Virtual Appliance unsicher?

Hallo,

mich würde interessieren wie es mit der Sicherheit der Virtual Appliance für VMware aussieht, bezüglich Sicherheit im Vergleich gegenüber einer Hardware-Appliance.
In anderen Foren wird dringlichst davon abgeraten Firewalls auf einem Hypervisor zu installieren, da dies ein Sicherheitsrisiko ist.

Sollte demnach die Virtual Appliance nur in Testumgebungen oder als LAN-Firewall verwendet werden oder kann dem bedenkenlos widersprochen werden?

Vielen Dank für eure Meinung

Die Überlegung dahinter ist häufig das du dann mindestens 2 Systeme mit einer physikalischen Schnittstelle nach aussen hast.
Auch wenn der Host sauber konfiguriert ist läuft der Datenverkehr ja noch über die phsikalische Karte. Wenn es dann noch Bugs in den Kartentreibern gibt könnte ein böser Bube ggf. aus dem virtuellen System ausbrechen und auf das physikalische  zugreifen. Das wäre dann ggf. tatsächlich ein echtes Problem. Abgesehen davo musst du den Host ständig pflegen und hats dadurch zusätzliche "downtimes" wenn ein reboot fällig wird.
Wie immer gilt es Vor und Nachteile abzuwägen,wobei ich persönlich in produktiven Umgebungen auch ein seperates physikalisches System einsetzen würde.

Gruß

Hallo,

mich würde interessieren wie es mit der Sicherheit der Virtual Appliance für VMware aussieht, bezüglich Sicherheit im Vergleich gegenüber einer Hardware-Appliance.
In anderen Foren wird dringlichst davon abgeraten Firewalls auf einem Hypervisor zu installieren, da dies ein Sicherheitsrisiko ist.

Sollte demnach die Virtual Appliance nur in Testumgebungen oder als LAN-Firewall verwendet werden oder kann dem bedenkenlos widersprochen werden?

Vielen Dank für eure Meinung

In produktiven Umgebungen würde ich eine Hardware Appliance vorziehen. Ich hätte sonst ein ungutes Gefühl. Für Testumgebungen könnte ich mir vorstellen eine virtuelle Appliance einzusetzen.

Mich würde mich über ein offizielles Statement von Astaro freuen, da mein Chef unbedingt die Firewalls virtualisieren möchte. [:(]

Ein so sicherheitskritisches System wie eine Firewall gehört meiner Meinung nach einfach nicht auf eine VM. Da sollte man so viele Risiken wie möglich schon im Voraus ausschliessen. Weil, knackt da dann einer mal die VMware, viel Spass... (Obwohl, Spass hast du dann so oder so)

Astaro als Hersteller wird hier sicherlich nicht seriös ein offizielles Statement abgeben können, da die Risikobewertung des Setups sehr stark von vielen unterschiedlichen Faktoren abhängt und Astaro nun nicht Dein Setup en detail kennt.

Generell würde ich persönlich sagen, dass bei einem gut gewarteten VMWare-System, dessen Patch- und Operations Management okay ist, der Betrieb auf einer VMWare Umgebung nicht deutlich unsicherer ist, um relevant zu sein.

Allerdings solltest Du das von einem seriösen IT-Security-Consultant selbst bewerten lassen. 

Gegenfragen bzw Gedankenanstöße: Nutzt Du VLANs auf Deinen Switchen? Wenn ja, hast Du die gleichen physikalischen Switche für unterschiedliche Schutzzonen wie DMZ, LAN und WAN? Oder vertraust Du hier der Virtualisierung nicht?

Hast Du Maschinen unterschiedlichen Schutzbedarfs auf dem gleichen VMWare Host laufen?

Hast Du vielleicht ein SAN? Wenn ja, wer darf hier drauf zugreifen? Hast Du hier auch Maschinen unterschiedlichen Schutzbedarfs auf dem gleichen System rumturnen?

Hast Du Maschinen aus unterschiedlichen Schutzzonen im gleichen Management-LAN, vielleicht mit nem zweiten Interface?

Wie immer gilt: Virtualisierungstechnologien können erhebliche Vereinfachungen im Betrieb bieten, haben aber wie bei jeder logischen Abstraktion gewisse Restrisiken. 

Ich selbst würde in einem "normalen" IT Betrieb VMWare durchaus akzeptieren und mir eher Gedanken über doofe User, Nicht-HTTPS-Scanning, USB-Portkontrolle und die Sicherheit meiner mobilen Endgeräte statt über die theoretischen Risiken einer VMWare Umgebung machen. Sofern ich jedoch bspw. einen Internetübergang für's Militär konzipieren würde, wären sämtliche logischen Abstraktionstools, bei denen unterschiedliche Schutzzonen nicht auf getrennter Physik abgebildet wären, raus.

Just my 2 cents,
Christian