Virtualisierung und Security – ein Widerspruch?

Anbieter zum Thema

Rittal GmbH & Co. KG

VON ZUR MÜHLEN'SCHE GmbH

EPS Rechenzentrum Infrastruktur GmbH

Risse in der Firewall

Doch mittlerweile bekommt das Vertrauen in die Vorzüge der Virtualisierung Risse. Denn Schadcode kann erkennen, dass er sich in einer virtuellen Maschine (VM) befindet – und verhält sich dann anders. Dieses „Erkennen“, dass sich eine Anwendung auf einem virtuellen System befindet, ist zudem Voraussetzung für das Aushebeln des Schutzmantels.

Dass dies gelingen kann, wurde bereits gezeigt, indem Schwachstellen im Hypervisor einer Spielkonsole ausgenutzt wurden, um beliebige Software darauf auszuführen. Öffentlich publizierte Forschungen zu diesem Themenbereich gibt es allerdings kaum. Eine der wenigen Arbeiten zu dem Thema wurde auf der CanSecWest-Sicherheitskonferenz vorgetragen. Es wurde dabei über Löcher in der Abschottung virtueller Maschinen anhand weit verbreiteter Virtualisierungslösungen referiert. An verschiedenen Beispielen wurde erläutert, wie Schadcode der Isolation entfliehen oder VM respektive Hypervisor zum Absturz bringen kann. Die Konsequenz: Es muss akzeptiert werden, dass auch virtuelle Maschinen und deren Hosts trotz Virtualisierung Gefahren ausgesetzt und deshalb geeignete Maßnahmen notwendig sind.

Angriffsszenarien und Abwehrmaßnahmen

In der Praxis gibt es zahlreiche Szenarien, wie Angreifer eine virtuelle Maschine oder deren Infrastruktur attackieren können – von außen wie von innen!

• Angriffe von außen: Das derzeit wahrscheinlichste und transparenteste Beispiel ist, dass eine VM über Verbindungen kommuniziert, die nicht vertrauenswürdig sind, zum Beispiel, wenn diese an das Internet angeschlossen sind. Diesem Gefährdungspotential lässt sich am einfachsten begegnen, indem auf Firewall- und Proxy-Lösungen zu deren Schutz zurückgegriffen wird – analog zu ihren physikalischen Pendants.
• Angriffe von innen: Im Gegensatz zu externen Bedrohungen lassen sich Intrahost-Threats – Bedrohungen, die zwischen virtuellen Maschinen auf einem Host existieren – nur sehr schlecht oder gar nicht mit herkömmlichen Security-Tools absichern oder erkennen. Zudem entsprechen sie nicht den üblichen Erfahrungen von Administratoren und IT-Managern. So werden beispielsweise für die Kommunikation zwischen VMs eines Host virtuelle LAN-Infrastrukturen als Teil der Virtualisierungslösung genutzt, die von außen nicht einsehbar sind.

Hier werden, je nach Virtualisierungslösung, die Datenpakete nur im Speicher des Hosts zwischen den VMs ausgetauscht. Paket-Sniffer sehen davon nichts, weshalb herkömmliche Firewalls und Sicherheitswerkzeuge diesen Datenverkehr nicht überwachen oder steuern können. Daraus resultiert ein potentielles Sicherheitsrisiko, welches virtuelle Maschinen Angriffen anderer virtueller Maschinen aussetzen kann.

Im Ergebnis ist beispielsweise eine Intrahost-Denial-of-Service-Attacke möglich – eine schadhafte oder infizierte virtuelle Maschine beeinflusst andere, benachbarte virtuelle Maschinen. So wird beispielsweise bei diesem Denial-of-Service-Angriff das virtuelle LAN mit Schadcode oder Traffic überflutet oder der Hypervisor zum Absturz gebracht, was sämtliche VMs gleichzeitig ausschaltet. Erst das hostseitige Monitoring dieser Maschinen würde enthüllen, dass sie nicht mehr erreichbar sind.

Durch Separation und Legitimation von Intrahost-Kommunikation ist es möglich, dass nur bestimmte virtuelle Maschinen untereinander kommunizieren oder Daten austauschen können. Für die Separation können virtuelle Netzwerk-Switches eingesetzt werden. Die Legitimation ist meist nur technisch aufwendig auf Basis von Betriebssystemfunktionen abzubilden, beispielsweise mittels IPSec. In diesem Fall muss sich ein Client zuerst ausweisen, bevor ein Datenaustausch beginnen kann. Auf Basis dieser Maßnahmen lässt sich der Bereich, innerhalb dessen sich ein Ereignis ausbreitet, relativ einfach auf eine festgelegte Gruppe eingrenzen.

weiter mit: logische Partitionierung von virtuellen Maschinen

(ID:2021602)