Sýndarumhverfi eru öflug en fylgja einstökum öryggisáskorunum. Þessi leiðarvísir fjallar um helstu innilokunaraðferðir til að vernda kerfin þín gegn innbrotum. Hér er það sem þú munt læra:

• Netdeild: Notaðu VLAN, örskiptingu og öryggisstefnur til að einangra umferð og koma í veg fyrir hliðarhreyfingar.
• VM öryggi: Styrktu yfirstjórnarstýringar, sandkassa áhættusamt vinnuálag og stjórnaðu auðlindatakmörkunum til að innihalda ógnir.
• Aðgangsstýring: Innleiða hlutverkatengda aðgangsstýringu (RBAC), fjölþátta auðkenningu (MFA) og örugga stjórnandareikninga.
• Eftirlit: Fylgstu með auðlindanotkun, netumferð og kerfisskrám með verkfærum eins og VMware vRealize og Splunk.

Fljótur öryggisgátlisti:

1. Segmentanet: Notaðu VLAN og hugbúnaðarskilgreint netkerfi (SDN).
2. Einangraðu VM: Virkja einangrun minni, I/O vörn og dulkóðun geymslu.
3. Stjórna aðgangi: Beita minnstu forréttindareglum og tveggja þátta auðkenningu.
4. Fylgstu stöðugt með: Stilltu viðvaranir fyrir óvenjulega virkni og gerðu sjálfvirk svör.
5. Prófa reglulega: Framkvæma varnarleysisskannanir, skarpskyggnipróf og hörmungaræfingar.

Með því að fylgja þessum skrefum geturðu lágmarkað áhættu eins og VM-flótta, kross-VM árásir og tilföngun á meðan viðhalda stöðugleika kerfisins. Við skulum kafa ofan í smáatriðin.

Tengt myndband frá YouTube

Netskipting og aðskilnaður

Aðferðir við netskiptingu

Byrjaðu á því að setja upp VLAN og örþáttun til að búa til einangruð svæði innan netkerfisins. Þessi lagskiptu nálgun hjálpar til við að innihalda ógnir á áhrifaríkan hátt og tryggir betri stjórn á netumferð.

Hér er stutt sundurliðun á helstu aðferðum:

Skiptingsaðferð	Tilgangur	Öryggisávinningur
VLAN merking	Aðskilur umferð eftir aðgerðum	Lokar fyrir óviðkomandi krosssamskipti
Örskiptingu	Stofnar smærri öryggissvæði	Takmarkar hliðarhreyfingar við brot
Netstefnur	Framfylgir umferðarreglum	Viðheldur ströngum samskiptamörkum
SDN verkfæri	Virkjar kraftmikla netstýringu	Einangrar ógnir fljótt

Hver hluti ætti að hafa sína sérsniðnu öryggisstefnu og aðgangsreglur. Þetta tryggir að brot séu geymd innan ákveðinna svæða, sem dregur úr hættu á víðtæku tjóni. Þessar aðferðir mynda einnig grunninn að því að tryggja sýndarvélar (VM), eins og útskýrt er í næsta kafla.

Netaðskilnaður í litlum mæli

Fyrir smærri uppsetningar, einbeittu þér að því að stilla netviðmót hvers VM vandlega. Takmarkaðu óþarfa samskiptareglur og tengi, beittu strangri útgöngusíu, fylgstu með umferð á lykilstöðum og settu upp eldveggi sem byggir á hýsingaraðila. Þetta tryggir strangari stjórn og dregur úr útsetningu fyrir hugsanlegum ógnum.

Sýndaröryggisverkfæri

Nútíma sýndarvæðingarpallar eru búnir öflugum öryggiseiginleikum sem eru nauðsynlegir til að stjórna netaðskilnaði. Nýttu þessi verkfæri til fulls til að styrkja varnir þínar.

Helstu sýndaröryggisverkfæri eru:

• Sýndareldveggir: Settu þetta við mörk hvers hluta til að stjórna umferðarflæði á áhrifaríkan hátt.
• IDS/IPS kerfi: Notaðu innbrotsgreiningar- og varnarkerfi til að fylgjast með óvenjulegri netvirkni.
• Netgreining: Greindu umferðarmynstur til að koma auga á og taka á hugsanlega veikleika.

Sameina þessi verkfæri í samræmdan öryggisramma. Sjálfvirk viðbrögð geta hjálpað til við að einangra svæði í hættu á fljótlegan hátt, stöðva ógnir frá útbreiðslu og lágmarka skaða.

VM öryggisaðskilnaður

Öryggisstýringar Hypervisor

Yfirsjónarmenn gegna mikilvægu hlutverki við að einangra VM og vernda auðlindir. Notaðu innbyggða öryggiseiginleika þeirra til að koma í veg fyrir óviðkomandi aðgang.

Hér eru nokkrar lykilstýringar sem þarf að hafa í huga:

Gerð stjórna	Virka	Framkvæmd
Einangrun minni	Lokar fyrir aðgang að minni milli VM	Virkjaðu auknar síðutöflur (EPT) eða Nested Page Tables (NPT)
I/O vernd	Stjórnar tækisaðgangi	Stilla IOMMU sýndarvæðingu
Geymsluaðskilnaður	Heldur VM geymslu einangruðum	Notaðu aðskildar geymslulaugar með dulkóðun
Net einangrun	Stöðvar óviðkomandi samskipti	Virkjaðu einka VLAN og sýndarrofa

Fyrir vinnuálag sem hefur í för með sér meiri áhættu skaltu nota sandkassaumhverfi til að bæta við auknu verndarlagi.

Vörn gegn áhættu á vinnuálagi

Sandkassaumhverfi eru tilvalin til að prófa áhættusamar skrár eða forrit án þess að afhjúpa framleiðslukerfi. Til að tryggja algjöra einangrun skaltu gera þessar ráðstafanir:

• Notaðu skrifvarið VM sniðmát til að koma í veg fyrir breytingar á grunnkerfinu.
• Virkja afturköllunarkerfi sem byggir á skyndimynd fyrir skjótan bata.
• Slökktu á hvaða óþarfa nettengingu til að takmarka útsetningu.
• Sækja um inngjöf auðlinda til að forðast árásir á auðlindaþurrð.

Eftir að hafa einangrað áhættumikið vinnuálag skaltu setja tilföngsmörk til að lágmarka hugsanleg áhrif hvers kyns atvika.

Aðferðir til að stjórna auðlindum

Takmörkun á auðlindanotkun á hvern VM hjálpar til við að viðhalda stöðugleika kerfisins, sérstaklega við öryggisatburði. Íhugaðu þessar ráðlagðar stýringar:

Tegund auðlinda	Ráðlögð takmörk	Tilgangur
CPU notkun	75% hámark á hverja VM	Kemur í veg fyrir að einn VM ofhleðsla CPU
Minnisúthlutun	Föst úthlutun, engin loftbelg	Tryggir stöðugan árangur
Geymsla IOPS	Stilltu QoS takmörk á hvert bindi	Veitir fyrirsjáanlegan geymsluaðgang
Bandbreidd netkerfis	Notaðu reglur um mótun umferðar	Forðast netþrengingar eða flóð

Fylgstu með auðlindanotkun og stilltu mörk eftir þörfum. Sjálfvirkar viðvaranir geta hjálpað þér að greina hvenær VMs eru að nálgast eða fara yfir úthlutað auðlindir, sem gefur til kynna hugsanlegt öryggisvandamál.

sbb-itb-59e1987

Notendaréttindi og öryggisathugun

Notendaleyfisstig

Til að stjórna aðgangi á áhrifaríkan hátt í sýndarumhverfi skaltu innleiða Hlutverkabundin aðgangsstýring (RBAC) með því að samræma starfshlutverk við sérstakar heimildir. Notaðu eftirfarandi heimildarstig:

Aðgangsstig	Heimildir	Notkunarmál
Aðeins skoða	Lesaðgang að VM stöðu og annálum	Öryggisendurskoðendur, eftirlitsteymi
Rekstraraðili	Grunnaðgerðir VM (ræsa/stöðva/endurræsa)	Kerfisstjórar, stuðningsfulltrúar
Stórnotandi	VM stillingar og auðlindastjórnun	DevOps verkfræðingar, kerfisstjórar
Stjórnandi	Full stjórn, þar á meðal öryggisstillingar	Háttsettir innviðastjórar

Haltu þig við meginreglan um minnstu forréttindi – veita notendum aðeins þann aðgang sem nauðsynlegur er fyrir verkefni þeirra. Skoðaðu og breyttu heimildum á ársfjórðungi til að halda þeim uppfærðum.

Áður en þú innleiðir fjölþætta auðkenningu skaltu ganga úr skugga um að aðferðir notendaaðgangs séu öruggar.

Tveggja þrepa innskráningarkröfur

Styrktu innskráningaröryggi með því að krefjast:

• Tímabundið eitt skiptis lykilorð (TOTP) fyrir almennan aðgang
• Öryggislyklar fyrir vélbúnað fyrir reikninga með mikla forréttindi
• Líffræðileg tölfræði sannprófun fyrir líkamlegan aðgang að hýsingarkerfum
• IP-undirstaða aðgangstakmarkanir ásamt MFA

Stilltu sjálfvirkan lotutíma eftir 15 mínútna óvirkni til að draga úr hættu á óviðkomandi aðgangi. Bættu við stigvaxandi lokun fyrir misheppnaðar innskráningartilraunir, byrjaðu með 5 mínútna seinkun og eykst með hverri misheppnuðu tilraun.

Þessar ráðstafanir hjálpa til við að tryggja aðgang að forréttindareikningum og viðkvæmum kerfum.

Öryggi stjórnandareiknings

Notaðu sérstakar stjórnunarvinnustöðvar sem eru einangraðar frá venjulegri netumferð til að lágmarka áhættu. Skráðu allar aðgerðir stjórnanda á aðskildum, dulkóðuðum og óviðráðanlegum stað.

Fyrir neyðaraðgang stjórnanda skaltu koma á „brjóta-gler“ aðferð:

• Krefjast tvöfaldrar heimildar til að veita neyðaraðgang
• Rennur aðgangur sjálfkrafa út eftir 4 klukkustundir
• Sendu rauntíma viðvaranir til öryggisteyma
• Skráðu allar aðgerðir sem gripið hefur verið til í neyðartilvikum

Fylgstu með stjórnandareikningum fyrir óvenjulegri hegðun, svo sem aðgangi á frítíma eða mörgum samtímis fundum. Settu upp sjálfvirkar viðvaranir til að merkja allar grunsamlegar athafnir.

Þessar stýringar eru nauðsynlegar til að viðhalda öruggu og vel vernduðu sýndarumhverfi.

Öryggismæling sýndarumhverfis

Öryggiseftirlitskerfi

Notaðu samþætt verkfæri til að fylgjast vel með sýndarumhverfinu þínu. Hér er sundurliðun á helstu sviðum til að fylgjast með:

Vöktunarsvæði	Verkfæri og aðferðir	Helstu mælikvarðar
Auðlindanotkun	VMware vRealize, Nagios	Örgjörva/minni toppar, óvenjuleg I/O mynstur
Netumferð	Wireshark, PRTG netskjár	Bandbreiddarfrávik, grunsamlegar tilraunir til að tengjast
Kerfisskrár	Splunk, ELK Stack	Misheppnaðar innskráningartilraunir, stillingarbreytingar
Frammistaða	vROps, SolarWinds	Viðbragðstími, flöskuhálsar á auðlindum

Búðu til grunnlínusnið fyrir sýndarvélarnar þínar (VMs) og settu upp viðvaranir fyrir óvenjulega virkni. Fylgstu með sýndarnetshlutum sérstaklega til að koma auga á hliðarhreyfingartilraunir. Þessi skref hjálpa þér að bregðast hratt við þegar frávik eiga sér stað.

Sjálfvirk öryggisviðbrögð

Settu upp kerfið þitt til að bregðast sjálfkrafa við þegar ógnir greinast. Til dæmis:

• Taktu skyndimynd af viðkomandi VM strax.
• Notaðu smáhlutun netkerfisins til að einangra kerfi í hættu.
• Takmarka aðgang að auðlindum ef grunsamlegt mynstur kemur upp.
• Farðu aftur í hreint ástand með því að nota forstillta endurheimtarpunkta.

Stefna þín ætti að laga sig eftir ógnunarstigi. Ef VM sýnir merki um málamiðlun ætti ferlið að innihalda:

1. Að taka réttarmynd.
2. VM í sóttkví.
3. Lokar á óþarfa samskipti.
4. Að láta öryggisteymi vita.

Þessar sjálfvirku aðgerðir tryggja skjóta einangrun og innilokun ógna.

Neyðaráætlanir um sýndarumhverfi

Fyrirbyggjandi eftirlit og sjálfvirk viðbrögð eru nauðsynleg, en að hafa nákvæma neyðaráætlun er jafn mikilvægt. Áætlun þín ætti að ná yfir:

1. Frumsvörunarbókun

Gerðu grein fyrir fyrstu skrefunum, eins og að einangra VM, varðveita sönnunargögn og hafa samband við rétta liðsmenn.

2. Innihaldsstefna

Tilgreindu aðgerðir byggðar á alvarleika ógnunarinnar:

Ógnastig	Innilokunaraðgerðir	Svartími
Lágt	Fylgstu með og skráðu virkni	Innan 4 klst
Miðlungs	Einangraðu VMs sem hafa áhrif	Innan 30 mínútna
Hátt	Settu nethlutann í sóttkví	Strax
Gagnrýnið	Læstu allt umhverfið	Strax

3. Endurheimtaraðferðir

Skilgreindu hvernig á að endurheimta kerfi á öruggan hátt, staðfesta fjarlægingu spilliforrita og athuga heilleika kerfisins. Taktu með endurheimtartímamarkmið (RTOs) fyrir mismunandi vinnuálag.

Haltu skjölum um sýndarinnviði uppfærð til að flýta fyrir viðbrögðum við atvikum. Prófaðu neyðaráætlanir þínar ársfjórðungslega með líkum aðstæðum til að finna eyður og bæta skilvirkni.

Betra öryggi sýndarumhverfis

Helstu veitingar

Að tryggja sýndarumhverfi krefst margra laga nálgun. Þetta felur í sér virkt eftirlit, skjót viðbrögð við ógnum og strangt eftirlit með neti, sýndarvél (VM) og notendaaðgangi. Hér að neðan eru helstu ráðstafanir til að hafa í huga. Sjálfvirk svör geta gegnt stóru hlutverki við að viðhalda kerfisheilleika.

Halda kerfum uppfærðum og prófuðum

Reglulegar uppfærslur og ítarlegar prófanir eru ekki samningsatriði fyrir öruggt sýndarumhverfi. Hér er fljótur rammi fyrir öryggisprófanir:

Prófunarhluti	Tíðni	Fókussvæði
Varnarleysisskannanir	Vikulega	Netendapunktar, VM stillingar
Skarpprófun	Ársfjórðungslega	Aðgangsstýringar, einangrunarmörk
Hamfarabati	Árlega	Afritunarkerfi, bilunarferli
Öryggisreglur	Mánaðarlega	Notendaheimildir, auðkenningarkerfi

Stöðugar uppfærslur, paraðar við þessa prófunaráætlun, hjálpa til við að tryggja að veikleikum sé brugðist strax.

ServerionÖryggiseiginleikar hýsingar

Hýsingarlausnir Serverion eru byggð með áherslu á öryggi. Innviðir þeirra innihalda:

• 24/7 Netvöktun: Fylgir umferðarmynstri og greinir hugsanlegar ógnir allan sólarhringinn.
• Fjöllaga vörn: Sameinar vélbúnaðar- og hugbúnaðareldveggi með DDoS vörn.
• Sjálfvirk öryggisstjórnun: Reglulegar uppfærslur og lagfæringar halda kerfum öruggum.
• Gagnaverndarráðstafanir: Mörg dagleg afrit og skyndimyndir fyrir skjótan bata þegar þörf krefur.

Fyrir þá sem þurfa fulla stjórn, Serverion's VPS lausnir veita rótaraðgang fyrir sérsniðnar stillingar en viðhalda kjarnavörn. Fyrir mjög viðkvæmt vinnuálag, þeirra hollur netþjóna bæta við auka öryggislagi með dulkóðuðu geymslurými og aukinni einangrun. Auk þess tryggir 24/7 tækniaðstoð þeirra skjót viðbrögð við öllum öryggisvandamálum, sem hjálpar til við að viðhalda öruggu og áreiðanlegu sýndarumhverfi.

Tengdar bloggfærslur

• Hvernig á að tryggja gagnaver gegn líkamlegum ógnum
• Zero Trust Threat Response: Bestu starfsvenjur fyrir hýsingu
• Núll traust á hýsingu: Helstu ógnargreiningartæki
• Fullkominn leiðbeiningar um sýndargerð atviksviðbragðaáætlun