VCF’te management network izolasyonu: firewall, BMC ve proxy

VCF management network’ünü korumak için yayımlanan rehber, vCenter, ESX, NSX ve SDDC Manager’ın bulunduğu bu ağı Tier 0 varlık olarak ele almayı öneriyor. Öneriler arasında ESX firewall kısıtlaması, lockdown mode, BMC izolasyonu ve dışa çıkan trafiğin proxy üzerinden sınırlanması var. Yazı, Cybersecurity Awareness Month serisinin 20. bölümü.

VMware Cloud Foundation nedir, ne işe yarar?

VMware Cloud Foundation (VCF), vSphere, vSAN ve NSX bileşenlerini tek bir yönetim katmanında birleştiren özel bulut platformudur. Kurum içi veri merkezlerinde sanal makine ve container iş yüklerini aynı altyapı üzerinde işletmek için kullanılır. Yaşam döngüsü yönetimi SDDC Manager üzerinden yürür. Benzer ihtiyaç için Nutanix Cloud Platform ya da OpenStack tabanlı çözümler tercih edilebiliyor.

VCF management network neden ilk hedef

Bu haber yeni bir özellik duyurusu değil. Bir mimari kuralı hatırlatıyor: hypervisor’ı yöneten ağ, üzerindeki tüm iş yüklerinden daha değerli. vCenter’a ulaşan saldırgan, guest içindeki güvenlik araçlarına görünmeden bütün VM’leri aynı anda şifreleyebiliyor, yedekleri silebiliyor.

Kaynaktaki iki örnek tabloyu iyi özetliyor. Tek bir ransomware (fidye yazılımı) kampanyası, internete açık ve yamasız 3.800’ü aşkın hypervisor host’unu ele geçirmiş. Başka bir vakada saldırganlar help desk aramasından Active Directory’ye, oradan vCenter ve ESX’e saatler içinde geçmiş. İki vakanın ortak paydası açık: gereksiz erişilebilirlik ve düz ağ.

Ayrı VLAN açmak izolasyon değil

En yaygın yanılgı şu: management için ayrı VLAN açıldı, iş bitti. Rehber tam tersini söylüyor. Tek bir geniş firewall kuralı ya da her yere uzanan bir jump host, diyagramı değiştirir ama riski değiştirmez.

Gerçek sınır, VLAN’lar arasındaki firewall policy. Hızlı bir test yapın: workload ağındaki sıradan bir VM’den vCenter’ın web arayüzüne bağlanabiliyor musunuz? Bağlanabiliyorsanız ayrım yalnızca kâğıt üzerinde. Rehberin ESX tarafındaki ek önerisi de dikkate değer: her workload domain’in kendi ESX management VLAN’ı olsun, management VMkernel arayüzü yalnızca o segmentte dursun.

ESX ve appliance firewall’larında sıra

Sırayı yanlış kurarsanız kendinizi dışarıda bırakırsınız. Önerilen akış:

• ESX firewall’da her servis varsayılan olarak her IP’ye açık. Önce şu anki durumu görün, sonra servisleri yalnızca management ağlarına daraltın.

esxcli network firewall ruleset list
esxcli network firewall ruleset allowedip list

• vCenter appliance firewall kaynak adrese göre tüm portları birlikte filtreliyor. Kısıtlamadan önce yönetici ağınız için izin kuralını ekleyin. Outbound trafiği filtrelemediği için çıkış kontrolü perimeter firewall’un işi.
• Normal lockdown mode SSH’ı ve ESX Shell’i kapatmıyor. Bu servisleri ayrıca durdurun, Exception Users listesine yalnızca servis hesaplarını koyun.
• Strict lockdown mode’a geçmeden vCenter kaybında host’a nasıl ulaşacağınızı yazılı hale getirin. Plansız geçişin bedeli host’u yeniden kurmak olabiliyor (KB 336894).
• VCF Operations firewall hardening (sıkılaştırma) varsayılan olarak kapalı geliyor. Açık olup olmadığını kontrol edin.
• VCF Installer, SDDC Manager’a dönüşmediyse bring-up sonrasında kapatılmalı ya da kaldırılmalı. İçinde bring-up kimlik bilgileri duruyor.

BMC: sunucu kapalıyken de açık kapı

BMC, sunucu kapalıyken bile çalışan bir yönetim bilgisayarı gibi düşünülebilir. NSA ve CISA, bu bileşenin TPM gibi güvenlik özelliklerini devre dışı bırakmak için kullanılabileceği uyarısında bulunuyor. CISA’nın bilinen exploit kataloğunda yaygın bir BMC firmware’ine ait authentication bypass da yer alıyor.

Rehberdeki en ince nokta bağımlılık döngüsü. BMC kullanıcılarını, aynı BMC’lerin kapatabildiği host’larda çalışan Active Directory’ye bağlarsanız felaket anında kilitlenirsiniz. AD’yi taşıyan host’u açmak için BMC’ye girmeniz gerekir, BMC de AD’yi bekler. Burada yerel hesaplarla çalışmak ve parolaları ayrı bir sistemde saklamak daha güvenli bir seçim. IPMI over LAN’ı kapatın, TLS 1.2 altını reddedin, log’ları merkezi toplayıcıya yönlendirin.

Çıkış trafiği: en ucuz kazanç

BRICKSTORM backdoor (arka kapı) vakası çıkış kontrolünün neden işe yaradığını gösteriyor. Dışarı arayamayan bir appliance, ele geçirilse bile saldırgana pek iş görmüyor. VCF yalnızca kısa bir Broadcom URL listesine 443 üzerinden ulaşmalı.

• VCF Operations, SDDC Manager ve vCenter proxy destekliyor. TLS inspection yapan bir proxy kullanıyorsanız proxy’nin CA sertifikasını appliance’lara import etmeniz gerekiyor.
• İnternet erişimini tamamen kesmek istiyorsanız VCF Download Tool ile offline depot doldurun. Tek depot birden fazla VCF instance’ına hizmet verebiliyor.
• vCenter, vSAN uyumluluk listesini doğrudan internetten çekiyor. Bu davranışı kapatın ya da proxy’ye yönlendirin.

VCF management network için uygulama sırası

Hepsini aynı anda yapmaya kalkmayın. Riski en hızlı düşüren adımlar önce gelsin:

1. İnternete açık yönetim arayüzü varsa bugün kapatın.
2. VCF management network envanterini çıkarın: DNS, NTP, key server, backup hedefi ve log collector dahil.
3. Outbound trafikte varsayılan deny ve proxy kuralını devreye alın.
4. Kullanıcı ve workload ağlarından management ağına erişimi perimeter firewall’da kesin.
5. ESX allowed IP listelerini ve BMC izolasyonunu tamamlayın.

Strict lockdown mode ve fiziksel olarak ayrı out-of-band yönetim altyapısı en sona kalabilir. Biri kurtarma planı, diğeri donanım bütçesi istiyor.