VirtSec - Sicherheit in virtuellen Umgebungen mit VMware ESX

Transkript

1 VirtSec - Sicherheit in virtuellen Umgebungen mit VMware ESX Roger Klose (rklose@ernw.de) ERNW GmbH 2001 gegründeter Netzwerk-Dienstleister mit Sicherheits- Fokus, Sitz in Heidelberg (+ kleines Büro in Lissabon) Aktuell fünfzehn Mitarbeiter Schwerpunkte: Security Management, Audit/Revision, Penetrations-Tests, Security Research Kunden (Europa/USA): Industrie, Banken, Behörden, Provider Regelmässige Sprecher auf internationalen Sicherheitskonferenzen (Black Hat, IT Underground, HITB, Troopers, etc.) ERNW GmbH - Breslauerstr Heidelberg

2 Agenda Komponenten Sicherheitsziele Design-Fragen Angriffsszenarien Bedrohungen Schwachstellen Fazit ERNW GmbH - Breslauerstr Heidelberg Definition Virtualization is the creation of substitutes for real resources, that is substitutes that have the same functions and external interfaces as their counterparts, but that differ in attributes, such as size, performance, and cost. These substitutes are called virtual resources, and their users are typically unaware of the substitution. [1] ERNW GmbH - Breslauerstr Heidelberg

3 genauer Erzeugung von Ersatzressourcen für reale Ressourcen Gleiche Funktionen und externe Interfaces wie reales Gegenstück Verschiedene Größe, Performance, Kosten Werden als virtuelle Ressourcen bezeichnet Transparenz für den Benutzer Üblicherweise auf physikalische Hardware Ressourcen angewendet Mehrere physikalische Ressourcen werden zu einem shared pool zusammengefasst Benutzer beziehen virtuelle Ressourcen aus shared pool ERNW GmbH - Breslauerstr Heidelberg Ein Blick zurück Erinnern Sie sich an Argus Pitbull? Modul für die Implementierung von multilevel security für gängige *NIX War weit verbreitet vor allem bei Banken Software war/ist ITSEC B1, CC EAL4+ certifiziert 2001 hatte ein NetBSD Kernel Bug auch Auswirkungen auf Solaris High secure Systeme wurden durch den Hersteller aufgestellt und bei einem Hacker-Kontest innerhalb von 24 Stunden gehackt Lesson learned:... ERNW GmbH - Breslauerstr Heidelberg

4 Ein Bild sagt mehr als 1000 Worte Common Criteria und ESX (3.0.2)? Natürlich ist es: EAL ist momentan im Test ERNW GmbH - Breslauerstr Heidelberg Hypothese Die Sicherheit ist stark von der Qualität der darunterliegenden Infrastruktur abhängig Vorfälle zeigen immer wieder, das Technologien, welche nicht speziell für Sicherheitsfunktionalitäten gedacht waren, aber für solche verwendet werden, fehlerhaft sind! Lösungen, welche mit keiner Sicherheitsarchitektur konzipiert und entwickelt wurden, sollten nicht für sicherheitsrelevante Funktionen eingesetzt werden. Eine vollständige Risiko-Analyse muss durchgeführt werden. ERNW GmbH - Breslauerstr Heidelberg

5 Sicherheitsziele von VirtSec Verfügbarkeit Vertraulichkeit Integrität Compiance ERNW GmbH - Breslauerstr Heidelberg Kriterien einer Sicheren Virtualisierung Der Hypervisor sollte in der Firmware speicherbar sein Einbindung eines TPM (Trusted Platform Module) Manipulationssicherer Hypervisor Hypervisor muss sämtliche Funktionalitäten der CPU/der Prozessoren unterstützen Feste Zuweisung von HW-Ressourcen (CPU/RAM/NW) Keine dynamische Teilung von Systemressourcen zwischen den Virtuellen Systemen Unveränderbarkeit dieser Ressourcen Aufsplittung von I/O-Geräten ERNW GmbH - Breslauerstr Heidelberg

6 shype ein guter Ansatz secure Hypervisor Forschungsprojekt von IBM Research 2600 Zeilen Code (small and beautyful) Fügt Mandatory Access Control (MAC) Funktionalitäten (bei XEN) hinzu Entwickelt um mittlere Sicherheit zu erreichen (CC EAL4) Mehr Info unter [Sailer2005] oder [1] ERNW GmbH - Breslauerstr Heidelberg Aussagen Dr. Mendel Rosenblum, Gründer, VMWare: "We're trying to [...] bring ourselves up to the level of security where physical machines are. Publicly, VMware insists that its core technology is yet to suffer from a serious breach. "I don't want to be reverse engineering our products to find exploits [ ] "At a high level it would be nice to [..] run extra security features. It would be an option - you might run slightly slower but it protects you against attack. "Our hope is that those vulnerabilities will all be gone in 3i ERNW GmbH - Breslauerstr Heidelberg

7 Aussagen Howard Fried, Verkaufsdirektor, Catbird: It's been the dirty little secret of the virtualisation industry. Security seems to be the last thing people are doing. Nobody seems to understand that in this whole transition to virtualisation, you can't apply an identical policy to how you secure a physical server. Patrick Gelsinger Senior Vitzepresident von Intel: "As virtual machines get more and more popular, new attacks and security threats will emerge Scott Johnson, Manager, IBM ISS: [...] threats to the virtual machine landscape continue to evolve [...]. ERNW GmbH - Breslauerstr Heidelberg Hypervisor Zentrale Instanz bei Virtualisierungs-Plattformen Auch Virtual Machine Monitor (VMM) genannt Liegt als dünne Schicht zwischen physikalischer Hardware und den VMs Schlanker Code Stellt den VMs virtuelle Ressourcen bereit Dynamische Ressourcen Verteilung über Shared Pool ERNW GmbH - Breslauerstr Heidelberg

8 Boot-Prozedur (anhand ESX) GRUB Initial RAM Disk (beinhaltet Initskript für das Laden des VM-Kernel) VM-Kernel (Hypervisor) =proprietär COS (Console Operating System = Priviligierte VM Basiet auf RH-Ent.) ERNW GmbH - Breslauerstr Heidelberg Type 1 Hypervisor Management VM Operating System Application Operating System Application Operating System Hypervisor / VMM Hardware CPU Memory NIC HDD ERNW GmbH - Breslauerstr Heidelberg

9 Type 2 Hypervisor Application Application Application Operating System Operating System Operating System Hypervisor / VMM Operating System Hardware CPU Memory NIC HDD ERNW GmbH - Breslauerstr Heidelberg Design Ein Blick in die Vergangenheit Internet DB Firewall FTP LAN ERNW GmbH - Breslauerstr Heidelberg

10 Erste Virtualisierung (VLANs) ERNW GmbH - Breslauerstr Heidelberg Virtuelles RZ (im Wandel der Zeit) ERNW GmbH - Breslauerstr Heidelberg

11 Virtual Appliances für VMware Momentan nicht mehr erhältlich (siehe auch: ERNW GmbH - Breslauerstr Heidelberg RZ der Zukunft?/! Firewall DB FTP Internet NIC NIC LAN Virtual Switch Virtuelles RZ (ESX) ERNW GmbH - Breslauerstr Heidelberg

12 Bedrohungen Bedrohungen... Angriffe gegen die mgmt_infrastructur Angriffe gegen den Hypervisor (Hyperjacking) Angriffe gegen das Host-OS Angriffe gegen das Gast-OS Konfigurations-Fehler Verstoß gegen rechtliche Vorgaben oder interne Richtlinien [Compliance ;-)] ERNW GmbH - Breslauerstr Heidelberg

13 Gast vs. Gast Guest01 Guest02 Guest03 Guest04 Hypervisor Mgmt Host ERNW GmbH - Breslauerstr Heidelberg Gast vs. Host/Hypervisor Guest01 Guest02 Guest03 Guest04 Hypervisor Mgmt Host ERNW GmbH - Breslauerstr Heidelberg

14 Gast vs. Mgmt. Guest01 Guest02 Guest03 Guest04 Hypervisor Mgmt Host ERNW GmbH - Breslauerstr Heidelberg Rogue VMs Rogue VM = Nicht vertrauenswürdige VM auf einem vertrauten System Bedrohung vor allem durch Desktops / Laptops Wird eine VM hinter einer NAT von Ihrem Scanner/NAC erkannt? Wer hat Zugriff auf Serversysteme (ESX) Wird die Integrität der offline/backup VM s geprüft? Viele Systeme werden nicht auf rogue VMs hin auditiert! ERNW GmbH - Breslauerstr Heidelberg

15 Prüfen Sie Ihre vsysteme? ERNW GmbH - Breslauerstr Heidelberg Konfigurationsfehler Da neuartige Systemumgebung oftmals keine Unterscheidung von nötigen und unnötigen Komponenten sowie Prozesse möglich Seiteneffekte bei Konfigurationsänderungen ERNW GmbH - Breslauerstr Heidelberg

16 Compliance Vertoß gegen interne / externe Richtlinien! Virtuelle Umgebungen brauchen: Richtlinien Betriebs-Handbuch Prozesse Revisionssicherer Betrieb der virtuellen Umgebung Virtualisierung verhält sich anders als physische HW ERNW GmbH - Breslauerstr Heidelberg Ihre Strategie? Wird in Ihrer virtuellen Umgebung eine formale Sicherheitsstrategie umgesetzt? A) Es ist keine Strategie für virtuelle Systeme vorhanden. B) Eine VM-Spezifische Kundenlösung für die Sicherheit ist vorhanden. C) Der Sicherheitstandart wurde anhand der Vorgaben für physische System umgesetzt. D) Wir sind noch dran ERNW GmbH - Breslauerstr Heidelberg

17 Sicherheitsstrategie ERNW GmbH - Breslauerstr Heidelberg Schwachstellen 17

18 Historische Vorfälle (Auszug) VMware ESX Server 73 Schwachstellen seit [2] VMware Workstation 38 Schwachstellen seit [2] Ein komplexes System?!?! VMware Player 17 Schwachstellen seit [2] Xen 6 Schwachstellen seit [2] Virtual PC 2 Schwachstellen seit [2] ERNW GmbH - Breslauerstr Heidelberg Nutzung von Open Source [2] ERNW GmbH - Breslauerstr Heidelberg

19 VMware und RedHat Nahezu 50 Prozent der gepatchten Schwachstellen innerhalb älterer Versionen von VMware ESX können RedHat (der Management-VM) zugeordnet werden; und nicht dem Hypervisor.* * ERNW GmbH - Breslauerstr Heidelberg Auf dem Pfad der Sicherheit April: Presentation An Empirical Study into the Security Exposure to Hosts of Hostile Virtualized Environments von Tavis Ormandy - CanSecWest 2007 July: Demonstration einiger Tools auf der SANSFIRE 2007 August: VMware übernimmt den HIPS Hersteller Determina [7] September: (Jede Menge :-) VMware Security Advis. VMSA September: VMwares kündigt das API Sharing Programm Vsafe (vmsafe) an ERNW GmbH - Breslauerstr Heidelberg

20 Vuln. mehrerer Hostsysteme Warum sollte dies oder ein ähnlicher Angriff nicht auch zukünftig bei einem ESX möglich sein?/!... ERNW GmbH - Breslauerstr Heidelberg Und da ist er Aus dem Advisory [6]: This release fixes a security vulnerability that could allow a guest operating system user with administrative privileges to cause memory corruption in a host process, and thus potentially execute arbitrary code on the host. (CVE ) Hmm... Denken Sie nicht auch, dass dies eine ernsthafte Schwachstelle ist? ERNW GmbH - Breslauerstr Heidelberg

21 Veröffentlichung auf SANSFIRE 2007 Ed Skoudis: The tools we presented have names based on their functionality: VMchat, VMcat, VM Drag-N-Hack (which undermines drag-and-drop, altering a file going from guest to host), VM Drag-N-Sploit (which alters a dragged file into something that shovels a shell into the guest), and, finally VMftp. That last one (VMftp) exploited the directory traversal flaw to provide FTPstyle file access to the host from the guest, representing a true escape. I do not think that VMftp is an overhyped name. [4] Die Presentation, weitere Informationen und Tools werden nicht zur Verfügung gestellt ERNW GmbH - Breslauerstr Heidelberg Tools und Tricks [5] ERNW GmbH - Breslauerstr Heidelberg

22 Untersuchung des ESX auf Schwachstellen Vorgehensweise Bei der Untersuchung wurden folgende Szenarien geprüft Gast vs. Gast Gast vs. Host Any vs. Management ERNW GmbH - Breslauerstr Heidelberg

23 Gast vs. Gast konventionelle Angriffe Management VM Guest Guest z.b. Exploits Application Operating System Application Operating System Application Operating System DOS Angriffe ESX Server / Hypervisor / VMM Hardware CPU Memory NIC HDD ERNW GmbH - Breslauerstr Heidelberg Ergebnisse (1) Promiscuous Mode Disabled per default Bei Konfigurationsfehler Sicherheitsrisiko Wenn enabled mitlesen sämtlichen Netzwerkverkehrs auf dem vswitch möglich (De-)aktivierung nicht pro VM möglich ERNW GmbH - Breslauerstr Heidelberg

24 Ergebnisse (2) Virtual Switch Funktionsweise gleicht einem Hub Keine Mechanismen gegen ARP-, MAC-Spoofing oder MITM Erwartungsgemäß auch keine Mechanismen gegen Exploiting ERNW GmbH - Breslauerstr Heidelberg Demo ERNW GmbH - Breslauerstr Heidelberg

25 Gast vs. Host Fehlerhaft implementierte virtuelle Ressourcen, z.b. Buffer Overflow Tools: Crashme Iofuzz ERNW GmbH - Breslauerstr Heidelberg Iofuzz ERNW GmbH - Breslauerstr Heidelberg

26 IOFuzz Verwendung von Tavis Ormandy s FuzzerVM Da beim ESX mit crashme keine besonderen Ergebisse iofuzz ist nicht öffentlich erhältlich aber auf Nachfrage wurde ein ISO-Image an uns versendet ERNW GmbH - Breslauerstr Heidelberg Auswirkung ERNW GmbH - Breslauerstr Heidelberg

27 Das sieht nicht gut aus ;-)) 11:05:15: vcpu-0 Backtrace[6] 0xbf7ffa94 eip 0x8084e7a 11:05:15: vcpu-0 Backtrace[7] 0xbf7ffab4 eip 0x807e848 11:05:15: vcpu-0 Backtrace[8] 0xbf7ffb24 eip 0x80e3d08 11:05:15: vcpu-0 Backtrace[9] 0xbf7ffbf4 eip 0x40047fb7 11:05:15: vcpu-0 Backtrace[10] eip 0x4015acba 11:05:15: vcpu-0 Msg_Post: error 11:05:15: vcpu-0 [msg.log.vmxpanic] VMware ESX server unrecoverable error: (vcpu-0) 11:05:15: vcpu-0 BUG F(553):566 bugnr=431 11:05:15: vcpu-0 Please request support and include the contents of the log file: "/root/vmware/fuzz/vmware.log". We will respond on the basis of your support entitlement. 11:05:15: vcpu :05:26: vcpu-0 VTHREAD thread 4 start exiting 11:05:26: vcpu-0 VTHREAD counting thread 0 11:05:26: vcpu-0 VTHREAD counting thread 1 11:05:26: vcpu-0 VTHREAD thread 4 exiting, 2 left 11:05:26: vmx VTHREAD watched thread 4 "vcpu-0" died 11:05:26: vmx VTHREAD thread 0 start exiting ERNW GmbH - Breslauerstr Heidelberg Ergebnisse in früheren Versionen V 2.5 [Mon Apr 2 18:49: ] [error] Segmentation fault in MUI VMDB V :08: 'SoapAdapter' verbose] Failed to write reply to connection; Broken pipe [ :08: 'Vmomi' info] Activation [N5Vmomi10ActivationE:0xb81b5f0] : Invoke done [waitforupdates] on [vmodl.query.propertycollector:ha-property-collector] [ :08: 'Vmomi' info] Throw vmodl.fault.requestcanceled [ :08: 'Vmomi' info] Result: (vmodl.fault.requestcanceled) { msg = ""} [ :08: 'SoapAdapter' verbose] Failed to write reply to connection; Broken pipe [ :09: 'Vmomi' info] Activation [N5Vmomi10ActivationE:0xb48d468] : Invoke done [waitforupdates] on [vmodl.query.propertycollector:ha-property-collector] [ :09: 'Vmomi' info] Throw vmodl.fault.requestcanceled ERNW GmbH - Breslauerstr Heidelberg

28 Ergebnisse Fuzzing der virtuellen Hardware provoziert Absturz der VM Abstürze durch: *** VMware ESX Server internal monitor error *** VMware ESX Server unrecoverable error Asserts hauptsächlich benutzt zu debugging Zwecken sollten im Ausgelieferten Produkt entfernt werden, falls sie nicht implementiert sind um das Programm vor schlimmerem zu bewahren Hinweis auf unsaubere Implementierung sowie mögliche Buffer Overflows ERNW GmbH - Breslauerstr Heidelberg Angriffe gegen Management Tools: PC Management VM Application Operating System Guest Application Operating System ESX Server / Hypervisor / VMM Guest Application Operating System Nessus Appscan Exploits DOS Hardware CPU Memory NIC HDD ERNW GmbH - Breslauerstr Heidelberg

29 Ergebnisse MITM gegen Web MUI möglich Setzt User-Interaktion voraus Virtual Switch Keine Mechanismen gegen ARP-, MAC-Spoofing oder MITM Erwartungsgemäß auch keine Mechanismen gegen Exploiting Relevante Ports lassen sich blockieren erschwerte Managebarkeit Secure by Design oder DOS? ERNW GmbH - Breslauerstr Heidelberg SNMP DoS Basierend auf VMSA Schwachstelle in SNMP Get Bulk Request A flaw was discovered in the way net-snmp handled certain requests. A remote attacker who can connect to the snmpd UDP port could send a malicious packet causing snmpd to crash, resulting in a denial of service. Also ein einfacher Request snmpbulkget -v2c c 53cur3 -C r Management = Achillesferse %20An%20Excercise%20on%20Breaking%20Networks.pdf ERNW GmbH - Breslauerstr Heidelberg

30 ESX-CPU während des DOS ERNW GmbH - Breslauerstr Heidelberg SSH Bruteforcing Hydra v5.4 (c) 2006 by van Hauser / THC - use allowed only for legal purposes. Hydra ( starting at :11:03 [DATA] 16 tasks, 1 servers, 1754 login tries (l:1/p:1754), ~109 tries per task [DATA] attacking service ssh2 on port 22 [STATUS] tries/min, 212 tries in 00:01h, 1542 todo in 00:08h [STATUS] tries/min, 750 tries in 00:03h, 1004 todo in 00:05h [STATUS] tries/min, 1610 tries in 00:07h, 144 todo in 00:01h [STATUS] attack finished for (waiting for childs to finish) [22][ssh2] host: login: admin password: letmein Hydra ( finished at :18:35 ERNW GmbH - Breslauerstr Heidelberg

31 Demo ERNW GmbH - Breslauerstr Heidelberg Hardening Guides The Center for Internet Security VMware ESX Server 3.x Benchmark (70 Seiten) Virtual Machine Security Guidelines (30 Seiten) Defence Systems Information Agency VIRTUAL MACHINE (VM) Checklist (99 Seiten) VMware Infrastructure 3 Security Hardening (19 Seiten) ERNW GmbH - Breslauerstr Heidelberg

32 Virtual Appliances Blue Lane Virtual Shield Montego HyperSwitch Security Reflex VSA Catbird - vagent ERNW GmbH - Breslauerstr Heidelberg Der kleine ERNW Katechismus Keep it simple Patch-Level Minimal Machine Segregation of Duties Least Privilege Defense in Depth Starke Authentifizierung ERNW GmbH - Breslauerstr Heidelberg

33 IT-Symposium Lessons Learned Sicherheit spielt bei der Entwicklung meist eine untergeordnete Rolle Gefahr durch Konfigurationsfehler Segmentierung Gefahr durch Implementierungsfehler Mindestens die gleichen Maßnahmen umsetzen, die auch für die nichtvirtuelle Systeme gelten Einbindung von Virtualisierung in Unternehmens Policy Security Common BCP sollten immer mit einbezogen werden Hardening Guides beachten ERNW GmbH - Breslauerstr Heidelberg ERNW GmbH - Breslauerstr Heidelberg

34 ERNW GmbH - Breslauerstr Heidelberg Quellen [1] [2] [3] [4] [5] [6] [Sailer2005]: IBM Research Report RC23511: R. Sailer, E. Valdez, T. Jaeger, R. Perez, L. van Doorn, J. L. Griffin, S. Berger: shype: Secure Hypervisor Approach to Trusted Virtualized Systems. ERNW GmbH - Breslauerstr Heidelberg