Virtualisierungstrends: Virtuelle Desktops, Clouds und intelligente Netzwerke

Sicherheit der virtuellen Infrastruktur und des Hypervisors

Das Thema Sicherheit stand ebenfalls auf der Agenda der VMWorld 2009. Virtuelle Umgebungen sind mittlerweile lohnende Ziele für Cyberkriminelle und Malware-Autoren. Künftige Malware könnte versuchen, den Hypervisor direkt zu übernehmen oder sich an ihn anzuhängen. Danach hätte die Malware theoretisch die gleichen Rechte wie der Hypervisor, wäre also den meisten Anti-Malware-Systemen übergeordnet – etwa, wenn diese in einer virtuellen Maschine laufen.

Dieses Szenario kann VMware direkt verhindern. Im Gespräch mit TecChannel erklärt uns Bogomil Balkansky, Senior Director Product Marketing, dass VMware versucht, den Hypervisor so klein wie möglich zu halten, um so keinerlei Angriffsmöglichkeiten zu bieten. Je weniger Code im Hypervisor stecke, desto weniger Angriffsfläche gäbe es. Auch habe VMware einen Vorteil gegenüber normalen Betriebssystemen, da die Architektur auf Sicherheit ausgelegt werden könne und sie nur einzelne Treiber direkt unterstützen müssten, so Balkansky.

Für die interne Sicherheit plant VMware für die kommende ESX-Version eine Technologie namens vShield Zones. Damit sollen sich virtuelle Umgebungen voneinander abkapseln können und der Traffic zwischen den Maschinen überwacht und notfalls unterbunden werden können.

Das zweite Szenario betrifft virtuelle Maschinen, die auf offline geschaltet wurden. Anders als bei physischen Desktop-Systemen bedeutet das nämlich keineswegs eine absolute Sicherheit. Vielmehr gibt es APIs, über die Programme mit Offline-VMs kommunizieren können. Hier wäre also ein Szenario denkbar, in dem eine Malware an die Daten von Offline-VMs gelangt und diese infiziert. Sobald die Maschinen gestartet werden, etwa als Fallback-System nach einer Attacke, wird die Malware aktiv und übernimmt das jeweilige System.

Hier sieht es derzeit noch schlecht mit schlüsselfertigen Lösungen aus, so Harish Sunderam Agastya von Trend Micro im Gespräch mit TecChannel. Bislang gäbe es keine Produkte, mit denen sich virtuelle Maschinen im Offline-Zustand überwachen und patchen lassen würden. Hier sind also der Admin und sein Sicherheitskonzept gefragt. Auch Fallback-Systeme sollten regelmäßig geprüft und aktualisiert werden.