Handbuch zur Serverkonfiguration für ESXi - VMware

Entfernung überflüssiger Hardwaregeräte
Benutzer und Prozesse ohne Berechtigungen für die virtuelle Maschine können Hardwaregeräte wie Netzwerkadapter
oder CD-ROM-Laufwerke einbinden oder trennen. Das Entfernen überflüssiger Hardwaregeräte
kann somit Angriffe verhindern.
Angreifer können diese Fähigkeit auf verschiedene Arten nutzen, um die Sicherheit einer virtuellen Maschine
zu gefährden. So kann zum Beispiel ein Angreifer mit Zugang zu einer virtuellen Maschine ein nicht verbundenes
CD-ROM-Laufwerk einbinden und auf vertrauliche Informationen auf dem Medium zugreifen, das sich
im Laufwerk befindet, oder einen Netzwerkadapter trennen, um die virtuelle Maschine vom Netzwerk zu
isolieren, was zu einem Denial-Of-Service führt.
Als allgemeine Sicherheitsmaßnahme sollten Sie Befehle auf der Registerkarte [Konfiguration] auf dem
vSphere-Client verwenden, um alle nicht benötigten oder ungenutzten Hardwaregeräte zu entfernen. Obwohl
diese Maßnahme die Sicherheit der virtuellen Maschinen erhöht, aber ist sie keine gute Lösung, wenn ein
ungenutztes Gerät später reaktiviert werden soll.
Verhindern, dass ein Benutzer oder Prozess auf einer virtuellen Maschine die Verbindung
zu Geräten trennt
Wenn Sie ein Gerät nicht dauerhaft entfernen möchten, können Sie verhindern, dass ein Benutzer oder Prozess
einer virtuellen Maschine das Gerät aus dem Gastbetriebssystem heraus einbindet oder trennt.
Vorgehensweise
1 Melden Sie sich mit dem vSphere-Client bei einem vCenter Server-System an.
2 Wählen Sie die virtuelle Maschine im Bestandslistenfenster aus.
3 Klicken Sie auf der Registerkarte [Übersicht (Summary)] auf [Einstellungen bearbeiten (Edit Set‐
tings)] .
4 Wählen Sie [Optionen] > [Allgemeine Optionen] aus und notieren Sie den Pfad, der im Textfeld
[Konfigurationsdatei der virtuellen Maschine] angezeigt wird.
5 Verwenden Sie den Befehl vifs, um eine Kopie der Konfigurationsdateien der virtuellen Maschine von
dem Speicherort abzurufen, den Sie in Schritt 4 notiert haben.
Die Konfigurationsdateien der virtuellen Maschinen befinden sich im Verzeichnis /vmfs/volumes/,
wobei es sich bei um den Namen des Speichergeräts handelt, auf dem die
Dateien der virtuellen Maschine sich befinden. Wenn beispielsweise die Konfigurationsdatei der virtuellen
Maschine, die Sie im Dialogfeld „Eigenschaften der virtuellen Maschine“ abgerufen haben, [vol1]vmfinance/vm-finance.vmx
ist, verwenden Sie den folgenden Befehl:
vifs --server --username --get /vmfs/volumes/vol1/vm-finance/vm-fi-
nance.vmx /vm-finance.vmx
6 Fügen Sie der .vmx-Datei mit einem Texteditor die folgende Zeile hinzu, wobei der Name
des Geräts ist, das geschützt werden soll (z. B. ethernet1):
.allowGuestConnectionControl = "false"
HINWEIS Standardmäßig ist Ethernet 0 so konfiguriert, dass die Trennung des Geräts nicht möglich ist.
Der einzige Grund, der Sie dazu veranlassen könnte, dies zu ändern, ist dann gegeben, wenn ein vorheriger
Administrator .allowGuestConnectionControl auf true. gesetzt hat.
7 Speichern Sie die Änderungen, und schließen Sie die Datei.
Kapitel 14 Empfehlungen für den Schutz von Implementierungen
VMware, Inc. 181