So sichern Sie betroffene Netzwerke ab

Sicherheitslücke im Cisco-Switch

Cisco hat vor kurzem mehrere Warnungen vor Sicherheitslücken in seinem Switch Cisco Nexus 1000V veröffentlicht. Doch bisher stehen keine Patches zur Verfügung, die die Schwachstellen beheben. Dror-John Röcher von Computacenter gibt Tipps, was zu tun ist.

Offenbar wurde von Cisco das Sicherheitsproblem im Zusammenhang mit dem Cisco Switch Nexus 100V noch nicht behoben. Genauere Informationen dazu liefert der Hersteller auf seiner Internetseite. Daher sollten Firmen prüfen, ob sie betroffen sind, wo die Gefahren liegen und welche Gegenmaßnahmen sich eignen.

Dror-John Röcher ist Leitender Security-Experte bei dem IT-Dienstleister Computacenter.
Dror-John Röcher ist Leitender Security-Experte bei dem IT-Dienstleister Computacenter.

Alle Kunden, die den Cisco Nexus 1000V in einer virtuellen Infrastruktur von VMware einsetzen, sind von den Sicherheitslücken betroffen, wenn Management- und Produktivverkehr nicht sauber getrennt sind. Während der Produktivverkehr die für Arbeitsprozesse benötigten Daten überträgt, dient der Managementverkehr für Administration, Backup & Recovery, Monitoring und andere operative Aufgaben sowie zur Kommunikation zwischen den Komponenten.

Ob das Netzwerk schlecht konfiguriert ist, finden Angreifer im Produktivnetz über einen Sniffer heraus. Anschließend können sie Zugriff auf den gesamten Control-Plane-Verkehr erhalten. Dies ist der Traffic innerhalb eines Switches zwischen der Supervisor Engine und den Ethernet-Modulen. In VMware Umgebungen mit Cisco Nexus 1000V wird dieser Control-Plane-Verkehr nicht mehr innerhalb des Switches abgebildet, sondern über das virtuelle und gegebenenfalls physische Netzwerk übertragen. Hier sollte dann der Control Plane Traffic als Management Traffic behandelt werden.

Der Control Plane Traffic wird über das STUN-Protokoll realisiert. Im Nexus 1000V weist die Cisco-Implementation der STUN-Kommunikation aber Schwachstellen auf, insbesondere in der verwendeten Verschlüsselung. Kann ein Angreifer darüber in die Kontrollebene eindringen und auf diesen Verkehr zugreifen, lässt sich sowohl der Control Plane Traffic als auch der eigentliche Datenverkehr unbemerkt mitlesen und sogar manipulieren. Zudem sind Angriffe wie Denial of Service gegen das virtuelle Netzwerk möglich.

Die Best Practice ist eine saubere Trennung von Management- und Produktivverkehr. Unter Umständen ist es auch sinnvoll, innerhalb des Management Traffics noch weiter aufzuteilen, also zum Beispiel vMotion aus Performance-Gründen über ein eigenes Netzwerk zu führen und nicht mit dem restlichen Managementverkehr auf dem gleichen Netz zu betreiben. Solche Best-Practice-Designs, bei dem Management und Produktion sauber getrennt sind, können jedoch mit einem zusätzlichen Hardware- und Konfigurationsaufwand verbunden sein.

Unternehmen stehen also zwei Abwehrmethoden zur Verfügung: Entweder die Umsetzung einer strikten Trennung von Management- und Produktivverkehr in den virtuellen und physischen Umgebungen oder der vollständige Verzicht auf den Einsatz des Cisco Nexus 1000V Switches. (ChannelPartner/mje)