertigte virtuelle Appliances, die man einfach herunterlädt und als VM startet, stellen sowohl in der öffentlichen als auch in der privaten Cloud eine Gefahr dar. Sobald man eine virtuelle Appliance installiert bzw. verwendet, räumt man ihr gewisse Rechte ein. Dadurch lassen sich Schwachstellen auf dem Host-Rechner identifizieren und ausnutzen. Der Einbruchsversuch wäre damit gelungen.

Um dieser Gefahr zu begegnen, sollte man nur verifizierte und getestete Appliances bzw. System-Abbilder (Images) verwenden. In der öffentlichen Cloud sollte der Provider dafür garantieren können, dass sowohl Hypervisor als auch Netzwerk-Strukturen sicher konfiguriert sind und keine unerwünschten Zugriffe ermöglichen. Letztlich geht es darum, die räumliche Trennung physischer Systeme auch virtuell abzubilden.

Unsicher konfigurierte Netzwerk-Komponenten

Vor nicht allzu langer Zeit musste sich noch das Networking-Team und die Konfiguration von Firewalls und Netzwerk-Komponenten kümmern. Genau diese Mitarbeiter verstehen die Feinheiten und Sicherheitsauswirkungen von VLANs, Tagging, Routing, zustandsorientierten Verbindungen, ein- und ausgehender Schnittstellen-Belegung usw. Dies trifft aber nicht zwingend auf den Host-Administrator zu.

In virtuellen Umgebungen konfigurieren und verwalten eben diese Host-Administratoren plötzlich die Netzwerk-Verbindungen und -Sicherheitsmechanismen. Bei Fehlkonfigurationen könnte es beispielsweise dazu kommen, dass der an eine VM adressierte Traffic einer anderen Maschine zugestellt wird.

Natürlich gibt es auch Tools, die dabei helfen – nichtsdestotrotz bleibt es ein von Menschenhand gemachtes Problem, wenn Administratoren Sicherheitsmechanismen verwalten sollen, die sie gar nicht verstehen. Deshalb sollte sich auch in der virtuellen Welt das Networking-Team um die Netzwerk-Verbindungen kümmern. Als letzten Ausweg kann man auch den Host-Administrator in den Sicherheitsaspekten der Netzwerk-Konfiguration schulen.

Seite 2: Schlecht konfigurierter Hypervisor

Schlecht konfigurierter Hypervisor

Die Sicherheit der virtuellen Umgebung hängt untrennbar mit der Sicherheit des Hypervisor zusammen, jeder unauthorisierte Zugriff auf den Hypervisor kompromittiert die Infrastruktur. Das Grundproblem sind fehlende Kontrollen, wer Zugriff erhält und was er anschließend tun darf.

Zunächst einmal zum offensichtlichen Risiko: Durch den uneingeschränkten Zugriff auf den Hypervisor steigt die Gefahr signifikant – insbesondere wenn dieser über unsichere Netzwerke wie das Internet erreichbar ist. Dagegen kann man recht einfach vorgehen, indem geregelt wird, welche Systeme auf die Management-Infrastruktur (Graphical User Interface, Application Programming Interface, Log-in usw.) zugreifen dürfen.

Schwieriger wird es, wenn man Einfluss darauf nehmen möchte, was ein authentifizierter Nutzer tun darf. Hierfür benötigt man zunächst einen widerstandsfähigen Kontroll-Mechanismus, der den Zugriff und die Verwaltung zwar für virtuelle Maschinen erlaubt, nicht aber für das Host-System. Darüber hinaus benötigt manch ein Nutzer einige spezielle, möglicherweise administrative Funktionen. Der Zugriffskontroll-Mechanismus sollte solche Ausnahmen unterstützen.

Datenverlust durch Offline-Abbilder

Sobald ein virtuelles System in den Ruhezustand geschickt wird, speichert es den Inhalt des Arbeitsspeichers in einer Datei ab, die sich im Zweifel nach interessanten Inhalten durchsuchen lässt. Bei einem physischen Rechner benötigte man hierfür schon direkten Zugriff auf den Arbeitsspeicher.

Nehmen wir uns eine Anwendung als Beispiel, die Sozialversicherungsnummern oder Kreditkartendaten schützen soll. Die VM kann noch so robust und sicher sein – jede im Arbeitsspeicher abgelegte Information wird übergangsweise nicht geschützt und im Maschinen-Abbild gespeichert. Man muss sich bei der Virtualisierung zumindest teilweise von der Vorstellung des flüchtigen Arbeitsspeichers verabschieden.

(ID:2051658)