Thema der Woche

31. März 2010

Tipps zur sicheren Virtualisierung

Controlware hat unlängst Tipps zur Absicherung virtueller Umgebungen veröffentlicht:

Virtualisierung ist Teamwork: In großen Unternehmen übernehmen oft die Server-Administratoren die führende Rolle in Virtualisierungsprojekten – Security-Verantwortliche werden dabei nicht selten zu spät oder gar nicht hinzugezogen. Mögliche Folgen: Neue Systeme werden nicht Policy-konform konfiguriert und weisen zum Teil gravierende Sicherheitslücken auf. Binden Sie das Security-Team daher bereits in den ersten Projektphasen in die Konzeption ein!
Passen Sie Ihre vorhandene IT-Security an die virtuelle Umgebung an: Bewährte Firewall- und IPS/IDS-Lösungen sowie Virenschutzprodukte sind für die Absicherung virtueller Umgebungen unverzichtbar. Voraussetzung ist, dass die Konfiguration der Security-Systeme an die neuen Gegebenheiten angepasst und – wo notwendig – konzeptionell erweitert wird.
Nutzen Sie alle Sicherheitsfunktionen Ihrer virtuellen Systeme: Führende Virtualisierungshersteller haben das Thema Sicherheit lange vernachlässigt – das hat sich geändert. Viele Virtualisierungslösungen werden aktuell mit Sicherheits-Features ausgestattet, exemplarisch sei die VMsafe-Schnittstelle von VMware genannt. Halten Sie sich unbedingt über neue Versionen und Funktionalität auf dem Laufenden!
Arbeiten Sie eng mit Ihren Security-Lieferanten zusammen: Ebenso wie die Virtualisierungsanbieter bringen aktuell auch IT-Security-Hersteller verstärkt Sicherheitstechnologie für virtuelle Umgebungen auf den Markt. Bleiben Sie auch bei diesen Neuentwicklungen up-to-date!
Behalten Sie stets alle Angriffspunkte im Auge: Virtuelle IT-Infrastrukturen sind von mehreren Seiten angreifbar: Hacker und Kriminelle können zum Beispiel sowohl virtuelle Systeme als auch den sie steuernden so genannten Hypervisor attackieren oder die virtuellen Maschinen als Zugangstor zum Netzwerk missbrauchen. Es gilt, alle Angriffspunkte im Auge zu behalten – auch, indem man virtuelle Umgebungen regelmäßig nach Hypervisor-Rootkits durchsucht!
Regeln Sie die Zugriffsrechte: Definieren Sie für virtuelle IT-Umgebungen eindeutige, rollenbasierte Zugriffsrichtlinien und setzen Sie diese beispielsweise mithilfe einer Network-Access-Control-(NAC)-Lösung und starker Mehr-Faktor-Authentifizierung durch. Nur so lässt sich verhindern, dass etwa Mitarbeiter oder Dritte virtuelle Maschinen kopieren oder Snapshots freigeschalteter Systeme anfertigen!
Implementieren Sie physische Zugangskontrollen: Virtuelle Systeme sind leicht "mobilisierbar": Hat ein Datendieb Zugang zum Serverraum, kann er VMs oft einfach auf einen USB-Stick übertragen und herausschmuggeln. Dies lässt sich mit physischen Zugangskontrollen wirkungsvoll unterbinden.
Verschlüsseln Sie: Gerade in sicherheitskritischen Umgebungen sollten unbedingt geeignete Verschlüsselungsverfahren auch in der virtuellen IT-Infrastruktur eingesetzt werden, um die Systeme und Daten vor Lauschangriffen und Man-in-the-Middle-Attacken zu schützen.
Sparen Sie nicht an der Hardware: Nur stabile Systeme sind auch sichere Systeme – Billig-Server sind ein schlechtes Fundament für virtualisierte Umgebungen. Investieren Sie in Markenkomponenten, damit die Hardware nicht zum Single-Point-of-Failure wird.

Die Umstellung auf virtuelle Server und die Absicherung der Netzinfrastrukturen sind komplexe Aufgabenstellungen, mit denen man auf Jahre hinaus die Weichen im Rechenzentrum stellt. Bei Bedarf sollte man daher erfahrene Virtualisierungs- und IT-Security-Experten zu Rate ziehen, sofern es im eigenen Hause an Fachwissen oder Ressourcen mangelt – dabei sollte man auf herstellerunabhängig agierende Partner setzen, empfiehlt Controlware.