Endpoint Detection and Response für HypervisorenMehr Sicherheit für ESXi-Umgebungen
15. August 2024ESXi unterstützt nativ keine Endpoint Detection and Response (EDR). Daraus Gefahren resultieren. Doch mit den passenden Anleitungen, lässt sich diese Schutzlücke bestmöglich schließen.
Zu den besonderen Cyber-Gefahren für ESXi-Umgebungen existieren Tipps und Best Practices, wie dieses Risiko verringert werden kann. Denn das grundlegende Problem lautet: VMware ESXi-Hypervisoren sind einem besonders hohen Cyber-Risiko ausgesetzt, da die Technologie direkt auf der Hardware implementiert ist und nicht innerhalb eines Betriebssystems wie beispielsweise Windows.
Was die Geschwindigkeit und die Effizienz dieser Host-Konfiguration begünstigt, wird bei der Verteidigung zum Problem, weil die ESXi-Hosts keine native Ausführung von EDR (Endpoint Detection and Response) oder MDR (Managed Detection and Response) unterstützen. Damit sind Angreifer in der Lage, mit einer großen Auswahl an Exploits zu arbeiten, die normalerweise von EDR oder MDR erkannt würden. Angreifer, die ESXi-Hosts ins Visier nehmen, können einem Unternehmen schnell unverhältnismäßig großen Schaden zufügen, indem sie mit nur wenigen Klicks einen kompletten ESXi-Host samt den darauf gehosteten VMs verschlüsseln.
Zwar könnte für mehr Schutz die ESXi-Protokollierung alle Ereignisse an ein SIEM weiterleiten, was jedoch aufgrund der Kosten, Komplexität und des Fachkräftemangels für den Betrieb eines SIEM für kleinere und mittelständische Unternehmen keine praktikable Option darstellt. Diese Schutzlücke ist Angreifern nicht entgangen und führt zu vermehrter Ausnutzung dieser Sicherheitsschwachstelle.
Die folgenden Tipps zeigen auf, wie Verteidiger das Risiko eines Angriffs auf ESXi reduzieren oder zumindest so verlangsamen können, dass die Verteidiger die Chance haben, die Gefahr zu erkennen und darauf zu reagieren:
- Sicherstellen, dass auf vCenter- und ESXi-Hosts unterstützte Versionen ausgeführt werden und alle Patches durchgeführt sind,
- vCenter- und ESXi-Hosts wenn möglich nicht der Domäne hinzufügen,
- Aktivieren des normalen Sperrmodus,
- Deaktivieren des SSH, sofern es nicht unbedingt benötigt wird,
- Erzwingen einer hohen Kennwortkomplexität für vCenter- und ESXi-Hosts,
- Kontosperrung nach fehlgeschlagenen Anmeldeversuchen,
- Aktivieren des UEFI Secure Boot,
- Konfiguration des Hosts, dass nur Binärdateien ausgeführt werden, die über signierte VIBs bereitgestellt wurden,
- Deaktivieren des Managed Object Browser (MOB), CIM, SLP und der SNMP-Dienste, wenn sie nicht verwendet werden sowie
das Einrichten einer dauerhaften Protokollierung. (rhh)