Endlich alles virtualisiert - auch SICHER? Marc Grote IT TRAINING GROTE blog.it-training-grote.de

Transkript

1 Endlich alles virtualisiert - auch SICHER? Marc Grote IT TRAINING GROTE blog.it-training-grote.de

2 Inhalt Genereller Ueberblick ueber Sicherheit in virtuellen Umgebungen Hardening Hyper-V Hyper-V Security Berechtigungen Delegation des Virtual Machine Management Hyper-V Netzwerkkonzept Schutz von virtuellen Maschinen Einsatz von SCVMM 2008 Desaster Recovery - VSS / Hyper-V Snapshots Folie 2 von 609 (14,3 Folien pro Min.)

3 Referentenvorstellung Marc Grote Baujahr 1972 seit 1989 hauptberuflich ITler seit 1995 Selbststaendig (bis 2004 Teilzeit Consultant), vorher angestellt als IT-Administrator Schwerpunkte: Windows Server seit NT 3.5, Clustering, PKI, Exchange Server seit 5.0, ISA Server (Forefront TMG, FSE, FSC, Protection Manager) Hoert gerne Hyper Hyper von Scooter Web: Blog: 3

4 Sicherheit in virtuellen Umgebungen? Virtuelle Maschinen muessen nicht gehaertet werden, dass Hostsystem ist ja sicher? Wer patcht schon seine virtuellen Maschinen? Ich kuemmere mich nur um meine VM, das Host-System laeuft einfach so mit Wenn mein Host-System kompromittiert wird, betrifft das nicht meine virtuellen Maschinen ice Lingen 4

5 Installationsempfehlungen Windows Server 2008 / R2 Core!! Reduziertes Attack Surface Reduziertes Footprinting Höhere Systemverfuegbarkeit durch weniger Updates Aktuelle Patchstrategie Haerten des Hyper-V Hostsystems Keine Installation zusaetzlicher Anwendungen Dedizierte Netzwerkkarte fuer Management und ggfs. iscsi Anwendung des Windows Server 2008 Security Guide ice Lingen 5

6 Installationsempfehlungen Verwendung von EFS nicht moeglich zur Absicherung von VM Firewall empfohlen Host-FW und ISA/TMG Bitlocker nur auf dem Hyper-V Host Funktioniert nicht mit Failover Clustering! Virenscanner Ausschluss der VHD Datenverzeichnisse VMMS.EXE (Mgmt) und VMWP.EXE (WorkerProcess) nicht scannen ice Lingen 6

7 Hyper-V Architektur Quelle: Hyper-V Security Guide von Microsoft ice Lingen 7

8 Hyper-V Bootvorgang BCD-Einstellung hypervisorimagelaunchtypeboot wird auf Automatisch gestellt Der Gerätetreiber Hvboot.sys wird gestartet Hvboot.sys bereitet das System auf die Virtualisierung vor und lädt %Systemroot%\System32\Hvax64.exe (AMD) oder %Systemroot%\System32\Hvix64.exe (Intel) Hypervisor wird geladen Ring minus 1 Verwaltungskonsole kommuniziert über %Systemroot%\System32\Drivers\Winhv.sys mit dem Hypervisor Der VM-Dienst (Vmms.exe) erstellt für jede untergeordnete Partition einen VM-Arbeitsprozess (Vmwp.exe) ice Lingen 8

9 Hyper-V Dienste VMMS Virtual Machine Management Service c:\windows\system32\vmms.exe Start Mode Automatic vhdsvc Hyper-V Image Management Service c:\windows\system32\svchost.exe -k virtsvcs Start Mode Automatic nvspwmi Hyper-V Networking Management Service c:\windows\system32\svchost.exe -k nvspwmi Start Mode Automatic ice Lingen 9

10 Benoetigte Firewall Ports ice Lingen 10

11 Best Practice VM in Hyper-V Speicherort fuer VHD und VMC Speicherzuordnung zur VM Limit Prozessornutzung VM Zugriff nur auf notwendigen Storage Zeitsynchronisation in VM (DC?) Speichern von VM mit gleichem Schutzbedarf auf der selben Host-Maschine Sicheres Loeschen von nicht mehr verwendeten VM Speichern von Snapshots an einem sicheren Ort ice Lingen 11

12 Child und Parent Partition Parent Partition ist eine privilegierte Partition Sieht die physikalische Hardware Isolation zwischen Child Partitions Separate Worker Prozesse Child zu Parent Kommunikation ueber spezielle Komunikationskanaele (VMBus) Separate Virtual Devices, Kein Memory Sharing Keine Gast zu Gast Kommunikation auf Hyper-V Basis (Netzwerk natuerlich) ice Lingen 12

13 Gast-Sicherheit RAM und CPU Monitoring VM Limits im Host System setzen Virenscanner Security Hardening Patching DoS Angriffe auf VM mit Auswirkung auf Hyper-V Host und andere Gaeste beschraenken ice Lingen 13

14 Berechtigungen fuer Hyper-V VHD ice Lingen 14

15 Berechtigungs-Delegation Verwendung von AzMan (Authorization Manager) XML Store - C:\ProgramData\Microsoft\Windows\Hyper- V\InitialStore.xml Active Directory Store (Windows 2003 Functional Level) Ablauf New Role Definiton New Task Definition (Task zuordnen) New Role Assignment Assign Users and Groups Gewuenschten Task hinzufuegen ice Lingen 15

16 Berechtigungs-Delegation ice Lingen 16

17 Netzwerke in Hyper-V ice Lingen 17

18 Netzwerke in Hyper-V External VM Zugriff auf das externe Netzwerk ueber den Hyper-V Host Internal VM Zugriff untereinander und auf den Hyper-V Host Private VM Zugriff nur untereinander VLAN Einsatz wo noetig und moeglich ice Lingen 18

19 V-Switch ice Lingen 19

20 Hyper-V VLAN ice Lingen 20

21 MAC Address Pools Fester Pool MAC-Adressen pro Hyper-V Host Maximal 256 MAC Adressen pro Hyper-V Host MAC Address Pool konfigurierbar Verhindern doppelter MAC-Adressen Vorsicht bei Verwendung von Sysprep fuer Hyper-V Hosts ice Lingen 21

22 Offline Servicing Tool Quelle: ice Lingen 22

23 SCVMM 2008 Ueberblick P2V-Funktionen (Physical to Virtual) V2V-Funktionen (Virtual to Virtual), inklusive Vmware Zentrale Verwaltungskonsole fuer alle Microsoft Virtual Server 2005 und deren Gastsysteme Self Service Portal fuer das Provisioning virtueller Maschinen durch Nicht Administratoren Zentrale Library fuer die Ablage virtueller Maschinen und Templates ice Lingen 23

24 SCVMM Rollen Administrator Profile Vollstaendiger Zugriff auf alle Hosts, VM und Libraries Delegated Administrator Profile Zugriff auf einen definierten Pool von Host Gruppen und Library Server Self-Service User Profile Zugriff auf einen definierten Satz von VM ueber ein Webinterface ice Lingen 24

25 SCVMM Rollen ice Lingen 25

26 Desaster Recovery Hyper-V VM Export Windows Server 2008 Backup (VSS) Aktivieren: 0/how-to-enable-windows-server-backup-supportfor-the-hyper-v-vss-writer.aspx Data Protection Manager Hyper-V Snapshots Die Loesung aller Probleme? Nicht Application aware Liegen lokal auf der Maschine ice Lingen 26

27 Desaster Recovery Komplettes Volume Backup Keine Einzel-VM Sicherung moeglich Restore Application based ice Lingen 27

28 Lust auf Links VSS Writer fuer Windows Backup registrieren Offline Servicing Tool Offline Servicing Tool Berechtigungs-Delegation mit Azman Hyper-V Security Guide Hyper-V Attack Surface Reference V%20Attack%20Surface%20Reference.xlsx ice Lingen 28

29 Es gibt keine großen Entdeckungen und Fortschritte, solange es noch ein unglückliches Kind auf Erden gibt. (Albert Einstein) ice Lingen 29

30 ice Lingen 30

31 Das Ende Vielen Dank fuer Ihre Aufmerksamkeit ice Lingen 31