Mejores prácticas de seguridad de VMware
Proteger un entorno virtual que ejecuta VMware vSphere no es tan sencillo como aceptar la configuración y las políticas predeterminadas durante la instalación. Si bien los valores predeterminados proporcionan configuraciones parcialmente reforzadas, hay muchas formas de mejorarlas. Si sigue las mejores prácticas de seguridad de VMware, puede ayudar a proteger su infraestructura de VMware contra amenazas de ciberseguridad, incluidos ataques maliciosos y errores por descuido.
Este artículo explica cómo reducir el riesgo para la seguridad de su empresa protegiendo adecuadamente su servidor VMware vCenter y su hipervisor ESXi, y detalla las mejores prácticas clave para una implementación, operaciones y redes seguras.
Seguridad del servidor VMware vCenter
El servidor VMware vCenter es el principal centro de control de su entorno vSphere. Ya sea que lo instale en un sistema operativo Windows o Linux, las siguientes mejores prácticas pueden ayudarlo a mantenerlo en un estado seguro:
- Para ayudar a mantener VMware seguro, asegúrese de que sus sistemas vCenter Server utilicen direcciones IP estáticas y nombres de host. Cada dirección IP debe tener un registro DNS interno válido, incluida la resolución de nombres inversa.
- De forma predeterminada, la contraseña de la cuenta vpxuser vence después de 30 días. Cambie esta configuración si es necesario para cumplir con su política de seguridad.
- Si está ejecutando vCenter Server en Windows, asegúrese de que la configuración del host del escritorio remoto garantice el nivel más alto de cifrado.
- Asegúrese de que el sistema operativo esté actualizado con los parches de seguridad.
- Instale una solución antivirus y manténgala actualizada.
- Asegúrese de que la fuente de hora esté configurada para sincronizarse con un servidor de hora o un grupo de servidores de hora, para garantizar una validación adecuada del certificado.
- No permita que los usuarios inicien sesión directamente en la máquina host del servidor vCenter.
Seguridad de VMware ESXi
Para proteger su hipervisor ESXi, implemente las siguientes mejores prácticas:
- Agregue cada host ESXi al dominio de Microsoft Active Directory, para que pueda usar cuentas AD para iniciar sesión y administrar la configuración de cada host.
- Configure todos los hosts ESXi para sincronizar la hora con los servidores NTP centrales.
- Habilite el modo de bloqueo en todos los hosts ESXi. De esa manera, puede elegir si desea habilitar la interfaz de usuario de consola directa (DCUI) y si los usuarios pueden iniciar sesión directamente en el host o solo a través de vCenter Server.
- Configure el registro remoto para sus hosts ESXi para tener un almacén centralizado de registros de ESXi para un registro de auditoría a largo plazo.
- Mantenga los hosts ESXi parcheados para mitigar las vulnerabilidades. Los ataques suelen intentar explotar vulnerabilidades conocidas para obtener acceso a un host ESXi.
- Mantenga el shell seguro (SSH) desactivado (esta es la configuración predeterminada).
- Especifique cuántos intentos fallidos de inicio de sesión se pueden realizar antes de que se bloquee la cuenta.
- ESXi versión 6.5 y posteriores admiten el arranque seguro UEFI en cada nivel de la pila de arranque. Utilice esta función para protegerse contra cambios de configuración maliciosos dentro del gestor de arranque del sistema operativo.
Implementación y gestión seguras
Estas son las principales prácticas recomendadas para la implementación y gestión segura de un entorno VMware vSphere:
- Mantenga actualizadas las plantillas de su máquina virtual con parches de seguridad del sistema operativo invitado.
- Implemente nuevas máquinas virtuales solo desde sus plantillas de máquina virtual. Esta práctica ayuda a garantizar que el sistema operativo base esté protegido adecuadamente antes de instalar las aplicaciones y que todas las máquinas virtuales se creen con el mismo nivel básico de seguridad.
- Minimizar el uso de la consola de la Máquina Virtual, ya que permite a los usuarios utilizar la administración de energía y la conectividad de dispositivos extraíbles.
- Deshabilite las funciones innecesarias dentro de cada VM, incluidos los componentes del sistema que no sean necesarios para la aplicación que está ejecutando. También puede desactivar las unidades de CD/DVD, las unidades de disquete y los adaptadores USB.
- Restrinja el acceso al navegador del almacén de datos para limitar el riesgo de los archivos de virtualización almacenados en sus almacenes de datos.
- Evite que los usuarios ejecuten comandos dentro de una VM deshabilitando la ventana de línea de comandos.
- Instale una solución antivirus, configúrela con la mayor protección posible y manténgala actualizada.
Operaciones seguras
Estas son las mejores prácticas clave para operaciones seguras:
- VMware vSphere utiliza control de administración basado en roles (RBAC) para administrar los permisos. Puede crear, clonar y modificar roles fácilmente en el sistema vCenter Server para implementar el principio de privilegios mínimos.
- Integre vCenter con Microsoft Active Directory. Esto se puede hacer no solo para vCenter que se ejecuta en Windows sino también para vCenter Server Appliance (VCSA) que se ejecuta en Linux PhotonOS. Esta integración le permite usar la autenticación de AD para los usuarios existentes de Microsoft AD dentro de vSphere y permite que los administradores de vSphere puedan usar una fuente de identidad común para otorgar acceso a los objetos de vSphere.
- Cree una cuenta con nombre para cada usuario con la función de administrador del servidor vCenter. Otorgue este rol sólo a los administradores que lo necesiten; otros usuarios deberían tener acceso únicamente a las máquinas virtuales y otros recursos que necesitan para realizar su trabajo.
- Los privilegios de recursos controlan la creación y gestión de grupos de recursos. Puede establecer privilegios en diferentes niveles (por ejemplo, a nivel de carpeta) y dejar que se propaguen dentro del objeto.
- Audite el tráfico de la red, la actividad del firewall y otros eventos críticos. vSphere le permite ver el registro de cambios básico; por ejemplo, puede usar la pestaña Tareas y eventos en vSphere Client para revisar todos los cambios realizados en cualquier objeto en su jerarquía de vSphere durante un período de tiempo determinado. Sin embargo, las soluciones de seguridad de terceros ofrecen funciones adicionales, como alertas personalizadas sobre cambios críticos como la eliminación de máquinas virtuales o cambios en los grupos de recursos. También proporcionan informes fáciles de leer sobre cambios y actividades de inicio de sesión que facilitan el monitoreo de su entorno virtual y la preparación para el cumplimiento.
Redes seguras
La capa de red virtual de VMware vSphere incluye múltiples elementos, como un adaptador de red virtual, conmutadores virtuales (vSwitches), conmutadores virtuales distribuidos (DVS), puertos y grupos de puertos. El hipervisor ESXi utiliza esos elementos para comunicarse con el mundo exterior. Las siguientes mejores prácticas le ayudarán a mejorar la seguridad de la red:
- Aislar el tráfico de red según el tipo. Puede utilizar LAN virtuales (VLANS) para este propósito.
- Aísle el tráfico de almacenamiento en redes físicas y lógicas separadas.
- Utilice la autenticación CHAP en entornos iSCSI.
- Utilice la política de seguridad del Protocolo de Internet (IP Sec) cuando sea posible. Este mecanismo de seguridad de red permite la autenticación y cifrado de paquetes de datos enviados a través de una red.
Conclusión
Proteger su entorno virtualizado es una tarea complicada. Seguir las mejores prácticas que se detallan aquí para diseñar, configurar y monitorear su entorno le permitirá avanzar mucho hacia la reducción del riesgo y garantizar el cumplimiento normativo.