Zehn wichtige Tipps, um ESXi-Umgebungen zu sichern
VMware ESXi unterstützt nativ keine Endpoint Detection and Response (EDR). Daraus resultieren mehrere Gefahren. Mit einigen passenden Schritten lässt sich diese Schutzlücke allerdings weitestgehend schließen.
Sophos X-Ops hat einen ausführlichen Bericht über die speziellen Cybergefahren für ESXi-Umgebungen veröffentlicht und bietet Tipps und Best Practices zur Risikominderung. Das Hauptproblem: VMware ESXi-Hypervisoren sind besonders anfällig für Cyberangriffe, da sie direkt auf der Hardware implementiert sind und nicht innerhalb eines Betriebssystems wie Windows laufen. Diese Hostkonfiguration fördert zwar Geschwindigkeit und Effizienz, macht aber die Verteidigung schwierig, da ESXi-Hosts keine native Unterstützung für EDR (Endpoint Detection and Response) oder MDR (Managed Detection and Response) bieten. Dadurch können Angreifer Exploits nutzen, die normalerweise von EDR oder MDR erkannt würden. Ein Angriff auf ESXi-Hosts kann einem Unternehmen großen Schaden zufügen, indem Angreifer mit wenigen Klicks einen kompletten ESXi-Host und die darauf gehosteten VMs verschlüsseln.
Eine Möglichkeit für besseren Schutz wäre, alle Ereignisse über die ESXi-Protokollierung an ein SIEM (Security Information and Event Management) weiterzuleiten. Doch die Kosten, Komplexität und der Fachkräftemangel machen dies für kleine und mittelständische Unternehmen oft unpraktikabel. Diese Schutzlücke nutzen Angreifer vermehrt aus.
Sophos X-Ops gibt in seinem neuen Bericht zehn ausführliche Tipps, wie Verteidiger das Risiko eines Angriffs auf ESXi-Hosts verringern, oder Angriffe zumindest soweit verlangsamen können, dass sie eine gute Chance haben, die Gefahr zu erkennen und darauf zu reagieren:
- Aktualisieren: Stellen Sie sicher, dass vCenter- und ESXi-Hosts unterstützte Versionen ausführen und alle Patches installiert sind.
- Domäne vermeiden: Fügen Sie vCenter- und ESXi-Hosts nach Möglichkeit nicht der Domäne hinzu.
- Sperrmodus aktivieren: Aktivieren Sie den normalen Sperrmodus.
- SSH deaktivieren: Deaktivieren Sie SSH, wenn es nicht unbedingt benötigt wird.
- Kennwortkomplexität: Erzwingen Sie eine hohe Kennwortkomplexität für vCenter- und ESXi-Hosts.
- Kontosperrung: Richten Sie eine Kontosperrung nach mehreren fehlgeschlagenen Anmeldeversuchen ein.
- Secure Boot: Aktivieren Sie den UEFI Secure Boot.
- Signierte Binärdateien: Konfigurieren Sie den Host so, dass nur Binärdateien ausgeführt werden, die über signierte VIBs (vSphere Installation Bundles) bereitgestellt wurden.
- Dienste deaktivieren: Deaktivieren Sie den Managed Object Browser (MOB), CIM, SLP und die SNMP-Dienste, wenn sie nicht verwendet werden.
- Protokollierung einrichten: Richten Sie eine dauerhafte Protokollierung ein, um Ereignisse zu überwachen.
Diese Maßnahmen helfen, die Sicherheit der ESXi-Hosts zu erhöhen und das Risiko eines erfolgreichen Angriffs zu verringern.
Der komplette Bericht mit detaillierten Anleitungen zu den zehn Tipps steht hier zur Verfügung.
