Citrix XenServer Sicherheit

B

Blade2k2de

New Member
Hallo,

ich bin neu hier im Forum, aber habe schon ein Problem.
Seit ca. 3 Monaten habe ich einen XenServer 6.1 bei OVH zu Testzwecken.
Es laufen diverse VMs drauf, darunter eine PFsense mit einer Fail over ip von OVH.
Habe ein Hardening nach
http://www.ptsecurity.com/download/XenServer-Free-5-6-SHG.pdf

durchgeführt. Jedoch kann ich das Management Network vom VM Network nicht trennen da nur eine Netzwerkkarte.
Der XenServer läuft im bridged Mode.
Troz aller Maßnahmen wurde der Server schon zwei Mal gehackt!
Einmal als DDOS Zombie und einmal als WURM.

Weiß jemand wie ich das Management Interface in dieser Konstelation am Besten absicher?
Kann ich die Firewall auf dem Interface aktivieren und bei meinen VMs das NAT immer noch über die PFsense Regeln?

Besten Dank und Gruß
 
Wenn dir zum wiederholtem Male deine Server gecrackt wurden, solltest du vielleicht anfangen deine offenen Sicherheitslücken zu schließen. Eine Firewall ist da eher ungeeignet, da du damit nur Symptome bearbeitest, und nicht die Ursachen beseitigst.
 
Weder für den XenServer, noch für PFsense (resp. FreeBSD) gibt es aktuell bekannte Exploits, die einem einfach einen "Login" (im Fall von XenServer) via Remote-Konsole erlauben würden. Der Zugriff auf dein System muss also über eine andere Lücke (resp. Software) erfolgt sein. War wirklich das Hostsystem kompromittiert oder nur eine der VMs? Was für Software läuft auf den VMs?

Was das Thema Sicherheit betrifft, könntest du dir eine VM anlegen, die nur den Zweck hat, dir Zugriff auf die dom0 zu gewähren. Auf dieser VM läuft dann z.B. ein OpenVPN und die dom0 ist nur über eine interne bzw. VPN-IP erreichbar. Somit gäbe es dann keine Möglichkeit mehr, von außen direkt auf die dom0 zuzugreifen. Die Gesamtsystemsicherheit steht oder fällt dann natürlich mit der Sicherheit dieser einen VM.
 
tomasini said:
Was das Thema Sicherheit betrifft, könntest du dir eine VM anlegen, die nur den Zweck hat, dir Zugriff auf die dom0 zu gewähren. Auf dieser VM läuft dann z.B. ein OpenVPN und die dom0 ist nur über eine interne bzw. VPN-IP erreichbar. Somit gäbe es dann keine Möglichkeit mehr, von außen direkt auf die dom0 zuzugreifen.
Click to expand...
Und wenn diese VM aus welchem Grund auch immer ihren Dienst versagt, kann der Admin nichtmal mehr debuggen...

Vielleicht ist XEN auch einfach nur das falsche Produkt für den Kenntnisstand des Admins? Wenn er nichtmal die dom0 vernünftig konfigurieren und abschotten kann, wie will er sich denn um die VMs kümmern können? pfSense ist da keine Lösung, sondern nur ein Hilfsmittel und in den falschen Händen ein Schuss ins eigene Knie.


@OP: Per Google findet man zum Thema einiges an Lesestoff, schon abgearbeitet?
 
Joe User said:
Und wenn diese VM aus welchem Grund auch immer ihren Dienst versagt, kann der Admin nichtmal mehr debuggen...
Click to expand...

Korrekt, damit baut man sich natürlich einen schönen Single Point of Failure. Als Fallback hat man bei OVH aber immer noch eine virtuelle KVM (vKVM), über die man auf sein System zugreifen kann.

Wenn man das sauber lösen will, dann gehört das Admin-Panel auf ein eigenes Netzwerkinterface, sprich man braucht eine zweite NIC im Server, was natürlich mit entsprechenden Kosten verbunden ist. Optional kann man dann bei OVH auch noch auf das "Virtual Rack" zurückgreifen. Oder man erlaubt den Zugriff nur via VPN, was, vergleichbar zu ESXi, auch beim XenServer nur sehr schwer zu realisieren ist, weil Ootb-Lösungen ungerne grundlegende Neukonfigurationen erlauben.

Wie aber bereits eingangs erwähnt, würde ich den Fehler bzw. die Lücke primär mal nicht beim XenServer suchen, es sei denn, man hat da irgend etwas in der Config kaputt editiert.
 
tomasini said:
Korrekt, damit baut man sich natürlich einen schönen Single Point of Failure. Als Fallback hat man bei OVH aber immer noch eine virtuelle KVM (vKVM), über die man auf sein System zugreifen kann.
Click to expand...
Dann doch gleich die vKVM nutzen, statt sich mit der Sprungbrett-VM ein weiteres potentielles Einfallstor und zusätzlichen Administrationsaufwand zu schaffen.

Weniger ist (fast immer) mehr...
 
You must log in or register to reply here.
Back
Top