VMware vCloud Director и сертификат со "звездочкой"

Для обладателей сертификатов со звездочкой *.zone.xxx есть достаточно удобный и быстрый способ подружить vCloud Director c таким сертификатом.

Для приготовления нам понадобятся: сertificate.crt - сам сертификат и кey_certificate.key закрытый ключик.

Используемый vCloud Director-ом JCEKS и keytool не умеют работать напрямую с *.crt и *.key, потому на первом этапе нам придется засунуть Certificate.crt и Key_certificate.key в какое-нибудь достойное хранилище сертификатов и закрытых ключей, например, PKCS#12 используя openssl:

> openssl pkcs12 -export -in Certificate.crt -inkey Key_certificate.key -out cert_http.p12 -passout pass:<PASSWORD> -name http

Обязательным условием является добавление алиаса -name http и consoleproxy, в дальнейшем этот шаг позволит нам экспортировать из PKCS#12 в JCEKS и добавить необходимые VMware vCloud Director alias.

> openssl pkcs12 -export -in Certificate.crt -inkey Key_certificate.key -out cert_consoleproxy.p12 -passout pass:<PASSWORD> -name consoleproxy

После этого подключаемся к VMware vCloud Director и переносим сертификаты из хранилища PKCS#12 в JCEKS

Для alias http:

> keytool -importkeystore -srckeystore cert_http.p12 -srcstoretype PKCS12 -srcstorepass <PASSWORD> -deststorepass <PASSWORD> -destkeypass <PASSWORD> -deststoretype JCEKS -destkeystore certificates.keystore -alias http

Для alias consoleproxy:

> keytool -importkeystore -srckeystore cert_consoleproxy.p12 -srcstoretype PKCS12 -srcstorepass <PASSWORD> -deststorepass <PASSWORD> -destkeypass <PASSWORD> -deststoretype JCEKS -destkeystore certificates.keystore -alias http

Корректность переноса из одного хранилища в другое проверяем

> keytool -keystore certificates.ks -storetype JCEKS -storepass <PASSWORD> - list

VMware vs CVE-2017-5715

09.01.2018 VMware зарелизила обновления на CVE-2017-5715, не смотря на предыдущее заявление о том, что уязвимость закрыта более ранним патчем  ESXi650-20172101-SG от 19.12.2017.

Информация на данный момент не доступна на блоге по безопасности VMware *) 

Выпущены обновления для следующих продуктов: 

- VMware vCenter Server (VC)

- VMware ESXi (ESXi)

- VMware Workstation Pro / Player (Workstation)

- VMware Fusion Pro / Fusion (Fusion)

Необходимо установить следующие обновления:

- VC 6.5 обновление 6.5 U1e

- VC 6.0 обновление 6.0 U3d  

- VC 5.5 обновление 5.5 U3g

- ESXi 6.5 обновления ESXi650-201801401-BG, ESXi650-201801402-BG 

- ESXi 6.0 обновления ESXi600-201801401-BG  ESXi600-201801402-BG

- ESXi 5.5 обновление ESXi550-201801401-BG

Обновления ESXi650-201801402-BG, ESXi600-201801402-BG, ESXi550-201801401-BG выпущены со следующим комментарием "These ESXi patches install the microcodes if present for your CPU,

see VMware Knowledge Base article 52085" 

- Workstation 14.x  обновление 14.1.1              
- Workstation 12.x  выпуск планируется в ближайшее время
- Fusion      10.x    обновление  10.1.1                
- Fusion      8.x    обновление  8.5.10 

Ссылки для загрузки и описания доступны по ссылке

ESXi и Reading privileged memory with a side-channel

Пока половина людей продолжает похмеляться после отмечания НГ, вторая половина истошно обсуждает отчет Google "Reading privileged memory with a side-channel" и хайпит на темы:

CVE-2017-5753
CVE-2017-5715
CVE-2017-5754

У VMware вроде все более менне ровно и выглядит примерно так

CVE-2017-5753, CVE-2017-5715 закрыты в ESX 6.5 обновлением от 19.12.2017 за именем ESXi650-20172101-SG

Для остальных версий (6.0 и 5.5) также есть соответсвующие KB и патчи.

А про CVE-2017-5754 написано примерно так: "It does not affect ESXi, Workstation, and Fusion because ESXi does not run untrusted user mode code, and Workstation and Fusion rely on the protection that the underlying operating system provides."

Приказ суров, но справедлив. Часть 8. Случайное сочетание и скрещивание.

Комбинативная изменчивость - возникает в результате обмена гомологичными участками гомологичных хромосом в процессе мейоза, а также как следствие независимого расхождения хромосом при мейозе и случайного их сочетания и скрещевания. Изменчивость может быть обусловлена не только мутациями, но и сочетаниями отдельных генов и хромосом, новая комбинация которых при размножении приводит к изменению определенных признаков и свойств организма.

11 октября 2017г. появился приказ ОАЦ "О внесении изменений в некоторые приказы ОАЦ при Президенте РБ", в котором появились некоторые забавные изменения, касающиеся приказе Оперативно-аналитического центра при Президенте Республики Беларусь от 30 августа 2013 г. № 62 «О некоторых вопросах технической и криптографической защиты информации».

Требования по обеспечению защиты информации в виртуальной инфраструктуре переместились в табличку, содержащую перечень требований к системе защиты информации, подлежащих включению в частное техническое задание или задание по безопасности на информационную систему, получили номера 6.1-6.10, расширились новыми требованиями и потеряли ряд старых.

О смысловой нагрузке попытаюсь в следующий раз. Предварительное заключение: случайное сочетание и скрещивание приводит к случайному результату.

Приказ суров, но справедлив. Часть 7. VMware vSphere 6.5 и ТР 2013/027/BY.

9 июня 2017 произошло удивительнейшее событие: VMware vSphere 6.5 под гордым названием "Платформа виртуализации VMware vSphere (Enterprise Plus, with Operations Management Enterprise Plus) в составе гипервизора VMware ESXi и сервера управления VMware vCenter 
Server 6.5" была сертифицирована в РБ на соответствие ТР 2013/027/BY
(СТБ 34.101.1-2014, СТБ 34.101.2-2014, СТБ 34.101.3-2014) для использования на объектах информатизации классов А2, Б2, В2, А3, Б3, В3 согласно СТБ 34.101.30-2007.

Соответствующая запись появилась в Реестре средств защиты информации, прошедших сертификацию на сайте ОАЦ

В сухом же остатке получается, что 8 требований (47-54) к среде виртуализации из Приказа ОАЦ за номером 62 "О некоторых вопросах технической и криптографической защиты информации" в Платформе виртуализации VMware vSphere (Enterprise Plus, with Operations Management Enterprise Plus) в составе гипервизора VMware ESXi и сервера управления VMware vCenter Server 6.5 выполняются.

Все, кто не встретил в тексте незнакомых слов понимают мою радость ;)

Всем, кто принимал в этом участие - большое спасибо. 

Приказ суров, но справедлив. Часть 6. Защита информации буквой закона: "виртуализация" vs "облачные вычисления"

Чуть ранее мы поговорили о двух проектах ГОСТ - "Требования по защите информации, обрабатываемой с использованием технологий виртуализации" и "Требования по защите информации, обрабатываемой с использованием технологий "облачных вычислений"

Первый из них сфокусирован на технологическом стеке и описывает требования и меры необходимые при использовании:

• виртуализации апаратного обеспечения;
• виртуализации программного обеспечения;
• виртуализации с использованием гипервизора 1 типа;
• виртуализации с использованием гипервизора второго типа;
• виртуализации вычислительных сетей;
• виртуализации систем хранения данных.

Второй, на требованиях и мерах при оказании услуг:

• HaaS;
• SecaaS;
• BPaaS;
• DaaS;
• TaaS;
• IaaS;
• SDPaaS;
• CaaS;
• PaaS;
• NaaS;
• SaaS;
• Traaas;
• WaaS.

Такое разделение в контексте названия документа и области применения выглядит совершенно верным и логичным. А вот что выглядит совершенно нелогичным, это содержание разделов:

"Объекты, подлежащие защите, при использовании технологий виртуализации" и 

"Объекты, подлежащие защите, и угрозы безопасности информации, обрабатываемой с использованием технологий "облачных вычислений" соответсвенно.

Складывается впечатление, что Уважаемые люди, которые писали первый документ, и не менее Уважаемые люди, которые писали второй документ, друг друга не знают, документы друг друга не читают, глоссарии/язык у них разные и пользуются они ими по-разному.

Для любителей читать все на языке оригинала ссылки на документы были приведены ранее, для все остальных от уже знакомого вам Славы Аксенова структурировано и в картинках.

Объекты, подлежащие защите, при использовании технологий виртуализации и/или технологий "облачных вычислений".

Приказ суров, но справедлив. Часть 5. Проект ГОСТа "Требования по защите информации, обрабатываемой с использованием технологий «облачных вычислений»"

В продолжение предыдущего поста о защите информации, обрабатываемой с использованием технологии виртуализации, поговорим о еще одном удивительном ГОСТ, находящемся на стадии проекта.

Проект ГОСТа Р XXXXX-20XX "Требования по защите информации, обрабатываемой с использованием технологий «облачных вычислений»". Указанный проект не подлежит применению до его утверждения, содержит 188 страниц, 25546 слов, Arial 12, что больше ГОСТ про виртуализацию в 3 раза.

Данный документ унаследовал очень многое из предыдущего, а именно: не увлекательно, скучно, утомительно. И снова на помощь приходит Слава Аксенов, который, невзирая на большое количество букв, изучил данный документ и консолидировал в крайне удобном формате крупицы полезного и интересного.

Угрозы безопасности информации, обрабатываемой с использованием технологий "облачных вычислений", а там про: угрозы для моделей IaaS, PaaS, SaaS и немного общей пыли. Как всегда - "кликабельно" и "качабельно":

Приказ суров, но справедлив. Часть 4. Проект ГОСТа "Требования по защите информации, обрабатываемой с использованием технологий виртуализации"

На страже информации, обрабатываемой с использованием технологий виртуализации, стоит проект ГОСТа "Требования по защите информации, обрабатываемой с использованием технологий виртуализации".

Документ на данный момент находятся в стадии проекта и ранее был доступен для свободного скачивания без регистрации и sms. На данный момент документа для скачивания на сайте Федерального Агенства по Техническому регулированию и метрологии я не нашел. Однако в интернете есть места, где данный проект ГОСТ доступен для скачивания и последующего кропотливого изучения.

Указанный документ это: 40 страниц, 7166 слов, Arial 12.
Изучение подобных документов дело кропотливое, не увлекательное, а поиск сокровенного знания в них, так и утомительное.

Мой коллега Слава Аксенов следует принципу "визуализация как путь к познанию" и продолжает радовать нас постерами на тему ИБ сквозь призму закона и государства.

Угрозы безопасности информации, обрабатываемой с использованием технологий виртуализации (а там и про виртуализацию аппаратного обеспечения, программного обеспечения, вычислительных сетей и систем хранения данных, виртуализацию с использованием гипервизоров 1 и 2 типа). Все кликабельно и доступно для скачивания в pdf.

Приказ суров, но справедлив. Часть 3 (целенаправленная совокупность взаимосвязанных действий).

В прошлых частях сурового и справедливого указа: часть 1 (теоретическая) и часть вторая (герменевтика) я постарался рассказать о требованиях Приказа ОАЦ № 62 к системам защиты систем виртуализации и о сложностях их толкования и реализации.

После всего что было, я просто обязан если не жениться, то рассказать про сертификацию ИС в РБ.
Однако я опоздал. Мой коллега Слава Аксенов уже все это сделал максимально информативно и доступно. С его разрешения публикую картинку о прелестях и тяготах, которые встречаются на жизненном пути информационных систем, живущих по понятиям согласно требований законодательства РБ.

Приказ суров, но справедлив. Часть 2 (герменевтика)

Как она ни пыталась, она не могла найти тут ни тени смысла, хотя все слова были ей совершенно понятны (c)

В прошлый раз я остановился на описании мат. части двух документов, определяющих принципы защиты информации в РБ и РФ:

·       Приказ ОАЦ за номером 62 «О некоторых вопросах технической и криптографической защиты информации»

·       Приказ ФСТЭК за номером 17 «Об утверждении Требований
 о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»

Для большей наглядности свел информацию, касающуюся виртуализации, в одну общую табличку.

Приказ суров, но справедлив. Часть 1 (теоретическая).

Начну с того, что я так и не смог найти картинку для этого поста корелирующую с содержанием и выбрал максимально подходящую с моей точки зрения.

Не прошло и трех лет 16 января 2015 года широкому кругу заинтересованных стала доступна обновленная версия Приказа ОАЦ за номером 62, в которой впервые появилось столь любимое всеми нами слово «виртуализация». А это значит, что существование технологий виртуализации официально признано и узаконено для использования в государственных органах РБ, естественно, при выполнении всех обозначенных требований по обеспечению технической и криптографической защиты информации.

Требований таких набралось не много не мало, а 8 штук. Числятся они за номерами с 47 по 54, распространяются на классы объектов информатизации A2, Б2 и B2 и звучат так:

Oracle DB backup... Veeam ?

В декабре прошло года в очередной раз прошел VMUG Belarus. Было много интересных, познавательных и противоречивых докладов.

Огромное спасибо компаниям Veeam, VMware за поддержку и помощь в организации.

Генриху Загальскому, Саше Купчинецкому, Антону Жбанкову, Александру Емецу, Володе Ескину и Владу Кирилину за качественный контент и приятное общение.

Никогда не выкладывал презентации докладчиков - без живого общения с авторами они не особо полезны. Однако, в этот раз будет небольшое отклонение от правила. 

Презентация Александа Емеца - "Veeam - Why Backup Oracle DB in a VM with Veeam B&R is easy and reliable way to project your data" 

Настоятельно рекомендую к вдумчивому ознакомлению и осознанному использованию. 

Делать бекапы умеют все вендоры, а восстанавливать нет. 

И да, оно и правда работает :)

... а в этом году будет весенний vmug :)

Heartbleed VMware

Hearbleed'ом зацепило, естественно, и продукты VMware. Так что придется пропатчиться. 

VMware уже отписалась по этому поводу официально VMSA-2014-00004.5

А ниже список виновников торжества провинившихся:

• ESXi 5.5
• NSX for Multi-Hypervisor Manager 4.0.x and 4.1.x
• NSX for vSphere 6.0.x
• NVP 3.x
• vCenter Server 5.5 (including VMware Big Data Extensions 1.x)
• vFabric Web Server 5.0.x – 5.3.x
• VMware Client Integration Plug-In (CIP) version 5.5
• VMware Fusion 6.0.x 
• VMware Player 6.0.x 
• VMware Workstation 10.x
• VMware Horizon Mirage Edge Gateway 4.4.x
• VMware Horizon View 5.3 Feature Pack 1 (affects only the HTML Access component in the Remote Experience Agent)
• VMware Horizon View Client for Android 2.1.x, 2.2.x, 2.3.x
• VMware Horizon View Client for iOS 2.1.x, 2.2.x, 2.3.x
• VMware Horizon View Client for Windows 2.3.x
• VMware Horizon Workspace 1.0 
• VMware Horizon Workspace 1.5 
• VMware Horizon Workspace 1.8
• VMware Horizon Workspace Client for Macintosh 1.5.1
• VMware Horizon Workspace Client for Macintosh 1.5.2
• VMware Horizon Workspace Client for Windows 1.5.1
• VMware Horizon Workspace Client for Windows 1.5.2
• VMware Horizon Workspace for Macintosh 1.8
• VMware Horizon Workspace for Windows 1.8
• VMware OVF Tool 3.5.0
• VMware vCloud Automation Center (vCAC) 6.x
• VMware vCloud Networking and Security (vCNS) 5.1.3
• VMware vCloud Networking and Security (vCNS) 5.5.1

Патчимся, иначе не "комплаинс"

java 7u51 vs vCenter Orchestrator

Обновил на клиенте java до версии 7u51 - потерял доступ к vCenter Orchestrator и получил очень информативное сообщение об ошибке - "general error occurred"

Взял чистый клиент с java 7u40 - получил "This application will be blocked in a future Java security update because the JAR file manifest does not contain the permissions attribute " Стало легче.

Предположил, что  "a general error occurred" 7u51 =  "This application will be blocked in a future Java security update because the JAR file manifest does not contain the permissions attribute " 7u40

Добавил в JCP->Security->Edit Site List: https://<FDQN> - доступ восстановлен.

VMware vCenter Log Insight syslog collector for Windows

Я уже писал про VMware vCenter Log Insight здесь. Про то как он интегрируется с VMware vCenter и VMware vCenter Operations, про то как он кастомизуется, анализирует, строит отчеты, алертует и т.п.

Сегодня мы будем использовать его совсем для другого...

audit ESXi config

Одним из требований стандарта PCI DSS является постоянный аудит настроек хоста ESXi.
Аудит, как мера обеспечения безопасности, основан на подробном знании конфигураций сервера и возможности сравнения текущих настроек с эталонными, принятыми как безопасные. Эталонные настройки обычно согласовываются с отделом IT безопасности, если Вам не повезло и у Вас такой отдел есть.
Аудит настроек может быть полезен и администраторам виртуальной платформы в случае траблшутинга или поиска отличий рабочей конфигурации от нерабочей, услужливо предоставленной коллегой.

Как это сделать встроенными средствами ниже и в картинках.

vpxuser

Система взаимодействия администратора (пользователя с любыми ролевыми правами) основана на сопоставлении учетной записи Windows, роли имеющей права на определенные объекты инфраструктуры и самих объектов инфраструктуры.

Получая доступ для выполнения действий с ESXi через vCenter администратор не регистрируется непосредственно и не выполняет действий непосредственно на самом хосте ESXi.

На стадии создания задания на vCenter происходит сопоставление роли для учетной записи и объектов инфраструктуры на которые данная роль имеет права.

vCenter взаимодействует с ESXi и виртуальными машинами (опрос хоста, передача задачи) используя учетную запись  vpxuser.

Пароль vpxuser состоит из 32 случайно сгенерированных символов. В зашифрованном (SHA1) виде хранится на хосте ESXi и базе данных vCenter. Для каждого хоста управляемого одним vCenter пароль уникален.

Знание пароля от vpxuser Вам ничего не даст, использовать эту комбинацию для подключения к хосту и любых других целей невозможно.

Попытки сменить пароль на учетную запись, применить к ней политики безопасности и т.п. могут привести только к нарушению взаимодействия vCenter и ESXi.

PCI DSS vs VMware part 4-2

- Запрет контроля устройств ESXi-сервера со стороны виртуальных машин. В общем, чтобы пользователи не отсоединяли\присоединяли CD-ROM, сетевые адаптеры и не меняли их параметры (включить\выключить) это надо запретить. Запрещается на уровне vm. Т.к. в моей тестовой инфраструктуре только две vm, буду делать вручную, не заморачиваясь на автоматизации. Можно править вручную *.vmx, а можно через vSphere Client:

- Предотвращение шпионажа других пользователей на администраторских  удаленных консолях. По сути, защита от "подглядывания", технически - ограничение подключений удаленной консоли. Идем проверенным в предыдущем пункте способом:

- Настройка безопасности для виртуальных коммутаторов. К сожалению, полноценно выполнить все требования данного пункта в моей тестовой среде я не могу. Флаг "Соответствует" я не получу :(. А суть требования заключается в:
- изоляции трафика: управления, vMotion, IP трафика файловых хранилищ.
- контроль за доступом к сети управления.
- запрет смешанного режима работы для виртуального коммутатора.
- запрет на смену MAC адресов.
- запрет существования неиспользуемых портов в группах портов виртуальных коммутаторов
- запрет на установку у групп портов значений VLAN в native VLAN.
- запрет на использование 4095 VLAN
- запрет на использование в виртуальном коммутаторе VLAN зарезервированных физическими коммутаторами
- Документирование всех VLAN и их назначения и т.п..
Большая часть этих параметров описана в бестпрактисах по настройка сети в виртуальной инфраструктуре и предварительно учитываются при построении "идейно правильных" архитектур.

- Отключение Direct Conlole User Interface. Выполнить это требование не сложно, но стоит ли ? Может пора прибегнуть к пункту "оценить риски и выработать компенсационные меры" в виде строго контроля за доступом к группе "localadmin", члены которой могут получать доступ к DCUI. А отключение делается так:
>chkconfig DCUI off
- Запрет подключения съемных устройств на ESXi-сервере. Этот пункт обсуждался, когда разговор шел про USB. Делаем так:

floppyX.present = "false"
serialX.present = "false"
parallelX.present = "false"
usb.present = "false"
ideX:Y.present = "false"


- Отключение Tech Support Mode. Насколько я понимаю в ESXi 5 это равносильно отключению ESXi Shell (эта KB как бы намекает на это). Поэтому просто останавливаем ESXi Shell:

- Запрет операций с буфером обмена. Действуем по старой схеме:

isolations.tools.copy.disable = "TRUE"
isolation.tools.paste.disable = "TRUE"
isolation.tools.dnd.disable= "TRUE"
isolation.tools.setGUIOptions.enable= "FALSE"

- Установка и поддержка целостности файловой системы. Честно говоря я не придумал доступного решения этой задачи без кастомизации ESXi. Буду просто проверять SHA1 суммы перед установкой ESXi и обновлений.

- Синхронизация времени.  Настраиваем синхронизацию с DC или какой-нибудь Cisco, где поднят NTP сервер.

Я попробовал выполнить все требования для "Соответствия" PCI DSS описанные в vGate Compliance Checker. В следующий раз рассмотрим чем соответствие PCI DSS у vGate Compliance Checker отличается от требований VMware Compliance Checker for vSphere. 

PCI DSS vs VMware part 4

Ниже я опишу как получить "чистый" скан в vGate Compliance Checker и VMware Compliance Checker for vSphere  для инфраструктуры установленной по принципу next->next->next. Не совсем типичный случай, но наиболее полно отражающий несоответствие стандарту PCI DSS.

Исследуемая  инфраструктура: ESXi  5.0.0, vCenter server установлен вместе с  MS SQL Server 2k8 R2 на MS Windows 2k3 st. R2 x64. Предварительно настроена только доменная авторизация. 

Результат скана vGate Compliance Checker:

Добавляем сервер ESXi, вводим имя учетной записи, пароль, запускаем скан:

vGate Compliance Checker Отчет о проверке Информация о соответствии настроек Ваших ESX/ESXi-серверов политикам безопасности PCI DSS, CIS Vmware ESX Server Benchmark и VMware Security Hardening Guide

Статистика

Проверено серверов: 1 Соответствуют политикам: 0 Не соответствуют политикам: 1 С ошибками: 0

[+][-] Сервер 192.168.10.128

[+][-] Политика VMware 4.1 [+][-] Запрет использования Managed Object Browser Не соответствует Политика блокирует возможность использования Managed Object Browser. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.15.4, VMware vSphere 4.1 Security Hardening Guide п.HCM02 "Disable Managed Object Browser" и PCI DSS v2.0 п.2.2.2. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет коммуникаций между виртуальными машинами через VMCI интерфейс Не соответствует Политика блокирует возможность использования VMCI интерфейса для соединения между виртуальными машинами. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.5 и VMware vSphere 4.1 Security Hardening Guide п.VMX12 "Disable VM to VM communication through VMCI". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Настройки логирования виртуальных машин на ESX/ESXi-сервере Не соответствует Для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.4 "Rotate VM Log Files on the Host and Limit Their Size", VMware vSphere 4.1 Security Hardening Guide п.VMX20 и PCI DSS v2.0 п.10.7. Политика настраивает следующие параметры логирования: log.rotateSize=100000, log.keepOld=10 для каждой виртуальной машины. Политика назначается на ESX/ESXi-сервер. [+][-] Контроль за доступом через VMsafe CPU/Mem API Соответствует Если не используются продукты, работающие с VMsafe CPU/Mem API, то необходимо контролировать его применение. Политика проверяет, что у всех виртуальных машин сервера это API отключено и не настроено. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.17.2 и VMware vSphere 4.1 Security Hardening Guide п.VMX52 "Control access to VMs through VMsafe CPU/Mem API". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер, но можно отменить контроль для некоторых виртуальных машин, назначив на них одноименную политику. Подробности в документации. [+][-] Разделение сетей консоли управления и виртуальных машин Соответствует Политика проверяет, что не используется одна сеть для Service Console (или Management vmkernel interface для ESXi) и виртуальных машин, для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.8.1 "Segregate Networks", VMware vSphere 4.1 Security Hardening Guide п.NAR01 и PCI DSS v2.0 п.1.2. Политика назначается на ESX/ESXi-сервер. [+][-] Отсылка событий сервера виртуализации на syslog-сервер Не соответствует Политика позволяет настроить ведение журнала событий ESX/ESXi-сервера на удаленном сервере syslog для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.11.3 "Configure syslogd to Send Logs to a Remote LogHost", VMware vSphere 4.1 Security Hardening Guide п.HLG01 и PCI DSS v2.0 п.10.2. Значение порта, отличное от 514, работает только на ESXi. Политика назначается на ESX/ESXi-сервер. [+][-] Проверка настроек SNMP агента (только для ESXi) Соответствует Политика позволяет проверить и задать в случае необходимости настройки для SNMP агента. Используйте ";" в качестве разделителя для указания нескольких обществ и приемников SNMP данных. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HMT02 "Ensure proper SNMP configuration (ESXi ONLY)". Политика назначается на ESXi-сервер. [+][-] Запрет подключения USB-носителей к ESX/ESXi-серверу Не соответствует Политика исключает возможность подключения съемных USB-носителей на ESX/ESXi-сервере. После включения данной политики необходима перезагрузка ESX сервера. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.VMX10 "Ensure Unauthorized Devices are Not Connected" и PCI DSS v2.0 п.2.2. Политика назначается на ESX/ESXi-сервер. [+][-] Контроль за доступом через VMsafe Network API Соответствует Если не используются продукты, работающие с VMsafe Network API, то необходимо контролировать его применение. Политика проверяет, что у всех виртуальных машин сервера это API отключено и не настроено. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.17.2 и VMware vSphere 4.1 Security Hardening Guide п.VMX55 "Control access to VMs through VMsafe Network API". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер, но можно отменить контроль для некоторых виртуальных машин, назначив на них одноименную политику. Подробности в документации. [+][-] Ограничение размера vmx-файла Не соответствует Политика устанавливает максимальный размер для vmx-файла. Неконтролируемый размер VMX файла может привести к отказу в обслуживании при заполнении хранилища данных. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.2 и VMware vSphere 4.1 Security Hardening Guide п.VMX21 "Limit informational messages from the VM to the VMX file". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Отключение приветственной страницы (Welcome Web Page) при подключении к интерфейсу управления ESX-сервера Не соответствует Политика отключает показ приветственной страницы (Welcome Web Page) при подключении к интерфейсу управления ESX-сервера. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HCM05 "Disable Welcome web page". Политика назначается на ESX/ESXi-сервер. [+][-] Запрет отсылки информации о производительности ESX-сервера гостевым системам Не соответствует Политика отключает отсылку информации о загрузке ESX-сервера на гостевую OC, так как нарушитель потенциально может использовать эту информацию для получения информации об узле для осуществления дальнейших атак на хост. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.11 "Disable ESX Host Performance Data Delivery to a VM" и VMware vSphere 4.1 Security Hardening Guide п.VMX31. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет контроля устройств ESX/ESXi-сервера со стороны виртуальных машин Не соответствует Политика запрещает гостевой операционной системе виртуальной машины контролировать устройства ESX-сервера для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.1 "Remove Guest Control of Hardware Devices", VMware vSphere 4.1 Security Hardening Guide п.VMX11 и PCI DSS v2.0 п.2.2. Политика назначается на ESX/ESXi-сервер. [+][-] Предотвращение шпионажа других пользователей на администраторских удаленных консолях Не соответствует Политика защищает открытую удаленную консоль Администратора от других подключений. Будет разрешено соединение удаленной консоли только с одной виртуальной машиной. Другие запросы будут отклоняться до окончания первой сессии. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.7 "Set RemoteDisplay.maxConnections to One", VMware vSphere 4.1 Security Hardening Guide п.VMX02 и PCI DSS v2.0 п.7.1. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Настройки безопасности для виртуальных коммутаторов Не соответствует Политика задает более строгие настройки работы виртуального коммутатора (запрещены смешанный режим, смена MAC-адреса и несанкционированные передачи) для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.12 "Networking – vSwitch and PortGroup", VMware vSphere 4.1 Security Hardening Guide п.NCN03-05 и PCI DSS v2.0 п.7.1. Политика назначается на ESX/ESXi-сервер. [+][-] Предотвращение сжатия виртуальных дисков Не соответствует Политика устанавливает запрет на выполнение операции сжатия виртуального диска для каждой виртуальной машины для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.6 "Prevent Virtual Disk Shrinkage" и VMware vSphere 4.1 Security Hardening Guide п.VMX01. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Отключение неиспользуемого vSphere функционала Не соответствует Политика отключает у виртуальной машины функции для работы с VMware Workstation и Fusion. Остановка HGFS-сервера приведет к тому, что API, использующее его для отправки/приема файлов на/с гостевую систему (некоторые VIX команды или VMware Tools auto-upgrader) не будет работать. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.VMX24 "Disable certain unexposed features" и PCI DSS v2.0 п.2.2.4. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Включить Lockdown Mode Не соответствует Политика включает Lockdown Mode, который обязывает использовать vCenter для управления сервером (http://kb.vmware.com/kb/1008077). Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HCN02 "Enable lockdown mode to restrict remote access". Политика применяется только для ESXi-серверов, которые добавлены в vCenter. [+][-] Отключение Direct Console User Interface Не соответствует Политика блокирует возможность использования Direct Console User Interface. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HCN05 "Disable DCUI to prevent all local administrative control" и PCI DSS v2.0 п.7.1. Политика назначается на ESXi-сервер. [+][-] Аудит модулей ядра гипервизора без цифровой подписи Соответствует Политика проверяет загруженные модули ядра и информирует об использовании неподписанных модулей. Список разрешенных к загрузке неподписанных модулей можно расширить. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HMT15 "Audit for loading of unauthorized kernel modules (ESXi only)". Политика назначается на ESXi-сервер. [+][-] Запрет подключения съемных устройств на ESX/ESXi-сервере Не соответствует Политика запрещает подключение съемных устройств для соответствия требованиям PCI DSS v2.0 п.2.2 и VMware vSphere 4.1 Security Hardening Guide п.VMX10 "Ensure Unauthorized Devices are Not Connected". Политика назначается на ESX/ESXi-сервер. [+][-] Отключение Tech Support Mode Не соответствует Политика блокирует возможность использования Tech Support Mode. Локальный и удаленный Tech Support Mode могут быть отключены независимо друг от друга. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HCN06 "Disable Tech Support Mode unless needed for diagnostics and break-fix" и PCI DSS v2.0 п.2.2.2. Политика назначается на ESXi-сервер. [+][-] Избегать использования несохраняющихся (nonpersistent) дисков Соответствует Политика проверяет и информирует об использовании independent-nonpersistent дисков у виртуальных машин. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.9 и VMware vSphere 4.1 Security Hardening Guide п.VMX22 "Avoid using independent-nonpersistent disks". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет удаленных операций в гостевой системе Не соответствует Политика блокирует возможность использования VIX API, что позволяет предотвратить запуск запрещенных операций на гостевой ОС для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.10 "Disable VIX API" и VMware vSphere 4.1 Security Hardening Guide п.VMX30. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет операций с буфером обмена Не соответствует Политика устанавливает запрет на выполнение операций с буфером обмена для каждой виртуальной машины для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.3 "Disable Cut and Paste", VMware vSphere 4.1 Security Hardening Guide п.VMX03 и PCI DSS v2.0 п.7.2. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX-сервер. [+][-] Установка и поддержка целостности файловой системы Не соответствует Политика ограничивает доступ к конфигурационным файлам служб для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.9.8 "Establish and maintain filesystem integrity", VMware vSphere 4.1 Security Hardening Guide п.HMT03 и PCI DSS v2.0 п.8.5. Политика назначается на ESX/ESXi-сервер. [+][-] Установка тайм-аута для работы в Tech Support Mode Не соответствует Политика устанавливает тайм-аут для работы в Tech Support Mode, по истечении которого Tech Support Mode будет отключен. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HCN07 "Set a timeout for Tech Support Mode". Политика назначается на ESXi-сервер. [+][-] Запрет NFS и NIS клиентов Не соответствует Политика блокирует работу NFS или NIS клиентов. Использование этих клиентов отключает межсетевой экран ESX-сервера для исходящих соединений. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.CON03 "Do not run NFS or NIS clients in the Service Console". Политика назначается на ESX-сервер. [+][-] Настройка постоянного журналирования на ESXi Не соответствует Политика позволяет задать путь к журнальному файлу в хранилище данных, что исключает потерю журнальных данных при перезагрузке сервера. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HLG02 "Configure persistent logging". Политика назначается на ESXi-сервер. [+][-] Ограничение доступа к VMsafe Network API Соответствует Политика позволяет ограничить доступ к VMsafe Network API путем задания единственного IP-адреса, который выступает в качестве VMsafe Network security appliance. Если указать "0" вместо IP, то доступ к VMsafe Network API будет запрещен. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.VMX56 "Restrict access to VMsafe network APIs" и п.HMT12 "Prevent unintended use of VMsafe network APIs". Политика назначается на ESX/ESXi-сервер. [+][-] Синхронизация времени Не соответствует Политика позволяет настроить синхронизацию времени для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.9.2 "Configure NTP", VMware vSphere 4.1 Security Hardening Guide п.HLG03 и PCI DSS v2.0 п.10.4. Политика назначается на ESX/ESXi-сервер. [+][-] Политика CIS for ESX 4 [+][-] Запрет использования Managed Object Browser Не соответствует Политика блокирует возможность использования Managed Object Browser. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.15.4, VMware vSphere 4.1 Security Hardening Guide п.HCM02 "Disable Managed Object Browser" и PCI DSS v2.0 п.2.2.2. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет коммуникаций между виртуальными машинами через VMCI интерфейс Не соответствует Политика блокирует возможность использования VMCI интерфейса для соединения между виртуальными машинами. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.5 и VMware vSphere 4.1 Security Hardening Guide п.VMX12 "Disable VM to VM communication through VMCI". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Настройки логирования виртуальных машин на ESX/ESXi-сервере Не соответствует Для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.4 "Rotate VM Log Files on the Host and Limit Their Size", VMware vSphere 4.1 Security Hardening Guide п.VMX20 и PCI DSS v2.0 п.10.7. Политика настраивает следующие параметры логирования: log.rotateSize=100000, log.keepOld=10 для каждой виртуальной машины. Политика назначается на ESX/ESXi-сервер. [+][-] Контроль за доступом через VMsafe CPU/Mem API Соответствует Если не используются продукты, работающие с VMsafe CPU/Mem API, то необходимо контролировать его применение. Политика проверяет, что у всех виртуальных машин сервера это API отключено и не настроено. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.17.2 и VMware vSphere 4.1 Security Hardening Guide п.VMX52 "Control access to VMs through VMsafe CPU/Mem API". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер, но можно отменить контроль для некоторых виртуальных машин, назначив на них одноименную политику. Подробности в документации. [+][-] Разделение сетей консоли управления и виртуальных машин Соответствует Политика проверяет, что не используется одна сеть для Service Console (или Management vmkernel interface для ESXi) и виртуальных машин, для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.8.1 "Segregate Networks", VMware vSphere 4.1 Security Hardening Guide п.NAR01 и PCI DSS v2.0 п.1.2. Политика назначается на ESX/ESXi-сервер. [+][-] Отсылка событий сервера виртуализации на syslog-сервер Не соответствует Политика позволяет настроить ведение журнала событий ESX/ESXi-сервера на удаленном сервере syslog для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.11.3 "Configure syslogd to Send Logs to a Remote LogHost", VMware vSphere 4.1 Security Hardening Guide п.HLG01 и PCI DSS v2.0 п.10.2. Значение порта, отличное от 514, работает только на ESXi. Политика назначается на ESX/ESXi-сервер. [+][-] Контроль за доступом через VMsafe Network API Соответствует Если не используются продукты, работающие с VMsafe Network API, то необходимо контролировать его применение. Политика проверяет, что у всех виртуальных машин сервера это API отключено и не настроено. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.17.2 и VMware vSphere 4.1 Security Hardening Guide п.VMX55 "Control access to VMs through VMsafe Network API". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер, но можно отменить контроль для некоторых виртуальных машин, назначив на них одноименную политику. Подробности в документации. [+][-] Ограничение размера vmx-файла Не соответствует Политика устанавливает максимальный размер для vmx-файла. Неконтролируемый размер VMX файла может привести к отказу в обслуживании при заполнении хранилища данных. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.2 и VMware vSphere 4.1 Security Hardening Guide п.VMX21 "Limit informational messages from the VM to the VMX file". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет отсылки информации о производительности ESX-сервера гостевым системам Не соответствует Политика отключает отсылку информации о загрузке ESX-сервера на гостевую OC, так как нарушитель потенциально может использовать эту информацию для получения информации об узле для осуществления дальнейших атак на хост. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.11 "Disable ESX Host Performance Data Delivery to a VM" и VMware vSphere 4.1 Security Hardening Guide п.VMX31. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет контроля устройств ESX/ESXi-сервера со стороны виртуальных машин Не соответствует Политика запрещает гостевой операционной системе виртуальной машины контролировать устройства ESX-сервера для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.1 "Remove Guest Control of Hardware Devices", VMware vSphere 4.1 Security Hardening Guide п.VMX11 и PCI DSS v2.0 п.2.2. Политика назначается на ESX/ESXi-сервер. [+][-] Предотвращение шпионажа других пользователей на администраторских удаленных консолях Не соответствует Политика защищает открытую удаленную консоль Администратора от других подключений. Будет разрешено соединение удаленной консоли только с одной виртуальной машиной. Другие запросы будут отклоняться до окончания первой сессии. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.7 "Set RemoteDisplay.maxConnections to One", VMware vSphere 4.1 Security Hardening Guide п.VMX02 и PCI DSS v2.0 п.7.1. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Настройки безопасности для виртуальных коммутаторов Не соответствует Политика задает более строгие настройки работы виртуального коммутатора (запрещены смешанный режим, смена MAC-адреса и несанкционированные передачи) для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.12 "Networking – vSwitch and PortGroup", VMware vSphere 4.1 Security Hardening Guide п.NCN03-05 и PCI DSS v2.0 п.7.1. Политика назначается на ESX/ESXi-сервер. [+][-] Предотвращение сжатия виртуальных дисков Не соответствует Политика устанавливает запрет на выполнение операции сжатия виртуального диска для каждой виртуальной машины для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.6 "Prevent Virtual Disk Shrinkage" и VMware vSphere 4.1 Security Hardening Guide п.VMX01. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Контроль за использованием VMsafe API для защитного модуля Соответствует VMsafe позволяет использовать одну из виртуальных машин как защитный модуль для инспектирования CPU/Memory или сетевых ресурсов других виртуальных машин. На всех виртуальных машинах, кроме испольняющей роль защитного модуля, эта функциональность должна быть отключена. Соответствует требованию CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.17.1. Политика назначается на ESX/ESXi-сервер, но виртуальные машины-защитные модули могут быть исключены из обработки соответствующей политикой. [+][-] Избегать использования несохраняющихся (nonpersistent) дисков Соответствует Политика проверяет и информирует об использовании independent-nonpersistent дисков у виртуальных машин. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.9 и VMware vSphere 4.1 Security Hardening Guide п.VMX22 "Avoid using independent-nonpersistent disks". После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет удаленных операций в гостевой системе Не соответствует Политика блокирует возможность использования VIX API, что позволяет предотвратить запуск запрещенных операций на гостевой ОС для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.10 "Disable VIX API" и VMware vSphere 4.1 Security Hardening Guide п.VMX30. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет операций с буфером обмена Не соответствует Политика устанавливает запрет на выполнение операций с буфером обмена для каждой виртуальной машины для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.3 "Disable Cut and Paste", VMware vSphere 4.1 Security Hardening Guide п.VMX03 и PCI DSS v2.0 п.7.2. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX-сервер. [+][-] Установка и поддержка целостности файловой системы Не соответствует Политика ограничивает доступ к конфигурационным файлам служб для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.9.8 "Establish and maintain filesystem integrity", VMware vSphere 4.1 Security Hardening Guide п.HMT03 и PCI DSS v2.0 п.8.5. Политика назначается на ESX/ESXi-сервер. [+][-] Синхронизация времени Не соответствует Политика позволяет настроить синхронизацию времени для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.9.2 "Configure NTP", VMware vSphere 4.1 Security Hardening Guide п.HLG03 и PCI DSS v2.0 п.10.4. Политика назначается на ESX/ESXi-сервер. [+][-] Политика PCI DSS [+][-] Запрет использования Managed Object Browser Не соответствует Политика блокирует возможность использования Managed Object Browser. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.15.4, VMware vSphere 4.1 Security Hardening Guide п.HCM02 "Disable Managed Object Browser" и PCI DSS v2.0 п.2.2.2. Политика назначается на ESX/ESXi-сервер. [+][-] Настройки логирования виртуальных машин на ESX/ESXi-сервере Не соответствует Для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.4 "Rotate VM Log Files on the Host and Limit Their Size", VMware vSphere 4.1 Security Hardening Guide п.VMX20 и PCI DSS v2.0 п.10.7. Политика настраивает следующие параметры логирования: log.rotateSize=100000, log.keepOld=10 для каждой виртуальной машины. Политика назначается на ESX/ESXi-сервер. [+][-] Разделение сетей консоли управления и виртуальных машин Соответствует Политика проверяет, что не используется одна сеть для Service Console (или Management vmkernel interface для ESXi) и виртуальных машин, для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.8.1 "Segregate Networks", VMware vSphere 4.1 Security Hardening Guide п.NAR01 и PCI DSS v2.0 п.1.2. Политика назначается на ESX/ESXi-сервер. [+][-] Отсылка событий сервера виртуализации на syslog-сервер Не соответствует Политика позволяет настроить ведение журнала событий ESX/ESXi-сервера на удаленном сервере syslog для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.11.3 "Configure syslogd to Send Logs to a Remote LogHost", VMware vSphere 4.1 Security Hardening Guide п.HLG01 и PCI DSS v2.0 п.10.2. Значение порта, отличное от 514, работает только на ESXi. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет подключения USB-носителей к ESX/ESXi-серверу Не соответствует Политика исключает возможность подключения съемных USB-носителей на ESX/ESXi-сервере. После включения данной политики необходима перезагрузка ESX сервера. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.VMX10 "Ensure Unauthorized Devices are Not Connected" и PCI DSS v2.0 п.2.2. Политика назначается на ESX/ESXi-сервер. [+][-] Запрет контроля устройств ESX/ESXi-сервера со стороны виртуальных машин Не соответствует Политика запрещает гостевой операционной системе виртуальной машины контролировать устройства ESX-сервера для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.1 "Remove Guest Control of Hardware Devices", VMware vSphere 4.1 Security Hardening Guide п.VMX11 и PCI DSS v2.0 п.2.2. Политика назначается на ESX/ESXi-сервер. [+][-] Предотвращение шпионажа других пользователей на администраторских удаленных консолях Не соответствует Политика защищает открытую удаленную консоль Администратора от других подключений. Будет разрешено соединение удаленной консоли только с одной виртуальной машиной. Другие запросы будут отклоняться до окончания первой сессии. Соответствует требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.7 "Set RemoteDisplay.maxConnections to One", VMware vSphere 4.1 Security Hardening Guide п.VMX02 и PCI DSS v2.0 п.7.1. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Настройки безопасности для виртуальных коммутаторов Не соответствует Политика задает более строгие настройки работы виртуального коммутатора (запрещены смешанный режим, смена MAC-адреса и несанкционированные передачи) для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.12 "Networking – vSwitch and PortGroup", VMware vSphere 4.1 Security Hardening Guide п.NCN03-05 и PCI DSS v2.0 п.7.1. Политика назначается на ESX/ESXi-сервер. [+][-] Отключение неиспользуемого vSphere функционала Не соответствует Политика отключает у виртуальной машины функции для работы с VMware Workstation и Fusion. Остановка HGFS-сервера приведет к тому, что API, использующее его для отправки/приема файлов на/с гостевую систему (некоторые VIX команды или VMware Tools auto-upgrader) не будет работать. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.VMX24 "Disable certain unexposed features" и PCI DSS v2.0 п.2.2.4. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX/ESXi-сервер. [+][-] Отключение Direct Console User Interface Не соответствует Политика блокирует возможность использования Direct Console User Interface. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HCN05 "Disable DCUI to prevent all local administrative control" и PCI DSS v2.0 п.7.1. Политика назначается на ESXi-сервер. [+][-] Запрет подключения съемных устройств на ESX/ESXi-сервере Не соответствует Политика запрещает подключение съемных устройств для соответствия требованиям PCI DSS v2.0 п.2.2 и VMware vSphere 4.1 Security Hardening Guide п.VMX10 "Ensure Unauthorized Devices are Not Connected". Политика назначается на ESX/ESXi-сервер. [+][-] Отключение Tech Support Mode Не соответствует Политика блокирует возможность использования Tech Support Mode. Локальный и удаленный Tech Support Mode могут быть отключены независимо друг от друга. Соответствует требованию VMware vSphere 4.1 Security Hardening Guide п.HCN06 "Disable Tech Support Mode unless needed for diagnostics and break-fix" и PCI DSS v2.0 п.2.2.2. Политика назначается на ESXi-сервер. [+][-] Запрет операций с буфером обмена Не соответствует Политика устанавливает запрет на выполнение операций с буфером обмена для каждой виртуальной машины для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.16.3 "Disable Cut and Paste", VMware vSphere 4.1 Security Hardening Guide п.VMX03 и PCI DSS v2.0 п.7.2. После включения данной политики необходима перезагрузка виртуальных машин. Политика назначается на ESX-сервер. [+][-] Установка и поддержка целостности файловой системы Не соответствует Политика ограничивает доступ к конфигурационным файлам служб для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.9.8 "Establish and maintain filesystem integrity", VMware vSphere 4.1 Security Hardening Guide п.HMT03 и PCI DSS v2.0 п.8.5. Политика назначается на ESX/ESXi-сервер. [+][-] Отключить протокол IPv6 Соответствует Политика позволяет отключить протокол IPv6, если он не используется. Соответствует требованию PCI DSS v2.0 п.1.2.1 "Restrict inbound and outbound traffic to that which is necessary for the cardholder data environment". Политика назначается на ESX/ESXi-сервер. После применения политики необходим перезапуск сервера. [+][-] Синхронизация времени Не соответствует Политика позволяет настроить синхронизацию времени для соответствия требованиям CIS Security Configuration Benchmark For VMware ESX 4 v1.0 п.1.9.2 "Configure NTP", VMware vSphere 4.1 Security Hardening Guide п.HLG03 и PCI DSS v2.0 п.10.4. Политика назначается на ESX/ESXi-сервер.

Результаты политик для VMware 4.1 и CIS for ESX 4 нам пока не интересны.

PCI DSS наш сервер, естественно не соответствует. Для устранения уязвимостей буду использовать ESXi Shell (предварительно придется в services запустить ESXi Shell и SSH server) и PowerCLI.

- Запрет использования Managed Object Browser. Устранение этой уязвимости оставим напоследок, после ее устранения vGate Compliance Checker "ломается" (перестает получать данные от ESXi хоста)

 >vim-cmd proxysvc/remove_service "/mob" "httpsWithRedirect"

- Настройка логирования виртуальных машин на ESXi сервере. 

Я внес изменения в каждый *.vmx

logging = "true"

log.rotateSize = "100000"

log.keepOld = "10"

с первыми тремя параметрами все понятно, ограничения для "исключения возможности отказа в обслуживании при переполнении хранилища данных".

log.fileName = "/vmfs/volumes/datalog01/logvm/vmname.log"

этот параметр связан с моим личным "загоном": хранить, даже ограниченные, логи на продакшин системе считаю не совсем верным. Поэтому по мне так проще и удобнее при дальнейшем анализе и траблшутинге использовать отдельный datastore для хранения логов.

- Отсылка событий сервера виртуализации на syslog-сервер. Тут все совсем просто: перенаправляете логи ESXi на VMware Syslog Collector или любой другой централизованный сервер сбора логов, используемый в Вашей инфраструктуре.

- Запрет подключения USB-носителей к ESX/ESXi-серверу. Требование совершенно непонятно. Очень часто сервера используют всякие Token и прочие key. Вероятно авторы требования считают что ключи будут использоваться с помощью всяких USB over TCP/IP подключаясь через Cisco ASA. 

Я трактую этот пункт как: исключите возможность подключения различных не авторизованных устройств: USB, CD-ROM, floppy. Например:

floppy.present = "false"

Для остальных проводите проверку и инвентаризацию с помощью PowerCLI:

Get-VM | Get-USBDevice

Если такой вариант не устраивает, то отключите USB в BIOS, на BIOS поставьте пароль, состоящий из двух частей записанных на четыре листика, спрятанных в сейфы. 

По остальным пунктам продолжу в следующей части.