Virtualisation : configurer vos serveurs ESX pour une sécurité optimale

Lorsque la virtualisation est réalisée dans les règles, elle garantit une administration aisée et diminue la quantité d’énergie nécessaire pour alimenter le centre de données, limite l’encombrement et rend les entreprises plus souples que jamais. Compte tenu de sa rapidité d’expansion, le cabinet d’études IDC évalue à quelque 11,7 milliards de dollars le chiffre d’affaires prévisionnel du marché des services de virtualisation en 2011 contre 5,5 milliards en 2006.

En tant que professionnels de la sécurité, il nous faut nous interroger sur les conséquences potentielles de la virtualisation en termes de sécurité.

Réflexion faite, elles sont considérables. La vulnérabilité, par exemple, du dossier de partage de VMware apparue dernièrement facilitait la transmission à l’hôte d’un virus ou d’un cheval de Troie par une machine virtuelle. De même, une seule machine virtuelle mal configurée peut mettre en péril la sécurité de l’hôte mais aussi de toutes les autres machines virtuelles présentes sur un système. À lui seul, le nombre de correctifs – près de 60 en 2007 pour ESX 3.0.1 – mérite qu’on s’y attarde.

De toutes les solutions de virtualisation disponibles pour les systèmes x86, nous étudierons ici la sécurité de l’une des plus courantes : la configuration du serveur ESX de VMware.

Plusieurs commandes et paramètres importants sont à connaître pour garantir les bonnes performances de vos serveurs ESX, notamment :

Éviter les groupes de ports par défaut. Un groupe de ports par défaut crée un groupe de ports de machine virtuelle sur la même interface réseau que la console de service du système. L’activation de cette option peut faciliter la détection par les machines virtuelles d’informations sensibles et le plus souvent non chiffrées. En d’autres termes : il est préférable d’éviter le plus possible les groupes de ports par défaut.

Dédier des réseaux pour VMotion et iSCSI. Les fonctionnalités iSCSI et VMotion, qui permettent de déplacer à chaud des machines virtuelles en fonctionnement d’un hôte vers un autre, ne sont pas chiffrées. De ce fait, l’état d’une machine virtuelle risque d’être exposé intégralement. La parade consiste à utiliser un réseau dédié et isolé pour VMotion et iSCSI.

Sécuriser les adresses MAC. Sur le serveur ESX, l’option d’adresse MAC doit être définie sur « reject » pour que le serveur ESX ne donne pas suite aux requêtes de modification de l’adresse MAC effective. L’option « forged transmissions » doit également être définie sur « reject ». Cette configuration amène le serveur ESX à vérifier la concordance en comparant l’adresse MAC source transmise par le système d’exploitation avec l’adresse MAC effective pour sa carte. Si les adresses ne correspondent pas, le serveur ESX choisit la sécurité et rejette le paquet.

Ne pas utiliser le mode promiscuité. Lorsque le mode libre est activé sur un commutateur VMnic, tous les paquets qu’envoient sur le réseau d’autres machines virtuelles, d’autres machines physiques en réseau ou d’autres périphériques en réseau peuvent être lus par toutes les machines virtuelles connectées à ce commutateur virtuel. Désactivez le mode promiscuité.

Sécuriser la console du serveur ESX. Même si vous avez verrouillé le serveur ESX pour le protéger contre les attaques réseau, des problèmes peuvent néanmoins être causés par toute personne ayant accès à la console de l’hôte. La sécurisation d’une console de serveur ESX s’apparente à celle d’un système Linux : définition de règles de firewall appropriées, contrôle d’accès aux privilèges racine, restriction de l’accès à “ su ” via sudo et utilisation des meilleures pratiques de gestion des mots de passe.

Sécuriser VirtualCenter. La sécurisation de l’hôte Windows pour VirtualCenter passe par une restriction de l’accès à l’administration et par la sécurisation de la base de données de VirtualCenter.

Ces conseils valent la peine d’être suivis pour sécuriser vos serveurs ESX. VMware a récemment annoncé l’initiative VMsafe pour aider l’entreprise à adopter une plate-forme de virtualisation plus sécurisée. VMsafe permettra aux éditeurs de solutions de sécurité de concevoir leurs applications pour qu’elles s’intègrent étroitement à Hypervisor. Hypervisor est en fait une couche logicielle qui s’exécute indépendamment du système d’exploitation principal et qui gère les machines virtuelles. Avec VMsafe, les éditeurs de logiciels de sécurité auront accès à la mémoire, au processeur et aux systèmes d’entrée/sortie de la machine virtuelle. Check Point Software, F5, Fortinet, IBM ou encore Symantec figurent parmi la vingtaine d’éditeurs qui ont déjà accepté.

Ces API constituent véritablement une évolution dans le bon sens et offriront davantage d’options de sécurité pour le verrouillage des machines virtuelles. Cependant, le revers de la médaille est que plus l’on crée d’API, plus les points d’attaque potentiels se multiplient. Et comme toujours, ce sont les petits détails, la qualité de déploiement et la configuration qui feront la différence.

Mots clés : virtualisation, securite, esx, chassis esx, virtualization, virtualisation et securite, securiser esx, vmare