it-swarm-id.com

Seberapa amankah mesin virtual sebenarnya? Rasa aman yang salah?

Saya membaca ini buku CompTIA Security + SYO-201 , dan penulis David Prowse mengklaim bahwa:

Apapun VM yang Anda pilih, VM tidak dapat melewati batas perangkat lunak yang ditetapkan. Misalnya, virus dapat menginfeksi komputer ketika dieksekusi dan menyebar ke file lain dalam OS. Namun, virus dieksekusi dalam VM akan menyebar melalui VM tetapi tidak mempengaruhi OS aktual yang mendasarinya).

Jadi, jika saya menjalankan VMWare player dan menjalankan beberapa malware pada OS mesin virtual saya, saya tidak perlu khawatir tentang sistem Host saya akan dikompromikan, di semua ?

Bagaimana jika mesin virtual berbagi jaringan dengan mesin Host, dan folder bersama diaktifkan?

Apakah masih mungkin bagi worm untuk menyalin dirinya sendiri ke mesin Host? Bukankah pengguna masih rentan terhadap AutoRun jika OSnya adalah Windows dan mereka memasukkan perangkat penyimpanan USB?

Seberapa amankah mesin virtual? Seberapa banyak mereka melindungi mesin Host dari malware dan serangan?

163
T. Webster

VM pasti bisa menyeberang. Biasanya Anda memiliki jaringan, sehingga setiap malware dengan komponen jaringan (mis. Worm) akan menyebar ke mana pun pengalamatan/peruteannya memungkinkan. Virus biasa cenderung hanya beroperasi di usermode, jadi sementara mereka tidak bisa berkomunikasi secara terbuka, mereka masih bisa membuat saluran rahasia. Jika Anda berbagi CPU, proses yang sibuk pada satu VM dapat secara efektif mengkomunikasikan status ke yang lain VM (itu saluran waktu prototipical prototipical Anda). Saluran penyimpanan terselubung akan menjadi sedikit lebih sulit karena disk virtual cenderung memiliki batas yang keras pada mereka, jadi kecuali Anda memiliki sistem yang dapat membuat terlalu banyak ruang disk, itu seharusnya tidak menjadi masalah.

Pendekatan yang paling menarik untuk mengamankan VM disebut Separation Kernel . Ini adalah hasil dari John Rushby kertas 1981 yang pada dasarnya menyatakan bahwa untuk memiliki VMs terisolasi dengan cara yang dapat setara dengan pemisahan fisik, komputer harus mengekspor sumber dayanya ke VM tertentu dengan cara di mana pada tidak ada gunanya sumber daya apa pun yang dapat menyimpan status dibagi antara VM. Ini memiliki konsekuensi yang dalam, karena arsitektur komputer yang mendasarinya harus dirancang sedemikian rupa sehingga dapat dilakukan dengan cara yang tidak bisa dilewati.

30 tahun setelah makalah ini, kami akhirnya memiliki beberapa produk yang mengklaim melakukannya. x86 bukan platform terbaik untuk itu, karena ada banyak instruksi yang tidak dapat divirtualisasi, untuk sepenuhnya mendukung ide 'tidak berbagi'. Ini juga tidak terlalu praktis untuk sistem umum, karena untuk memiliki empat VM, Anda akan memerlukan empat hard disk menggantung empat pengontrol disk, empat kartu video, empat pengontrol USB dengan empat mouse, dll.

91
Marcin

Ada beberapa buku putih yang diterbitkan selama bertahun-tahun yang menjelaskan cara-cara yang telah dilakukan para peneliti untuk menginfestasi OS Host dari VM. Ini biasanya dilihat, memang demikian, sebagai kerentanan keamanan oleh vendor VM dan diperlakukan seperti itu. Sejak saya pertama kali melihat makalah-makalah itu, Intel telah membuat beberapa peningkatan rangkaian instruksi prosesor yang signifikan dalam memungkinkan pemisahan VM dan hypervisor.

Beberapa kerentanan yang saya lihat hari ini lebih didasarkan pada bagian 'vmtools'. Ini adalah perangkat lunak yang Anda instal untuk membuat OS tamu berjalan lebih efisien (untuk VMWare inilah yang memungkinkan pada penangkapan kursor cepat, dan berbagi antara tamu dan Host tanpa jaringan). Ini adalah jalur perangkat lunak khusus untuk infeksi; jangan menginstal alat, tidak memiliki kerentanan.

Beberapa malware telah menunjukkan kemampuan untuk mendeteksi bahwa mereka dieksekusi di dalam VM dan dengan demikian mengubah perilaku mereka, banyak yang memperburuk peneliti malware yang mencoba menggunakan VMs sebagai cara untuk menguji malware. Namun saya tidak tahu seberapa lazimnya akhir-akhir ini.

63
sysadmin1138

Contoh eksekusi kode guest-to-Host dapat ditemukan di exploit Cloudburst. Ada video menunjukkan dan sebuah makalah dari Kekebalan merinci keberhasilan mereka di VMware Workstation 6.5.0 build118166 pada Windows Vista SP1, VMware Workstation 6.5.1 build126130 pada Windows Vista SP1, dan (bahkan lebih menakutkan) VMware ESX Server 4.0.0 build133495.

Ini mungkin memberikan sedikit kenyamanan, tetapi saya belum pernah mendengar ini digunakan di alam dan eksploitasi berasal dari 2009. Buku itu diterbitkan pada 2010 sehingga penulis harus membersihkan pernyataan itu.

24
harley

Sebuah mesin virtual persis seperti itu, mesin yang secara logis terpisah, sehingga harus memiliki lapisan keamanan yang sama seperti yang Anda lakukan pada sistem bare-metal. Menggunakan mesin virtual tidak akan menghentikan vul jika menggunakan saluran normal untuk sampai ke mesin Host.

Keindahan nyata dalam virtualisasi adalah kemampuan untuk mengembalikan VM ke keadaan di mana mereka tidak terpengaruh, serta kemampuan untuk mengelola sumber daya yang tersedia dengan lebih baik.

Jika langkah yang tepat diambil untuk melindungi mesin Host, virtualisasi bisa sangat aman. Praktek-praktek seperti menjaga manajemen server ESX/VM pada jaringan logis yang berbeda dan tidak menggunakan alat antarmuka VM-Host akan membuat sebagian besar penyerang tidak menyadari fakta bahwa sebuah mesin adalah virtual, apalagi bagaimana untuk sampai ke Host.

Juga, ada eksploit yang diketahui mempengaruhi VM host (Saya sudah bermain dengan mereka di VMWare dan Hyper-V). Saya saat ini hanya mengetahui eksploitasi Host DoS ketika datang ke hyper- v (lihat ini ), tapi saya yakin ada temuan lain di cakrawala. VMWare memiliki beberapa di dalam sejarahnya juga (yaitu ini , ini adalah alat berbasis VMWare, tetapi masih berlaku).

Tergantung pada apa yang Anda lakukan, ada beberapa alat daring yang mungkin dapat menghilangkan kebutuhan Anda untuk melakukan analisis pada mesin Anda sendiri. Berikut adalah beberapa situs untuk dilihat:
- Threatexpert.com
- anubis.iseclab.org
- virustotal.com

19
Ormis

Apa yang dimaksud dengan materi Security + adalah bahwa sejauh ini malware belum dapat keluar dari kotak pasir dari VM melalui mengeksploitasi fakta bahwa itu adalah VM dan entah bagaimana mengenai hypervisor. Mekanisme lain, seperti menyebar di jaringan bersama, sama seperti jika ini adalah kotak fisik yang berbeda.

7
K. Brian Kelley

Mereka tidak sepenuhnya aman, seperti yang ditunjukkan dengan exploit ini:

VENOM, CVE-2015-3456, adalah kerentanan keamanan yang berdampak pada beberapa platform virtualisasi komputer umum, terutama Xen, KVM, VirtualBox, dan klien QEMU asli.

Kerentanan ini memungkinkan penyerang untuk melarikan diri dari batas-batas tamu mesin virtual yang terkena dampak (VM) dan berpotensi mendapatkan akses eksekusi kode ke Host. Rincian lebih lanjut tentang kerentanan dapat ditemukan di sini.

5

Saya pikir pernyataan penulis adalah tidak sepenuhnya benar. Sebenarnya, ada dua jenis hypervisor di area virtualisasi. Hypervisor adalah bagian dari perangkat lunak komputer, firmware atau perangkat keras yang buat dan berjalan mesin virtual s. Jenis-jenis itu adalah:

  • Jenis-1 hypervisors
  • Jenis-2 hypervisors

Tipe-1 hypervisor berjalan secara langsung pada perangkat keras Host untuk mengontrol perangkat keras dan untuk mengelola sistem operasi tamu. Untuk alasan ini, mereka kadang-kadang disebut bare metal hypervisors sedangkan Tipe-2 hypervisor berjalan pada sistem operasi konvensional seperti halnya program komputer lainnya. VMWare atau VirtualBox adalah contoh hypervisor Tipe-2 karena dijalankan sebagai program di Host [~ # ~] os [~ # ~ ] s.

Untuk hypervisor Tipe-2, ada RoboLinux proyek yang memiliki fitur unik yang disebut Stealth VM . Stealth VM pemasang perangkat lunak yang memungkinkan Anda membangun klon Windows 7 yang berjalan di partisi Linux yang aman . Sistem dilindungi dari malware, apa pun yang Anda unduh akan berisi w di mesin virtual dan ditujukan untuk orang yang harus memiliki program Windows khusus dengan kenyamanan untuk dapat memulihkan sistem operasi seperti baru hanya dalam dua klik.

Ada Qubes OS yang dikembangkan pada Linux dan Xen sebagai contoh untuk hypervisor Tipe-1. OS Qubes mengambil pendekatan yang disebut keamanan dengan isolasi , yang dalam konteks ini berarti menjaga hal-hal yang Anda lakukan pada komputer Anda terisolasi dengan aman di VM yang berbeda sehingga satu VM dikompromikan tidak akan mempengaruhi yang lain. Tidak seperti hypervisors Tipe-2, ia memiliki yang aman sistem transfer file antar-VM untuk menangani risiko berbagi folder. Secara teori, organisasi itu lebih aman daripada virtualisasi Tipe-2 menurut pengembang.

Singkatnya, penulis harus menunjukkan yang hypervisor atau sistem virtual.

Referensi :

4
JackSparrow

Yang menarik dan relevan, kontes keamanan "Pwn2Own" untuk 2016 telah sebagai salah satu kompetisi, melarikan diri dari mesin virtual VMWare Workstation. (Lainnya termasuk keluar dari kotak pasir peramban atau mengambil alih mesin fisik). Itu harus memberikan ide bahwa 1) setidaknya masuk akal dan 2) jika mudah maka kita punya cara untuk mendengarnya - cukup periksa hasilnya :)

Secara umum VM keamanan secara teori dapat dihindari dengan banyak cara. Misalnya -

  • Perintah dan API Tamu ke Host (mis., Alat VMware)

  • Kelemahan yang dapat dieksploitasi dalam OS Host itu sendiri yang tidak dimitigasi dengan menjalankan proses VM (jika beberapa panggilan OS tamu secara keliru dinilai "aman" dan diteruskan langsung oleh driver tamu ke OS Host atau driver perangkat untuk kecepatan, tetapi ada exploit)

  • Bug dalam driver vendor atau kode vendor (misalnya, driver Host memungkinkan penghubung jaringan untuk OS tamu; mungkin bug di dalamnya memungkinkan panggilan atau kode dibuat pada Host pada level kernel).

  • Kerentanan yang dihasilkan dari perangkat lunak lain pada Host (contoh yang dibuat - jika antivirus lokal memotong semua lalu lintas jaringan dari Host untuk memindai, dan lalu lintas tamu dipindai sebagai bagian dari itu (sebagai lawan diabaikan karena virtual NIC perangkat), maka kerentanan mesin a/v terhadap lalu lintas atau paket jahat dapat memungkinkan lalu lintas yang berasal dari VM untuk melarikan diri ke Host)

  • Konfigurasi buruk oleh pengguna (File host dipetakan atau tidak cukup aman/terpisah sehingga tamu dapat menjangkau mereka)

Ruang lingkup ada, dan diberikan prevalensi pasti sedang diperiksa aktif untuk eksploitasi. Tentunya kerentanan jika tidak dieksploitasi akan secara teratur ditemukan dan perlu ditambal.

4
Stilez