Wirtualnie czy bezpiecznie?

Gdy wirtualizacja serwerowa wykorzystywana jest zgodnie z zasadami najlepszych praktyk, stanowi sprawną, uznaną technologię. Gdy jednak popełniane są karygodne błędy - poziom bezpieczeństwa systemów radykalnie spada.

Wirtualnie czy bezpiecznie?
Oprogramowanie do wirtualizacji jest dojrzałe, zawiera coraz mniej błędów i jest już produkcyjnie wykorzystywane w wielu firmach, dostarczając użytkownikom istotnych korzyści biznesowych. Należy się jednak zastanowić, czy w firmie nie występują typowe błędy ludzkie lub niewłaściwe założenia polityki bezpieczeństwa, skutkujące radykalnym osłabieniem bezpieczeństwa infrastruktury teleinformatycznej.

Dostarczana maszyna wirtualna (w skrócie VM) jest zestawem kilku plików, z których co najmniej jeden (VMDK czy VHD) jest obrazem dysku hostowanego systemu operacyjnego, włącznie z partycjami i zawartymi w nich plikami. Bardzo prosta operacja, polegająca na zamontowaniu obrazu za pomocą odpowiednich narzędzi, umożliwia zmianę zawartości takiego pliku niezależnie od ustawionych uprawnień dostępu wewnątrz partycji (można je ominąć montując w specjalny sposób partycję w innym systemie). Manipulując plikami, można w hostowanym systemie umieścić praktycznie dowolne złośliwe oprogramowanie.

Jeśli przenoszenie maszyn odbywa się na nośnikach wymiennych, takich jak pendrive, proces ten nie wymaga żadnych uprawnień w systemie teleinformatycznym - wystarczy, by nośnik znalazł się na chwilę w rękach nieuczciwego specjalisty. Przenoszenie maszyn VM między systemami deweloperskimi a produkcyjnymi często odbywa się właśnie za pomocą nośników wymiennych, by minimalizować miejsca styku obu podsieci lokalnych. Gdy, z kolei, pliki są przesyłane na serwer (FTP, CIFS, NFS), do udanej modyfikacji wystarczy prawo zapisu do katalogu.

Kiedy porówna się pracę z maszyną wirtualną do systemu pracującego bezpośrednio na sprzęcie, widać, że modyfikacja niepracującej VM jest możliwa bez fizycznego dostępu do serwera, na którym ona będzie pracować. W tradycyjnym modelu taka sama modyfikacja wymagałaby uruchomienia na docelowym komputerze obcego oprogramowania z wymiennego nośnika, co nie zawsze jest łatwe do wykonania, gdy komputer ten znajduje się w serwerowni.

Od pliku do domeny

Modyfikację maszyny wirtualnej Windows (składowanej w plikach VHD czy VMDK) można wykonać bardzo szybko, wykorzystując do tego celu narzędzia montowania partycji oraz programy, które dają możliwość zapisu do partycji NTFS z pominięciem sprawdzania uprawnień.

Scenariusz ataku polega na tym, że w systemie plików umieszcza się wybranym katalogu pliki malware, a następnie modyfikuje się system, by zostały one uruchomione. Czasami wystarczy modyfikacja niektórych bibliotek DLL. Keylogger, pracujący w trybie jądra, umożliwi przejęcie wciskanych klawiszy także przy logowaniu do systemu Windows, przy logowaniu do narzędzi administracyjnych i tak dalej. Pozyskanie hasła tą drogą umożliwi przejęcie kontroli nad domeną przy bardzo ograniczonych uprawnieniach startowych, a czasem nawet bez żadnego kontaktu z infrastrukturą serwerową firmy. Do tego celu wystarczy prawo zapisu do katalogu, gdzie są składowane pliki VM lub przejęcie na krótką chwilę przenoszonych VM z działu deweloperskiego do produkcji. Połączenie kilku narzędzi z odpowiednio przygotowanym skryptem powłoki umożliwi automatyczne instalowanie keyloggera na każdej z maszyn, do której plików napastnik uzyska dostęp.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200