Checkliste: 10 Maßnahmen zum Schutz virtueller Umgebungen

1. Die Angriffsfläche auf dem Host minimieren

Eine der wichtigsten Maßnahmen zur Absicherung Ihrer virtuellen Umgebung ist die Minimierung der Angriffsfläche auf dem Host.

So installiert sich zum Beispiel Hyper-V als Rolle in Windows Server. Zur Minimierung der Angriffsfläche sollten keine anderen Rollen auf diesem Host eingerichtet werden. Insgesamt muss das Betriebssystem des Hosts rein auf die wesentlichen Komponenten beschränkt bleiben. Es darf also keine zusätzliche Software auf dem Server eingerichtet werden, die für seine Kernaufgaben nicht benötigt wird. Ausnahmen können für Treiber und Agenten gemacht werden, die wichtige Aufgaben wie Backup, Schutz vor Malware und ähnliche Sicherheitsfunktionen erledigen.

2. Failover-Cluster verwenden

Failover-Clustering wird normalerweise als Hochverfügbarkeitsfunktion eingestuft, die wenig mit IT-Security zu tun hat. Aus Sicherheitssicht gibt es aber durchaus eine Reihe von Vorteilen, wenn Sie Ihre virtuelle Umgebung zu einem Cluster ausbauen.

Der größte Vorteil ist, dass Failover-Cluster das Installieren von Patches nach dem sogenannten Rundlaufverfahren ermöglichen (Englisch: Round Robin). Dabei werden Warteschlangen erstellt, nach denen die Patches dann abgearbeitet werden. Dieses System vereinfacht das Patch-Management und reduziert die Wahrscheinlichkeit, dass Admins das Einspielen von Sicherheits-Updates auf die lange Bank schieben. Das Round-Robin-Verfahren erlaubt es, virtuelle Maschinen live von einem Host zu migrieren, der gerade aktualisiert wird. So kann der Server neu starten, ohne dass es zu einer Unterbrechung kommt. Sobald dieser Host seine Patches erhalten hat und wieder bereitsteht, kehren die VMs zu ihm zurück. Der Patch-Prozess wird dann auf dem nächsten Server weitergeführt, bis der gesamte Cluster aktualisiert werden konnte.

3. Dedizierte Netzwerksegmente erstellen

Setzen Sie physische Netzwerksegmente gezielt ein, um bestimmte Infrastruktur-Aufgaben wie etwa das Management der Netzwerkdaten oder der Storage-Systeme zu erleichtern. Die dafür am besten geeigneten Vorgehensweisen unterscheiden sich allerdings zwischen den verschiedenen verfügbaren Hypervisoren. Physische Netzwerksegmente eignen sich aber trotzdem, um das Management, den Storage-Traffic sowie die Kommunikation zwischen den Hosts zu optimieren, wenn Sie etwa virtuelle Maschinen migrieren müssen.

4. Shielded VMs nutzen

Eine Shielded VM wird bereits auf der Ebene der virtuellen Festplatte verschlüsselt. So verhindern Sie unerlaubte Manipulationen. Noch wichtiger ist aber, dass eine Shielded VM nur auf einem dafür autorisierten Host gestartet werden kann, da nur dort die für die Ver- und Entschlüsselung benötigten Keys vorhanden sind. Auf diese einfache Weise wird dafür gesorgt, dass etwa ein böswilliger Admin nicht heimlich eine VM kopieren kann, um dann in Ruhe auf die Inhalte zuzugreifen oder um sie auf einem nicht autorisierten Host auszuführen.

5. Rollenbasierte Zugriffskontrollen einsetzen

Role Based Access Control (RBAC) erlaubt es, die Zahl der Berechtigungen zu begrenzen, die Admins erhalten. In größeren Firmen benötigen die für Virtualisierung zuständigen Mitarbeiter meist Rechte, um VMs zu erstellen und zu verwalten und um alle damit zusammenhängenden Aufgaben zu erfüllen. Was sie nicht benötigen, sind Rechte für Aktionen direkt auf den Virtualisierungs-Hosts. Dafür sind andere Personen oder ein Dienstleister zuständig. RBAC gibt den Virtualisierungs-Admins also nur genau die Berechtigungen, die sie für ihren jeweiligen Job benötigen. Weitere zugewiesene Rechte sind aus Sicherheitssicht ein Risiko und lassen sich so vermeiden.

6. Virtuelle Festplatten vor dem produktiven Einsatz prüfen

Viele Hersteller bieten ihre Produkte zunehmend auch als mehr oder weniger fertige virtuelle Appliances an, die sich dann etwa in vCenter Server oder Amazon Elastic Compute Cloud einsetzen lassen. Virtuelle Appliances enthalten daher in der Regel bereits eine virtuelle Festplatte, die mit allen für den geplanten Einsatz benötigten Daten und Anwendungen ausgestattet ist. Der Admin muss sie dann nur noch mit einer neuen virtuellen Maschine verbinden, diese starten und die benötigte Basiskonfiguration durchführen. Der Aufwand hält sich damit in Grenzen.

Aber auch wenn solche virtuellen Appliances durchaus hilfreich sind, stellen sie ein Sicherheitsrisiko dar, wenn Sie nicht vollständig über die vollständige Konfiguration der virtuellen Festplatte und der darauf gespeicherten Daten informiert sind. Prüfen Sie deswegen alle virtuellen Festplatten zuerst in einer dedizierten Testumgebung, bevor Sie sie produktiv einsetzen.

7. Secure Boot verwenden

Wo immer es möglich ist, sollten Sie Secure Boot auch für Ihre virtuellen Maschinen verwenden. Die Technik verhindert unter anderem, dass eine Malware den Boot-Prozess der VM manipulieren und sich in den Boot-Ablauf einklinken kann. Nicht jede Virtualisierungslösung unterstützt Secure Boot, aber die meisten. So können zum Beispiel in einer auf Hyper-V basierenden Umgebung alle VMs der zweiten Generation, die Windows oder Linux als Gastsystem verwenden, Secure Boot nutzen.

8. Nur vom Hersteller noch unterstützte Betriebssysteme nutzen

Nachdem ein Betriebssystem das offizielle Support-Ende durch seinen Hersteller erreicht hat, erhält es keine Sicherheits-Updates mehr. Nicht mehr aktualisierte Schutzmechanismen machen es dann sehr anfällig gegenüber neuen Schwachstellen, die erst später entdeckt werden. Das gilt sowohl für den eingesetzten Virtualisierungs-Host als auch die Betriebssysteme in den Gästen.

9. Ein System zum schnellen Einspielen von Patches einrichten

Stellen Sie außerdem sicher, dass Ihr Unternehmen über eine formelle Strategie für Patches verfügt und diese auch umsetzt. Wenn neue Updates durch die Hersteller veröffentlicht werden, entweder für den Hypervisor oder für die VMs selbst, dann sollten diese Aktualisierungen so schnell wie möglich getestet und eingespielt werden.

Dieses Testverfahren ist von erheblicher Bedeutung, da es immer wieder vorgekommen ist, dass fehlerhafte Patches veröffentlicht wurden. Diese können dann für schwerwiegende Probleme verantwortlich sein. Nichtsdestotrotz lassen sich viele bekannte Sicherheitslücken mit Aktualisierungen schließen. Ungepatchte Systeme sind dagegen weit anfälliger gegen Angriffe. Unternehmen müssen deshalb die richtige Balance finden zwischen einem angemessenen Aufwand für Tests und ihrem Bedürfnis neue Patches so bald wie möglich zu installieren.

10. So viel wie möglich verschlüsseln

Daten müssen in jedem Stadium sicher sein, egal ob in Ruhe oder in Bewegung. Die IT-Abteilung sollte daher darauf achten, auch die Storage-Geräte zu verschlüsseln, auf denen sich die eigentlichen VMs befinden. Nutzen Sie dafür die für Ihren Hypervisor verfügbaren Best Practices, verschlüsseln Sie aber auch den Datenverkehr, der beim Management, bei der Speicherung von Daten und bei Migrationen anfällt. Sorgen Sie zudem dafür, auch die Systeme zu verschlüsseln, auf denen die virtuellen Festplatten gelagert werden.