PfSense hakkında sanallaştırmanın tehlikeli olduğunu söyleyen birkaç forumda okudum. Belirtilen neden, bir saldırganın pfsense'i hipervizöre saldırmak için bir yay tahtası olarak kullanabilir ve daha sonra bunu diğer sanal makinelere erişmek ve sonunda her şeyi çevrimdışına almak için kullanabilirdi.
Bana çılgınca geliyor ama bu fikirde gerçekliğin bir parçası var mı? Sanal sunucuda yönlendirici çalıştırmak kötü bir fikir midir?
Yanıtlar:
İnsanların genellikle buna karşı sahip olduğu iddialar, tarihin hemen hemen kanıtlanmış olduğu hiper denetimcinin kendisinin güvenliği. Bu her zaman değişebilir, ancak gerçekten önemli bir tekrarlayan hiper yönetici güvenlik sorunu olmamıştır. Bazı insanlar buna güvenmeyi reddediyor, iyi bir sebep yok. Birisi güvenlik duvarına sahipse diğer ana bilgisayarlara saldırmakla ilgili değildir, bu durumda nerede çalıştığı önemli değildir ve tehlikeye girme olasılığı olan her şeyden, açık bir aptalca bir şey yapmadığınız sürece güvenlik duvarı listede YOLU varsayılan parola ayarıyla tüm Internet'e yönetimi. Bu insanlar, köprülü arayüzlerinden biri aracılığıyla internetten gönderilen sihirli bir "kök ESX" paketinin olacağı mantıksız bir korkuya sahipler. s bir şekilde hipervizöre bir şeyler yapacak. Bu son derece düşüktür, ağınızın güvenliğinin aşılması için milyonlarca daha olası yol vardır.
ESX'te çok sayıda üretim veri merkezi pfSense çalıştırıyor, muhtemelen tek başıma 100'den fazla kurulum yaptım. Güvenlik duvarlarımız ESX'te çalışır. Tüm bu deneyimlerden, güvenlik duvarlarınızı sanallaştırmanın küçük dezavantajları şunlardır: 1) sanallaştırma altyapınız bozulursa, o konumda fiziksel olarak değilseniz sorun gidermek için buna erişemezsiniz (çoğunlukla Colour veri merkezlerine uygulanabilir). Bu, özellikle CARP fiziksel ana bilgisayar başına bir güvenlik duvarıyla dağıtıldıysa çok nadir olmalıdır. Bunun gerçekleştiği durumlarda senaryoları görüyorum ve birileri sanal güvenlik duvarı olarak sanal güvenlik duvarı ile neyin yanlış olduğunu görmek için fiziksel olarak yere gitmeli ve sadece yol da kapalı. 2) Güvenlik sorunlarına yol açabilecek yapılandırma hatalarına daha yatkın. Filtrelenmemiş bir İnternet trafiğine karşı bir anahtarınız ve bir veya daha fazla özel ağ trafiğiniz varsa, filtrelenmemiş İnternet trafiğinin özel ağlarınıza düşmesi için birkaç olasılık vardır (bunun etkisi bir ortamdan diğerine değişebilir). Çok olası olmayan senaryolardır, ancak tamamen güvenilmeyen trafiğin herhangi bir şekilde iç ana bilgisayarlara bağlı olmadığı bir ortamda aynı tür bir vida yapmaktan çok daha olasıdır.
Bunların hiçbiri bunu yapmanıza engel olmamalıdır - özellikle senaryo 1 kesintilerini önlemek için dikkatli olun, özellikle bu, güvenlik duvarını kaybederseniz hazır fiziksel erişime sahip olmadığınız bir veri merkezinde oturuyorsa.
İnternet dönemine bağlı olan her şeyde bir tehlike var.
Ölümsüz Weird Al'ı alıntılamak için:
Bilgisayarınızı kapatın ve gücünün kesildiğinden emin olun
Zeminde kırk üç fitlik bir deliğe
bırakın. kayalar ve kayalar iyi olmalı
Daha sonra çevrimiçi olduğunuzda giydiğiniz tüm kıyafetleri yakın!
Dış dünyaya maruz bıraktığınız her şeyin saldırı için bir yüzeyi vardır. Özel donanımda pfSense çalıştırıyorsanız ve güvenliği tehlikeye girerse, saldırganınızın artık her şeye dahili olarak saldırmak için bir sıçrama tahtası vardır. PfSense sanal makineniz tehlikeye girerse, saldırganın çalışabileceği ekstra bir saldırı vektörü (hiper yönetici araçları (bunları yüklediğiniz varsayılır)) vardır, ancak bu noktada ağınız zaten tehlikeye girmiştir ve bir dünyadasınız Zaten acı.
Sanallaştırılmış bir pfSense örneği kullanmak daha az güvenli mi? Evet, çok az. Endişelendiğim bir şey var mı? Hayır.
DÜZENLEME: Daha fazla dikkate alındıktan sonra - pfSense içinde bir şekilde bir güvenlik açığı oluşturan sanallaştırılmış NIC'lerle ilgili sorunların olduğu farkında olmadığım belirli bir hata varsa, o zaman yukarıdaki geçersizdir. Ancak böyle bir güvenlik açığından habersizim.
Ne tür bir sunucudan bahsettiğinizden bağımsız olarak, sanal bir ortamda herhangi bir şey çalıştırmanın doğasında var olan bir tehlike vardır. Geçenlerde benzer bir soruya cevap verdim . Yönlendiricinizin / güvenlik duvarınızın dahili ağınıza zaten erişimi olacağından, hipervizör düzeyine saldırmak için gerçek bir neden yoktur - zaten çok daha iyi saldırı vektörleri vardır.
Hipervizörden sonra gerçekten görebilmemin tek nedeni, sanal makinenizin bir DMZ'de ikamet etmesi. Oradan hipervizörden sonra ve dahili ağdaki bir makineye gidebilirsiniz. Tanımladığınız kullanım durumu bu değil.
Şahsen DR amaçları için güvenlik duvarımın sanallaştırılmış bir kopyasını saklıyorum. Kullanmak ideal değil ama bir seçenektir.