SecAtor

Исследователи Лаборатории Касперского отметили основные аспекты безопасности систем виртуализации, подробно проанализировав атаки на разных уровнях и последствия ошибок в конфигурации. Виртуальная среда предприятия - это не только инфраструктура Hyper-V, VMware или Docker, а целый стек, состоящий из взаимосвязанных компонентов. Важные границы безопасности проходят не только между гостевой системой и гипервизором, но и между рабочей нагрузкой и уровнем управления, системой мониторинга и гипервизором, реестром и механизмом развертывания, рабочим местом администратора и консолью управления, уровнем управления и хранилищем данных, а также отдельными сегментами виртуальной сети. В виртуальных средах инциденты безопасности могут происходить из-за уязвимостей в ПО, ошибок персонала, небезопасных конфигураций или сочетания этих факторов. При этом злоумышленнику достаточно скомпрометировать хотя бы один подходящий переход. Расследование таких инцидентов зачастую выходит за рамки анализа рабочих нагрузок. Гипервизоры, среды выполнения контейнеров, административные консоли, платформы мониторинга, системы идентификации, виртуальные сети, хранилища данных, резервные копии и учетные записи автоматизации - все эти компоненты взаимосвязаны и могут стать частью цепочки атаки. Недавно команда GERT ЛК расследовала два инцидента с ransomware в инфраструктурах ESXi и Proxmox. В обоих случаях слабый контроль доступа, недостаточная сегментация сети, открытые службы администрирования и небрежное управление привилегированными учетными данными позволили злоумышленникам совершить атаки с ощутимым ущербом. В одном из случаев система мониторинга с доступом к уровню виртуализации содержала пароль пользователя root, который также применялся в других системах. Когда злоумышленник использовал эту цепочку атаки, ему хватило стандартного административного доступа, чтобы скомпрометировать сразу несколько хостов - без побега из виртуальной машины (ВМ). Эти инциденты наглядно демонстрируют, почему установка исправлений и безопасная конфигурация должны идти рука об руку. Полностью обновленный гипервизор все равно можно скомпрометировать через общий пароль, учетную запись мониторинга с избыточными привилегиями, открытый SSH-доступ или интерфейс администрирования, доступный из общей серверной сети. В руководстве NIST безопасные базовые конфигурации, ограниченный административный доступ, актуальные обновления и мониторинг всех уровней представлены как часть единого комплекса надлежащих практик безопасности. В новом исследовании ЛК разбирает оба инцидента, делая акцент на типичных небезопасных практиках, которые были использованы атакующими и привели к компрометации, а также на мерах по устранению последствий. Кроме того, исследователи выделили более широкий круг угроз, актуальных для виртуальных сред, дабы получить лучшее представление о возможных стратегиях защиты. В общем, настоятельно рекомендуем взять на вооружение.