Aufrufe
vor 1 Jahr

01 | 2017 public

  • Text
  • Digitale
  • Microservices
  • Verwaltung
  • Hypervisor
  • Umgebungen
  • Informationstechnologie
  • Digitalen
  • Nutzung
  • Projekt
  • Zeit
Gesellschaft und digitale Transformation

VM1 Exploit USB o.Ä.

VM1 Exploit USB o.Ä. VM2 HYPERVISOR HARDWARE Der Hypervisor ist neben der Erstellung und Verwaltung auch für die Migration von VMs zuständig. Dabei bezeichnet Migration den Prozess, bei dem der Hypervisor VMs auf einen anderen physischen Host verschiebt. Mit einem kompromittierten Migrationsmodul kann ein Angreifer sämtliche Daten der migrierten VM abgreifen und Schad-Software weiterverbreiten. Obwohl der Hypervisor die VMs voneinander isoliert, bietet er gleichzeitig eine software-basierte Verbindung und damit einen Angriffsvektor zwischen ihnen. Dieses Risiko sollten Betreiber und Nutzer im Hinterkopf behalten. Virtuelle Maschinen Abbildung 2: Virtual Machine Escape I: Hat ein Angreifer Zutritt zum Rechenzentrum, kann er per USB-Stick einen Exploit im Hypervisor installieren, welcher die Rechte einer bestimmten VM so erweitert, dass diese den Hypervisor steuern kann. Mit der Verbreitung von Virtualisierung rücken Hypervisoren immer stärker in die Aufmerksamkeit von Angreifern. Möglichkeiten gibt es viele: Angriffe können per USB-Stick und Direktzutritt zum Rechenzentrum (Abbildung 2), über ein Netzwerk oder aus einer kompromittierten VM heraus erfolgen. Im regulären Betrieb erteilt der Hypervisor den VMs allgemeine Managementinstruktionen und ermöglicht ihnen Zugang zu den Hardware- Ressourcen wie Prozessoren, Speichern sowie Peripheriegeräten. Kompromittierte VMs können diese Kommunikationskanäle dazu nutzen, die Sicherheitsregeln des Hypervisors zu umgehen und dort ihre Rechte zu erweitern. Auf diese Weise können sie zum Beispiel privilegierten Zugriff auf die Hardware oder auf andere VMs erhalten (Abbildung 3). Zum Einsatz kommen dafür spezifische Exploits, das heißt eine gezielt entwickelte Software, die Schwachstellen im Programmcode des Hypervisors ausnutzt. Der unbefugte Zugriff einer kompromittierten VM auf den Hypervisor und die Ausweitung der Rechte werden „virtual machine escape“ oder „guest to host escape“ genannt. Ein berühmtes und ein aktuelles Beispiel solcher Angriffe sind Cloudburst 1 (2009) und „from nobody to root“ 2 (Mai 2016). Entsprechend präparierte VMs können über vorhandene Kommunikationskanäle auch sogenannte Seitenkanalangriffe durchführen: Aus dem Verhalten der gemeinsam genutzten Ressourcen ziehen sie Rückschlüsse auf Anwesenheit und Aktivität anderer VMs. Mit diesem Wissen können Angreifer unbemerkt sensible Informationen sammeln und die Leistung reduzieren, die der Hypervisor den Nachbar-VMs zuteilt (Abbildung 4). Der Zugriff einer bösartig agierenden VM auf andere VMs heißt „guest hopping“. VMs werden über ein sogenanntes Image, das als Software- Paket vorliegt, erstellt. Integrität und Aktualität dieser Images sind fundamental für die gesamte Sicherheit der virtualisierten Umgebung. In öffentlichen Image-Repositories werden Images von VMs bereitgestellt. Dadurch können sich mit Schad-Software versehene VMs verbreiten. Das Erstellen von VMs über Images kann zu Schwachstellen augrund von veralteten Patch-Ständen der enthaltenen Betriebssysteme und Software-Komponenten führen. Gleiches gilt für VMs, welche sich über längere Zeit im Offline-Zustand befinden oder über ein Rollback in einen früheren Zustand versetzt werden. Zusätzlich kann ein Rollback zu Kompatibilitätsproblemen und Konfigurationsfehlern führen oder nicht angepasste Konfigurationen enthalten, woraus beispielsweise eine fehlende Beschränkung von Zugriffsrechten resultiert. VM1 HYPERVISOR HARDWARE Mgmt Exploit kompromittierte VM2 I/O Memory CPU Peripheriegeräte Memory CPU Abbildung 3: Virtual Machine Escape II: Der Angreifer nutzt die erlaubten Kommunikationskanäle zum VM-Management oder zur Zuweisung der Ressourcen, um einen Exploit zu installieren (in der Abbildung: I/O). 1 Detaillierte Informationen unter http://www.blackhat.com/presentations/bh-usa-09/KORTCHINSKY/BHUSA09-Kortchinsky-Cloudburst-PAPER.pdf [zuletzt geprüft am 13.02.2017]. 2 Detaillierte Informationen unter http://blog.quarkslab.com/xen-exploitation-part-1-xsa-105-from-nobody-to-root.html [zuletzt geprüft am 13.02.2017]. 26 | .public 01-17 | Informationstechnologie

VMs können im Rahmen der Erstellung, des Betriebs und von Migrationen verschiedene Zustände annehmen. Die Erkennung von Schad-Software ist schwieriger, wenn sich eine kompromittierte VM im Offline- oder im Suspended-Zustand befindet. VMs beinhalten eine Vielzahl von Konfigurationsdateien, die auf Storage-Systemen abgelegt werden und unter Umständen einen besonders hohen Schutzbedarf haben, da sie unter anderem Passwörter, kryptografische Schlüssel oder sensible Anwendungsdaten enthalten. CPU VM1 Seitenkanalangriff I/O Memory kompromittierte VM2 I/O Memory CPU HYPERVISOR HARDWARE Virtuelle Netzwerke CPU Memory Peripheriegeräte Bei virtuellen Netzwerken handelt es sich um die Abbildung eines physischen Netzwerks in virtueller Form. Dabei stehen im virtuellen Netzwerk logische Netzwerkgeräte zur Verfügung, wie unter anderem logische Ports, Switches, Router und Firewalls, logischer Lastausgleich und logische VPNs. Abbildung 4: Guest Hopping: Bei einem Seitenkanalangriff extrahiert ein Angreifer Informationen im Rahmen der gemeinsamen Hardware-Nutzung oder beeinträchtigt die Verfügbarkeit der Nachbar-VM. Über eine sogenannten Netzwerk-Virtualisierungsplattform (ähnlich zum Hypervisor oder als dessen Bestandteil) können virtuelle Netze erstellt und konfiguriert werden. Die dadurch erzielbare Isolation der einzelnen (virtuellen) Netze vermindert zwar grundsätzlich nicht deren Sicherheit, allerdings kann ein Angreifer die darunter liegende gemeinsam genutzte Netzwerk-Virtualisierungsplattform angreifen und dort Schwachstellen und Dienste anderer virtueller Netze ausspähen. Zusätzlich können über ein kompromittiertes virtuelles Netz auch Seitenkanalangriffe auf andere virtuelle Netze gestartet werden. Klassische Angriffe wie zum Beispiel Denial-of-Service, Sniffing oder Spoofing gelten auch für virtuelle Netzwerke. Netzwerksicherheitstechniken für physische Netzwerke umfassen beispielsweise Intrusion-Detection-Systeme (IDS) oder Data-Loss- Prevention-Systeme (DLP). Diese können Angriffe innerhalb eines virtuellen Netzwerks nicht erkennen, da Datenpakete das physische Netz nicht passieren. Virtueller Speicher (Storage) Virtualisierte Umgebungen mit großem Datenvolumen und rechenintensiven Anwendungen, die entsprechende Skalierungsmöglichkeiten bereitstellen, stellen besonders hohe Anforderungen an die sichere und performante Anbindung von Speichersystemen. Durch die Virtualisierung von Speichern werden Speichermedien wie Festplatten und Flash-Laufwerke von den physischen Servern abstrahiert und zu sogenannten Storage Pools zusammengefasst. Diese Storage Pools werden über eine entsprechende Software bereitgestellt und stellen eine Hypervisor-unabhängige Ressource dar. Dieser Ansatz wird als Software-Defined Storage bezeichnet. Für virtuellen Storage sind die Sicherheitsbedrohungen und Schwachstellen der eingesetzten Storage-Technologien wie Network File System (NFS), Network Attached Storage (NAS), iSCSI und Fibre Channel SANs (Storage Area Network) zu beachten. Eine häufige Form von Angriffen auf ein SAN sind Spoofing-Angriffe. Dabei erspäht ein Angreifer unterschiedliche Erkennungsmerkmale der Teilnehmer, um diese zum Beispiel selbst zur Authentisierung zu nutzen und so Zugriff auf vertrauliche Daten zu erlangen. Ein weiterer Angriff sind Denial-of-Services(DoS)-Angriffe auf den Management-Port der SAN-Switches. Ein weiteres Risiko stellt Datenremanenz dar. Das bedeutet, dass Daten trotz Löschen auf dem physischen Storage verbleiben (unter anderem ist das in manchen Fällen aufgrund der Wiederherstellbarkeit von Daten gewünscht). Insbesondere der in virtualisierten Umgebungen gemeinsam genutzte physische Speicher macht die Datenremanenz besonders gefährlich. Dadurch entsteht die Möglichkeit, dass Daten ohne Zustimmung für Dritte zugänglich werden oder auf kritische Daten durch Angriffe auf das Storage-Medium zugegriffen werden kann. SchutzmaSSnahmen Gezielte und unter Berücksichtigung spezifischer Risiken geplante Maßnahmenpakete können Störungen und Angriffen weitgehend vorbeugen. Ausgefeilte Attacken sind dann so aufwendig, dass das Ergebnis den Zeit- und Ressourceneinsatz für den Angreifer nicht mehr rechtfertigt. In klassischen IT-Verbun- Informationstechnologie | .public 01-17 | 27

msg

01 | 2018 public
02 | 2017 public
01 | 2017 public
02 | 2016 public
01 | 2016 public
02 | 2015 public
01 | 2015 public
01 | 2014 public
01 | 2014 msg systems study
01 | 2015 msg systems Studienband
Future Utility 2030
Lünendonk® Trendstudie
Digitale Transformation | DE
Digital Transformation | EN
DE | inscom 2014 Report
EN | inscom 2014 Report

msgGillardon

03 | 2016 NEWS
02 | 2016 NEWS
01 | 2016 NEWS
03 | 2015 NEWS
02 | 2015 NEWS
01 | 2015 NEWS
02 | 2014 NEWS
01 | 2014 NEWS
02 | 2013 NEWS
01 | 2012 NEWS
02 | 2011 NEWS
01 | 2010 NEWS
MaRisk
01 | 2017 banking insight
01 | 2015 banking insight
01 | 2014 banking insight
01 | 2013 banking insight
01 | 2012 banking insight
02 | 2011 banking insight
01 | 2011 banking insight
01 | 2010 banking insight
2016 | Seminarkatalog | Finanzen

Über msg



msg ist eine unabhängige, international agierende Unternehmensgruppe mit weltweit mehr als 6.000 Mitarbeitern. Sie bietet ein ganzheitliches Leistungsspektrum aus einfallsreicher strategischer Beratung und intelligenten, nachhaltig wertschöpfenden IT-Lösungen für die Branchen Automotive, Banking, Food, Insurance, Life Science & Healthcare, Public Sector, Telecommunications, Travel & Logistics sowie Utilities und hat in über 35 Jahren einen ausgezeichneten Ruf als Branchenspezialist erworben.

Die Bandbreite unterschiedlicher Branchen- und Themenschwerpunkte decken im Unternehmensverbund eigenständige Gesellschaften ab: Dabei bildet die msg systems ag den zentralen Kern der Unternehmensgruppe und arbeitet mit den Gesellschaften fachlich und organisatorisch eng zusammen. So werden die Kompetenzen, Erfahrungen und das Know-how aller Mitglieder zu einem ganzheitlichen Lösungsportfolio mit messbarem Mehrwert für die Kunden gebündelt. msg nimmt im Ranking der IT-Beratungs- und Systemintegrationsunternehmen in Deutschland Platz 7 ein.


© 2018 by msg systems ag - powered by yumpu Datenschutz | Impressum