Spørsmålstegn ved sikkerhet på virtuelle servere

[int20h]

En ny Gartner-rapport viser at sikkerheten på virtuelle servere er dårligere enn de som ikke er virtualisert.

 

Les mer

[ze5400]

O'rly?

 

Ett muligens større problem enn feil i hypervisoren er inkompetent personale, som også nevnes.

 

VPS-provideren min fikk i fjor alle VPSene de hostet destruert, pga. en av de ansatte der hadde brukt ett for dårlig passord - way to go, Russ...

 

Det hører også med til historien at grunnleggeren av LxLabs, firmaet som utviklet HyperVM - som ble brukt til å manage VPSene, tok selvmord i etterkant av dette. Angivelig etter å ha mistet en viktig kunde.

 

VAServ skyldte først på at innbruddet måtte ha skyldes en feil i HyperVM, men det viste seg i ettertid at innbruddet snarere skyldes at GMailen til VAServs CEO hadde blitt komprimert, og der lagret han alle sine passord stikk i strid med god skikk.

 

Kilder:

http://news.softpedia.com/news/VAServ-Hack-Results-in-Massive-Data-Loss-113660.shtml

http://www.inquisitr.com/25617/update-new-information-on-the-vaserv-hack-that-wiped-100k-sites/

[novastrum]

Dette er jo ikke nye problemstillinger. Det største sikkerhetshullet er alltid mangel på kompetanse, samme om man kjører virtuelt eller på fysisk jern. Gode rutiner er stikkordet. Det finnes utallige metoder for å gjøre hypervisorene utilgjengelige for inntrengere. Er man skikkelig paranoid kan man jo sette remote tilgang til hypervisoren å bare være mulig gjennom dedikerte remote-kort osv.

[silinox]

Gartner er det også en trend at stadig flere "kyberkriminelle" retter angrepene mot hypervisoren. Typo

[TomasF]

Min erfaring er det motsatte angående endringer på hosts. Fordi gjestesystemene bare kan flyttes over til en annen host er det lettere å finne tid til å installere kernel patcher som krever reboot, teste systemet etterpå (man kan bare flytte testgjester inn på prodhosts en stund etter patching), osv.

 

Så teknisk sett ser jeg bare styrker. Manglende kompetanse er alltid et sikkerhetsproblem. Tror jeg det er større med virtualisering? Ikke egentlig.

 

Fungerende sikkerhetsregimer som bruker GPO'er/script for å tvinge nye servere i compliance fungerer like fint med virtuelle gjester. Har man intet regime nekter jeg å tro at sikkerheten er så veldig bra på fysiske servere heller.