Virtualisierung. Hamburg, 27. Februar 2014 Falk Gaentzsch Virtualisierung Falk Gaentzsch

Transkript

1 Virtualisierung Hamburg, 27. Februar 2014 Falk Gaentzsch Virtualisierung Falk Gaentzsch 1

2 Wer bin ich? Falk Gaentzsch Wissenschaftlicher Mitarbeiter am Institut für Internet-Sicherheit if(is) in Gelsenkirchen Bachelor of Science in Angewandter Informatik Informations- und Telekommunikationstechnischer Assistent 2

3 Seminarinhalt 1. Block Theorie (ca. 90 Minuten) Begriffserklärung und Einführung Kernel-Formen Hypervisoren Formen von Virtualisierung Virtualisiert vs. Nicht virtualisiert Chancen und Risiken bei Virtualisierung Virtualisierung im Handwerk 3

4 Seminarinhalt 2. Block Praxis (60 Minuten) VirtualBox Einrichten von virtuellen Maschinen Der Betrieb von virtuellen Maschinen Snapshots und Wiederherstellung Netzwerkkonfiguration Import / Export von virtuellen Maschinen 4

5 Begriffserklärung Host Der Host stellt die Ressourcen für die Virtualisierung zur Verfügung, die über einen Hypervisor verwaltet werden x86-prozessor Der x86-prozessor ist der am meisten verbreitete Prozessor-Typ in Personal Computern Mit gängiger Virtualisierungssoftware ist es möglich, den Prozessor in virtualisierten Umgebungen einzusetzen 5

6 Begriffserklärung Virtuelle Maschine (VM) Ist eine auf dem Host bereitgestellte Umgebung, der Ressourcen des Hosts zur Verfügung gestellt werden Hypervisor / Virtual Machine Monitor (VMM) Software zum Verwalten der Host-Ressourcen Stellt VMs bereit und verwaltet diese 6

7 Begriffserklärung Kernel Ist die Verbindung zwischen Betriebssystem und Komponenten wie bspw. CPU, Speicher sowie externen Geräten Er stellt die unterste Softwareschicht auf einem Computer mit direkter Verbindung zur Hardware dar Wird beim Systemstart direkt in den Speicher geladen Der Kernel ist unter anderem für die Virtualisierung der einzelnen Ressourcen verantwortlich 7

8 Monolithischer Kernel Die wichtigsten Systemtreiber befinden sich im Kernel Der Kernel steuert Komponenten wie bspw. CPU, Speicher und angeschlossene Geräte Verwendung: Unix / Linux 8

9 Monolithischer Kernel Vorteile: Hohe Geschwindigkeit Nachteile: Kommt es zu einem Softwarefehler im Kernel führt dies zu einem Absturz des Gesamtsystems 9

10 Microkernel Der Microkernel beinhaltet nur grundlegende Funktionen, überwiegend zur Speicher- und Prozessverwaltung Hohe Stabilität, auch wenn einzelne Prozesse außerhalb des Kernels abstürzen Verwendung: Symbian OS / AmigaOS 10

11 Hybridkernel Kombination aus den Vorteilen von Monolithischem Kernel und Microkernel Verwendung: Windows NT Windows 8 11

12 Hypervisor Ein Hypervisor ist ein virtual machine monitor (VMM) Die Aufgabe der Software ist es virtuelle Maschinen (VM oder Gast-Systeme genannt) zu verwalten und zu überwachen Je nach Kapazitäten (CPU, Arbeitsspeicher, Speicher) können viele einzelne VMs erstellt und überwacht werden 12

13 Grundlagen der Virtualisierung Hardware-Virtualisierung Einsatz bei der Virtualisierung von Servern Typ 1: Bare Metal Hypervisor Typ 2: Hosted Virtual Maschine Monitor (VMM) Software-/Anwendungs-Virtualisierung Einzelne Applikationen werden virtualisiert Netzwerk-Virtualisierung (VLANs) 13

14 Typ 1: Bare Metal Hypervisor Hohe Geschwindigkeit da ein direkter Zugriff auf die Hardware erfolgt Beispiele: Parallels Server Vmware vsphere Citrix XenServer 14

15 Typ 2: Hosted Virtual Maschine Monitor (VMM) Der Hypervisor läuft auf einem Betriebssystem Langsamer als Typ 1, da mehr Ressourcen für das Betriebssystem benötigt werden Beispiele: VirtualBox / VMware / Virtual PC 15

16 Ring-Schema bei Prozessoren Stellt abstrakt eine Privilegierungsbzw. Sicherheitsstufe eines Prozesses dar Moderne Windows- und Linux- Betriebssysteme nutzen lediglich zwei der vier im Ring-Schema dargestellten Ebenen, demnach Ring 0 im Kernel-Mode und Ring 3 im User-Mode 16

17 Ring-Schema bei Prozessen mit Zugriff auf den CPU Ring 0: Kernel-Mode Höchste Sicherheitsstufe Tiefster Systemzugriff Abgeschottet vom User-Mode Ring 3: User-Mode Niedrigste Sicherheitsstufe Ausführung von Anwendungen 17

18 Keine Virtualisierung Anwendungen- und Betriebssystemanfragen werden direkt ausgeführt 18

19 Vollvirtualisierung Vollvirtualisierung bietet dem Gast-System eine vollständige virtuelle Hardwareumgebung an Beispiel: Kernel-based Virtual Machine (KVM) Ist ab Version im Linux-Kernel enthalten VMware-Produkte VirtualBox 19

20 Vollvirtualisierung Mit Hilfe von Binary Translation werden Anfragen des Gast- Betriebssystems über den VMM an die Hardware des Hosts weiter gereicht 20

21 Vollvirtualisierung Vorteile keine Anpassung der Gast-Betriebssysteme notwendig; vom Host und anderen Gästen unabhängige Gastsysteme (Betriebssystem-Typ, -Version); vielseitige Gast-Hardware möglich; flexible Anpassung der Gast-Hardware (teilweise auch während der Laufzeit) 21

22 Vollvirtualisierung Nachteile Hardware muss durch die Virtualisierungssoftware unterstützt werden; manche Hardware lässt sich im Gastsystem nicht abbilden (etwa Faxkarten); virtuelle Hardware wird für jede VM als Prozess abgebildet ("Schwund" / Leistungseinbußen); Installation von Tools im Gast notwendig, um optimale Leistung zu erzielen 22

23 Paravirtualisierung Bei Paravirtualisierung ist der Kernel des Gastsystems angepasst und kann direkt mit der Hardware des Hosts kommunizieren Auf diese Weise muss die physikalische Hardware nicht für jede einzelne VM gesondert virtualisiert werden (ressourcensparend) Beispiel: Xen von Citrix Systems 23

24 Paravirtualisierung Bei Paravirtualisierung ist dem Gast OS bekannt, dass es virtualisiert ist Im Virtual-Layer werden bspw. Hypercalls für die Speicherverwaltung weitergereicht 24

25 Paravirtualisierung Vorteile: flexible Anpassung der Gasthardware (teilweise auch während der Laufzeit); nur ein Prozess zur Abbildung der virtuellen Hardware erforderlich; verbesserter Zugriff auf die virtuelle Hardware durch das Gast- Betriebssystem. 25

26 Paravirtualisierung Nachteile: Hardware muss durch die Virtualisierungssoftware unterstützt werden; Anpassung der Gast-Betriebssysteme notwendig; unter Umständen ist eine Anpassung bei Updates des Hosts/Gasts erforderlich; hohe Systemkapazitäten pro Gast notwendig. 26

27 Hardware-unterstützte Virtualisierung Hardware-Virtualisierung bei neuen aktuellen Prozessoren X 86 + Intel Virtualization Technology (Intel VT bzw. kurz IVT) AMD Virtualization Die Prozessoren haben eigene Befehlssätze für die Virtualisierung von Gast-Betriebssystemen 27

28 Hardware unterstützte Virtualisierung Prozessoren unterstützen Virtualisierungsbefehlssätze Es ist so möglich, ohne Paravirtualisierung und Binary Translation Befehle an dem Host zu übergeben 28

29 Virtualisierung vs. nicht virtualisiert 29

30 Der normale Server Die Hardwareauslastung ist nicht optimal Ausfallsicherung muss für jeden einzelnen Server gewährleistet werden 3 Server = 3 Netzteile 30

31 Chancen durch virtualisierte Server Die Hardwareauslastung kann stark optimiert werden Der aktuelle Zustand einer VM kann durch die Vorteile der Virtualisierung (z.b. Snapshots) gesichert werden Die Ausfallsicherung kann über den Host für alle VMs mitrealisiert werden (USV) 31

32 Besonderheiten bei Virtualisierung Snapshots Durch Snapshots lassen sich Speicherabbilder eines Systemzustandes einer VM erstellen. Es ist möglich, diesen Zustand zu einem späteren Zeitpunkt wiederherzustellen, bspw. nach einem Systemcrash Speicher-Container Lassen sich beliebig erweitern 32

33 Kosten reduzieren durch Virtualisierung Im Allgemeinen wird von Serverkonsolidierung gesprochen Anzahl der Server verringern Weniger Stromverbrauch Weniger Platzbedarf USV-Anlagen können geringer dimensioniert werden Geringe Kosten beim Aufbau von Testumgebungen etc. 33

34 Einsatzbereiche für Virtualisierung Server-Virtualisierung Virtualisierung eigener Hardware zum Optimieren der Auslastung Desktop-Virtualisierung Betrieb von Thin Clients (Abgespeckte PCs) / Computer-Terminals, bereitgestellt von einem Virtualisierungsserver Private Virtualisierung (Entwickler) Speichervirtualisierung Anwendungsvirtualisierung 34

35 Virtualisierung und Cloud-Computing Im Cloud-Computing ist Virtualisierung ein fester Bestandteil Wie sieht es mit dem Vertrauen aus? Einem Anbieter muss vertraut werden! Ebenso muss der Anbieter seine Infrastruktur ausreichend sichern! Vertrauen durch unabhängige Zertifizierungen 35

36 Virtualisierung und Cloud-Computing Darstellung von Kunden Containern bei einem Cloud- Service-Provider (CSP) 36

37 Top-Sicherheitsrisiken bei Virtualisierung Fehlendes administratives Rechtemanagement Nicht zuverlässige Verfügbarkeit Kein Patch-Management Fehlende Netzwerkseparierung Fehlende Virenschutz für VMs Unverschlüsselte Backups 37

38 Engpass-Virtualisierung Wenn ein Hostsystem an seine Auslastungsgrenze stößt, wirkt sich dies auf alle Gastsysteme aus Das System kann sich durch Virtualisierung verlangsamen Dies kann sich bis zur Absturz des Host-Systems ausdehnen 38

39 Zusätzliche Sicherheitsrisiken Für die Sicherheit ist ein Administrator verantwortlich, der speziell für Virtualisierung geschult sein muss (In Handwerksunternehmen oft ein Systemhaus) Dieser muss dafür sorgen, dass alle Host-seitigen Softwarekomponenten aktualisiert werden, dies betrifft zusätzlich zum Host-System alle Gastsysteme Ebenso ist es wichtig, starke Passwörter zu verwenden 39

40 Virtualisierung und IT-Sicherheit Virtualisierung schützt nicht vor Angriffen oder Datenverlust! Es müssen geeignete Backup- und Notfallstrategien erarbeitet werden Schutz vor Datenverlust Backups Schutz bei Stromausfall Unterbrechungsfreie Stromversorgung 40

41 Virtualisierung und IT-Sicherheit Gesichertes Patch-Management Zusätzlich zu den VMs muss auch das Hostsystem mit Updates versorgt werden, um gegen Sicherheitslücken geschützt zu sein Wird das Hostsystem nicht gepflegt, steigt das Risiko für alle Gastsysteme Fragen Sie im Unternehmen oder beim Systemhaus nach, wann zuletzt Updates eingespielt wurden 41

42 Angriffsszenarien Warum sind virtualisierte Infrastrukturen ein Ziel von Angreifern? Nach außen hin lassen sich virtualisierte Server kaum von nicht virtualisierten Servern unterscheiden Virtualisierungsserver verfügen zumeist über hohe Kapazitäten Es kann versucht werden unbemerkt eigene VMs zu erstellen die dann Spam- oder Phishing-Mails versenden 42

43 Beispiel eines Angriffs Anfang 2014 kam es zu einer Kompromittierung der OpenSSL-Website ( Es wurde anfänglich vermutet, dass eine Sicherheitslücke im Hypervisor ausgenutzt wurde Es stellte sich jedoch heraus, dass der Hosting-Provider ein schlechtes Passwort im Verwaltungsportal genutzt hat So war es für die Angreifer möglich, die Management- Konsole zu übernehmen und Manipulationen durchzuführen 43

44 Gegenmaßnahmen zum Schutz von Angriffen Network Access Control IDS / IPS? Sicherheit der VMs über Antiviren- / Antispyware-Software sicherstellen Dabei ist es wichtig, Lösungen einzusetzen, die für virtuelle Maschinen konzipiert wurden Antivirenhersteller bieten spezielle Software, die besonders für den Einsatz auf VMs geeignet ist 44

45 VLANs Bei Virtualisierung bietet sich die Möglichkeit von virtueller Netzseparierung an Aktuelle Virtualisierungssoftware bietet dies direkt in der Konfigurationsumgebung an z.b.: Microsoft Hyper V VMware vsphere 45

46 Lösungen im Handwerk Typische Szenarien können wie folgt aussehen Sie werden vorkonfigurierte Lösungen vorfinden Oder es gibt allgemeine Fragen zum Thema Virtualisierung und Sie sollen beratend zur Seite stehen 46

47 Lösungen im Handwerk Typisches Beispiel: Elektrounternehmen mit 30 Mitarbeitern Virtualisierungsserver mit VMware vsphere Darauf Windows Server 2008 Branchensoftware Powerbird von Hausmann & Wynen Ebenso der alte, ersetzte Server des Unternehmens USV Tägliche Bandsicherung 47

48 Mieten oder Kaufen eines Virtualisierungsservers Selber bauen oder Cloud Computing Vorteile des Kaufs: Der Server steht im eigenen Unternehmen Einmalige Kosten Nachteile des Kaufs: Höhere Wartungskosten der Hardwarekomponenten 48

49 Mieten oder Kaufen eines Virtualisierung Servers Selber bauen oder Cloud Computing Vorteile des Mietens: Die Wartung wird von Fachpersonal übernommen Nachteile des Mietens: Der Server ist nicht unter der vollständigen Kontrolle im eigenen Unternehmen Laufende Kosten, die auf Dauer möglicherweise die einmaligen Kosten beim Kauf übersteigen können 49

50 Anbieter VMware Marktführer Unterstützte Gastsysteme Debian, Ubuntu, Red Hat Enterprise Linux, Windows etc. Anbieter mit einem sehr umfangreichen Produktsortiment vsphere Hypervisor vcenter Site Recovery Manager vcloud Networking Security Quelle: 50

51 Preisberechnung für VMware Produkte Bietet eine Return on Investment Berechnung für VMware-Produkte 51

52 Anbieter Microsoft Microsoft Hyper V Eingeschränkte Gastsystemunterstützung Red Hat Enterprise Linux 5.2 / 5.3 / 5.4 / 5.5 / 5.6 SUSE Linux Enterprise Server 10 SP4 SUSE Linux Enterprise Server 11 SP1 OpenSUSE 12.3 Quelle: key/communityserver-blogs-componentsweblogfiles/ /7180.microsoft-logo.pdf Mindestanorderungen für Hyper V 52

53 Fazit Virtualisierung ist seit Jahren etabliert und sehr ausgereift Es ist jedoch geschultes Fachpersonal nötig, um eine sichere Umgebung zu schaffen und zu warten Virtualisierung bietet hohes Einsparungspotenzial bei Hardwarekosten 53

54 Fragen? Es folgt eine Praxisübung 54