Handbuch zur Serverkonfiguration für ESXi - VMware

Handbuch zur Serverkonfiguration für ESXi
Spanning-Tree-Angriffe Diese Angriffe zielen auf das Spanning-Tree-Protokoll (STP), das zur Steuerung
der Überbrückung verschiedener Teile des LANs verwendet wird. Der
Angreifer sendet Pakete der Bridge Protocol Data Unit (BPDU) in dem Versuch,
die Netzwerktopologie zu ändern und sich selbst als Root-Bridge einzusetzen.
Als Root-Bridge kann der Angreifer dann die Inhalte übertragener Datenblöcke
mitschneiden.
Die virtuellen Switches von VMware unterstützen STP nicht und sind daher
gegen diese Art von Angriffen immun.
Zufallsdatenblock-Angriffe
Bei diesen Angriffen wird eine große Anzahl Pakete gesendet, bei denen die
Quell- und Zieladressen gleich sind, diese jedoch Felder unterschiedlicher
Länge, Art und mit verschiedenem Inhalt enthalten. Ziel des Angriffes ist es
zu erzwingen, dass Pakete versehentlich in ein anderes VLAN fehlgeleitet
werden.
Die virtuellen Switches von VMware sind gegen diese Art von Angriffen immun.
Da mit der Zeit immer neue Sicherheitsgefahren auftreten, kann diese Liste möglicher Angriffe nicht vollständig
sein. Rufen Sie regelmäßig die VMware-Sicherheitsressourcen im Internet ab, um mehr über Sicherheit,
neue Sicherheitswarnungen und die Sicherheitstaktiken von VMware zu erfahren.
Absichern der Ports virtueller Switches
Wie bei physischen Netzwerkadaptern kann ein virtueller Netzwerkadapter Datenblöcke versenden, die von
einer anderen virtuellen Maschine zu stammen scheinen oder eine andere virtuelle Maschine imitieren, damit
er Datenblöcke aus dem Netzwerk empfangen kann, die für die jeweilige virtuelle Maschine bestimmt sind.
Außerdem kann ein virtueller Netzwerkadapter, genauso wie ein physischer Netzwerkadapter, so konfiguriert
werden, dass er Datenblöcke empfängt, die für andere virtuelle Maschinen bestimmt sind.
Wenn Sie einen virtuellen Switch für Ihr Netzwerk erstellen, fügen Sie Portgruppen hinzu, um für die an den
Switch angeschlossenen virtuellen Maschinen und Speichersysteme Richtlinien zu konfigurieren. Virtuelle
Ports werden über den vSphere-Client erstellt.
Während des Hinzufügens eines Ports oder einer Portgruppe zu einem virtuellen Switch konfiguriert der
vSphere-Client ein Sicherheitsprofil für den Port. Mit diesem Sicherheitsprofil können Sie sicherstellen, dass
ESXi verhindert, dass die Gastbetriebssysteme auf den virtuellen Maschinen andere Computer im Netzwerk
imitieren können. Diese Sicherheitsfunktion wurde so implementiert, dass das Gastbetriebssystem, welches
für die Imitation verantwortlich ist, nicht erkennt, dass diese verhindert wurde.
Das Sicherheitsprofil bestimmt, wie streng der Schutz gegen Imitierungs- oder Abfangangriffe auf virtuelle
Maschinen sein soll. Damit Sie die Einstellungen des Sicherheitsprofils richtig anwenden können, benötigen
Sie Grundkenntnisse darüber, wie virtuelle Netzwerkadapter Datenübertragungen steuern und wie Angriffe
auf dieser Ebene vorgenommen werden.
Jedem virtuellen Netzwerkadapter wird bei seiner Erstellung eine eindeutige MAC-Adresse zugewiesen. Diese
Adresse wird „Ursprünglich zugewiesene MAC-Adresse“ genannt. Obwohl die ursprüngliche MAC-Adresse
von außerhalb des Gastbetriebssystems neu konfiguriert werden kann, kann sie nicht vom Gastbetriebssystem
selbst geändert werden. Außerdem verfügt jeder Adapter über eine geltende MAC-Adresse, die eingehenden
Netzwerkverkehr mit einer MAC-Adresse, die nicht der geltenden MAC-Adresse entspricht, herausfiltert.
Das Gastbetriebssystem ist für die Einstellung der geltenden MAC-Adresse verantwortlich. In der
Regel stimmen die geltende MAC-Adresse und die ursprünglich zugewiesene MAC-Adresse überein.
Beim Versand von Datenpaketen schreibt das Betriebssystem die geltende MAC-Adresse des eigenen Netzwerkadapters
in das Feld mit der Quell-MAC-Adresse des Ethernet-Frames. Es schreibt auch die MAC-Adresse
des Empfänger-Netzwerkadapters in das Feld mit der Ziel-MAC-Adresse. Der empfangende Adapter
akzeptiert Datenpakete nur dann, wenn die Ziel-MAC-Adresse im Paket mit seiner eigenen geltenden MAC-
Adresse übereinstimmt.
154 VMware, Inc.