回避すべき5つのVMwareセキュリティ欠陥【仮想化プラットホーム VMware vSphere】

投稿日: 2017年6月1日 作成者: クライム
このエントリーをはてなブックマークに追加
LINEで送る

VMwareセキュリティ違反は軽く取り扱われるべきではありません。特に法令順守が注目されて、さらにクラウド・コンピューティングに向かっている現状では。

仮想ホストは多くのワークロードを背負い、悪質な人間がホストに対して許可のないアクセスを行ったなら、その人間はすべての仮想マシン（VM)を危険にさらす可能性があります。そこで仮想管理者はVMwareセキュリティ違反を防ぐために特別な注意が必要になります。VMwareセキュリティ違反が起きる可能性のあるいくつかの弱点があります。

●VMwareをセキュリティ・レスに構築する
VMware vSphereはかなり安全ですが、コンフィグレーションやリモート・アクセス設定に配慮を怠るとセキュリティ欠陥に影響を受けやすくなります。

デフォルトで管理者が楽になるようにVMwareは多くの機能を停止させることができますが、それらの機能はセキュリティを弱くさせます。例えばESXでは管理者は通常Webユーザ・インターフェイスを利用します。そしてESXiではITプロはSSH接続経由でリモート・コンソールへのアクセスが可能です。これらはユーザの仕事をやり易くしますが、認証されていない人間への攻撃ベクトルを開くことになります。

さらに大きな脆弱性は、ホストの管理コンソールです。それは仮想インフラ全体へのドアで、多く鍵を渡すべきではありません。しっかり管理コンソールをロックし、本当に必要な時だけに使用します。考えられる他の分野ではVMデータストア、管理とストレージ・ネットワーク・トラフィック、仮想ネットワーク、アプリケーション。プログラミング・インターフェイス、VMホスト相互接続、vCenterサーバ役割と許可、サードパーティ・アドオンです。

結論：弱点を理解し、それを堅固なものとする。

●VMの移植性は、VMwareのセキュリティ侵害につながる
VMの移植性は盗みのチャンスを増加させますが、それらのセキュリティ侵害は強力なバックアップ・ストラテジーがあれば、簡単に回避できます。

仮想化はサーバ全体（OS、アプリケーション、設定）を1つの仮想化ディスク・ファイルへカプセル化します。カプセル化は仮想化の長所ですが、簡単に弱点にもなりえます。

物理サーバを盗むためにアタッカーは物理的にデータセンターに侵入し、マシンを運びだす必要があります。しかしVM全体はネットワーク経由でデータセンターの外にコピーされ、ポータブル･ストレージ装置に運びだされます。一旦誰かが仮想ディスク・ファイルを持ち出せば、彼はファイル・システムにアクセスするためにそれを簡単にマウントでき、VMware Playerなどのツールを使用して、どのワークステーション上でも使用ができます。

これらのVMwareセキュリティ侵害を防ぐために、物理ストレージとホストの両レベルでVMが常駐するデータストアを保護しなければなりません。ストレージ・ネットワークが適切に保全されていることと、vSphereホストのみがVMデータストアLUN(logical unit numbers)にアクセスしていることを確実にしてください。

管理コンソールやvSphereクライアントのような一般的なツールはホストからVMをコピーすることができます。vSphereクライアント内のDatastore Browserを使用してファイルをリードするパーミッションを削除し、管理コンソールにアクセスできる人間を制限します。またディスク・ツー・ディスクのVMバックアップアプリケーションを使用しているなら、適切にバックアップ・リポジトリを保護します。それはVMイメージ全体がそこに保持されているからです。

●VLAN経由でのVMwareセキュリティ侵害を防ぐ
VMネットワーク・コンフィグレーションは簡単に変更できます。それ故に適正な予防措置が取られていなければセキュリティ侵害を招くことになります。

もし物理サーバをVLAN(virtual local area networks)間で移動させる場合、通常はスイッチ・ポート・コンフィグレーションのVLANを変更してネットワーク・グループを使用します。仮想ホストは通常VLANタギングを使用し、それは1つの物理スイッチ・ポートは複数のVLANをサポートすることを意味します。VMのvNIC(virtual network interface card)はそれでホスト上でマルチ・ポート・グループを使用するようにコンフィグレーションされます。ホストの仮想ネットワークはVM設定のエディットとｖNIC用の新たなVLANを選択することでVLAN間でのVMの移動を簡単にすることができます。

このデザインは誰でも簡単に1ネットワークから他へVMを簡単に移動でき、複数のｖNICを追加することで複数のネットワークに参加できるということを意味します。同様にVMを安全なネットワークから少し安全度が低いネットワークへ移動できます。

またVMが2つの仮想ネットワークをブリッジすることも可能で、侵入者が外部ネットワークからユーザの内部ネットワークへのパスを作ることになります。これらのセキュリティ侵入を防ぐにはVMの仮想ネットワーク設定変更に要求される許可を固定させることです。望ましいのはネットワーク管理者のみがこれらのアクセス権を持ち、VMを管理するサーバやアプリケーション管理者に持たさないことです。

●隔離(アイソレーション)でVMwareセキュリティ侵害を回避する
仮想インフラ・トラフィックがストレージと管理データとして同じ物理ネットワーク上で移動した場合、ユーザのVMはセキュリティ侵害に会う可能性があります。これらのエンドポイント間でのすべてのトラフィックは暗号化されていないため、ワイアー上で誰でもデータを盗む可能性があり、それらはストレージ装置に転送された機密情報だったり、vMotion中のホスト・メモリ内のデータが含まれます。

トラフィック分離無しでは：ホスト、ストレージ装置、vCenterサーバ、管理者間での核のトラフィック用の保護レイアーの追加。プライベート・データが空中で盗まれるリスク。物理ネットワークを移動する仮想インフラ・ネットワークをできるだけ分離すべきです。例えば通常のVMネットワーク・トラフィックから離れた物理的に隔離されたネットワーク上の管理とストレージ・トラフィックを管理することです。

この実践にはESXサービス・コンソール、ESXi管理コンソール、VMKernel、vCenterサーバ用のネットワークが含まれます。これらのコンポーネントのコミュニケーションはお互いに頻繁で、外部ネットワーク接続の必要性を制限します。

ファイアウオールの使用はプライベート・ネットワークを保護してくれ、管理、ドメイン・ネーム・サービス、アップデートなどに許可されたトラフィックのみを許します。大体のトラフィックは暗号化されていますが、アイソレーション（分離）はセキュリティ侵害に対して防御の特別なレイアーを追加します。例えば、vMotionトラフィックが暗号化されていなければホストのメモリー内容はVMがあるホストから他へ移動するたびにプレイン・テキストで送られます。

またホストからストレージ装置へのネットワーク・ベースのストレージ･トラフィック(例：iSCSIと NFS)の物理的分離。iSCSIでは許可されていない接続と防ぐために双方向のチャレンジ-ハンドシェイク認証プロトコールで安全を図ります。アイソレーションはストレージ・トラフィックを保護するだけでなく、ネットワーク上のパフォーマンス向上と他のデバイスとのコンテンションを削減できます。

●ユーザ・アカウントでVMwareセキュリティを改善
ESXサービス・コンソールとESXi管理者コンソールのルート・アカウントを保護する。それが障害を受けたとき、可能マシンを含むホスト上のすべてが障害を受けます。

ESXサービス・コンソールとESXi管理者コンソールはLinux OSの改良版として稼動します。それらはルート・アカウントを持ち、フルのパーミッションを持つスーパー・ユーザ・アカウントです。ルート・アカウントの使用をできるだけ控え、各ユーザにプレビレッジの低いアカウントを作成します。それにより各ユーザの使用度が分かる監査データを提供することができます。

ESXではフル・アクセスを与えることなく、ユーザ･アカウントに特定のプリビレッジを与える「sudo」を設定することができます。ESXとESXiの両方で、su コマンドを使用してアカウントにスーパーユーザ・プリビレッジをテンポラリーに与えることができます。

デフォルトではルート・アカウントはSSH接続からコンソールへはリモートでログインできません。SSH経由で簡単にルート・アクセスできても、VMwareはそれを許していません。また各ホストでそれぞれのローカル・ユーザ・アカウントを管理するよりも、コンソール・アクセスでActive Directory認証を設定することができます。

最後にルート・アカウントを保護するためにはパスワードを定期的に変更し、利用をできるだけ控えることです。

●オンプレ環境とクラウド間のセキュリティ
今後のオンプレの仮想環境とクラウド間でのセキュリティ対策が重要視されています。 HyTrust （ハイトラスト）は 仮想環境からクラウドへのアクセス制御(CloudControl)とVM、インスタンスの暗号化でプライベート/パブリッククラウドのワークロードを確実に保護(DataControl)できる・セキュリティ・ソリューションです。

関連トピックス:

カテゴリー: VMware, クラウド・仮想インフラ タグ: , パーマリンク

この記事のトラックバック用URL