Virtualisierung und Security – ein Widerspruch?

Anbieter zum Thema

Rittal GmbH & Co. KG

VON ZUR MÜHLEN'SCHE GmbH

EPS Rechenzentrum Infrastruktur GmbH

Logische Partitionierung von virtuellen Maschienen

Obwohl Virtualisierungstechniken eine logische Partitionierung von virtuellen Maschinen erlauben, die mit der räumlichen Trennung zweier physischer Maschinen vergleichbar ist, können Eindringlinge diese softwaredefinierte Trennung überwinden und ins System gelangen. Solche Löcher können einerseits durch Fehler bei den emulierten Hardware-Komponenten oder des Hypervisors entstehen.

Andererseits existieren virtualisierungstypische Funktionen wie VM-Tools und Memory-Sharing, die als Einstieg genutzt werden können. VM-Tools beispielsweise stellen neben Treibern auch Komponenten für das Drag&Drop zwischen VM und VM oder Host bereit.

Weiterhin erlauben sie den Zugriff auf das Dateisystem des Hosts aus der VM heraus. Was als Arbeitserleichterung für Entwickler und Administratoren gedacht ist, kann im Angriffsfall ein offenes Scheunentor darstellen. Bei einer Analyse der VM-Tools von VMware konnte kürzlich gezeigt werden, dass sie sich auf vielfältige Art missbrauchen lassen. Gleiches wird für andere Virtualisierungslösungen gelten.

Beim Shared Memory nutzen virtuelle Maschinen einen Pool aus Speicherseiten des Hosts bei Bedarf. So kann den Gastsystemen in Summe mehr Speicher zugeordnet werden, als auf dem Host verfügbar ist. Eine virtuelle Maschine kann sich dann bei Bedarf mehr Speicher nehmen und gibt diesen zu einem späteren Zeitpunkt wieder frei.

Bei dieser Technik besteht das Risiko darin, dass zum Beispiel aus Performance-Gründen die Speicherseiten nicht richtig gelöscht werden und so Speicherinhalte von einer VM zur anderen gelangen können. Da ein physischer Host normalerweise zahlreiche virtuelle Maschinen enthält, die wiederum über unterschiedliche Betriebssysteme, Patch-Level und Applikationen verfügen und oft verschiedenen Administratoren und Netzwerken gehören, ist dies problemlos möglich, speziell bei älteren Betriebssystemen, die über keine entsprechenden Schutzmaßnahmen verfügen.

Die Art der Störfälle reicht von der Viren- und SPAM-Verbreitung über Datendiebstahl bis hin zu Denial-of-Service-Attacken und ist somit den Problemen gleichgestellt, die ein physisches System erleiden kann – nur der Zugangsweg ist ein anderer.

weiter mit: Definierte Prozesse geben Sicherheit

(ID:2021602)