Consejos para evitar cambios perjudiciales en VMware

Mantener el rendimiento y la seguridad de su entorno virtual a diario es una tarea importante y no trivial. Las herramientas de monitoreo de VMware son un componente crítico de una estrategia de seguridad sólida porque lo ayudan a detectar y remediar rápidamente cambios y errores no autorizados que podrían provocar tiempo de inactividad, pérdida de datos o fallas de cumplimiento.

Cada vez que construyo una nueva máquina virtual, agrego más CPU o RAM, o agrego más espacio en disco, hay un impacto en la infraestructura en su conjunto. Ahora bien, ESXi es muy bueno trabajando con estos cambios y hay muchas herramientas integradas que ayudan. Sin embargo, el hecho es que los recursos disponibles son limitados y, tarde o temprano, podría terminar quedándome sin ellos si no tengo cuidado.

Entonces, antes de comenzar a analizar el seguimiento de los cambios, debemos comprender por qué esto es importante y cómo nos afecta el cambio.

El caso:

Tengo 4 servidores Windows integrados en un host ESXi 6.0, así que veamos cómo el proceso de ejecutarlos e instalar aplicaciones afecta a los servidores. Voy a los "Gráficos de rendimiento". VM-W2K3 está encendido. El uso de la CPU está aumentando.

Después de cargar la máquina, no hay gran diferencia en el uso de la CPU. Mire las dos áreas rodeadas por un círculo "verde".

Entonces, hablemos de las diferencias entre la VM-W2K3-3 y las otras dos máquinas. El primero lo configuré como reserva. Lo estoy tratando como un servidor de misión crítica y quería configurarlo para que siempre tuviera 250 MHz de potencia de procesador reservados solo para él.

Mientras esa máquina esté apagada, la reserva no significa nada. En el momento en que lo encendí, 250 MHz de la ya muy limitada potencia de mi procesador se reservaron solo para el uso exclusivo de esta máquina. Eso significa que ninguna otra máquina puede utilizarlo.

Otra gran diferencia aquí es que las herramientas de VMware están desactualizadas. Si bien las herramientas de VMware ayudan en cosas como hacer que el mouse sea más fácil de usar, etc., su mayor contribución es revelar lo que sucede detrás de escena. Uno de ellos es que se encuentra entre la VM y el Host. Ayuda a facilitar un mejor uso de los recursos, etc. Por lo tanto, también lo actualizaré y veré si eso marca la diferencia.

Ahora he hecho exactamente lo mismo con VM-W2k3-4. Encendámoslo y veamos dónde estamos.

Después de que apareció la luz verde, se encendió el VM-W2K3-4. Observe que el uso total es mayor que antes, pero se está comportando bastante bien.

A continuación, lo pegamos a las máquinas. La zona de peligro según VMware es conseguir que estos procesadores superen el 80-90 por ciento y mantenerlos allí. Si permanecen allí, realmente necesito mirar mis procesadores y hacer algo para agregar más o deshacerme de algunas máquinas virtuales.

He activado una carga pesada en cada VM. Recuerde, esto simulará una carga de software/usuario en las máquinas. Después de varios minutos de dejarlo funcionar, veo que el uso de mi CPU está casi al máximo. Según la definición de solución de problemas de VMware, oficialmente estoy en un gran problema.

Recuerde, estamos viendo una parte muy pequeña de lo que está sucediendo. Para obtener una imagen completa, debe observar lo que sucede en el uso de la memoria, el uso del disco, el uso de la red, etc. En casi todos los casos, verá algo muy similar a lo que sucede arriba.

Ahora, esto tenía como objetivo demostrarle lo que el crecimiento le hace a su sistema. Si no tienes medios para regular el crecimiento, te meterás en problemas muy rápidamente.

¿Qué tiene que ver el seguimiento de los cambios con esto?

La clave para evitar problemas en la infraestructura y evitarlos es reconocer que los cambios tienen impactos. Para asegurarnos de que esos cambios no sean perjudiciales, debemos implementar la gestión de cambios.

• Un sistema de emisión de tickets: alguien necesita una VM o, para realizar un cambio en una VM, debe crear un ticket. Esto tiene un par de propósitos. Una es que reducirá las solicitudes frívolas y, por supuesto, lo queremos para fines SOX e HIPAA.
• Junto con el sistema de Ticketing, necesitamos desarrollar el proceso. Como mínimo, necesitará alguna representación de la alta dirección, alguien de almacenamiento, redes, respaldo, seguridad y operaciones de VM en su Junta de Gestión de Cambios (CMB). A medida que su sistema evolucione, más personas se sumarán.

Preguntas que el CMB debe plantearse:

• ¿La máquina se adapta a una necesidad empresarial?
• ¿Qué impacto, si alguno, tendrá en el entorno actual? En resumen, si lo construimos, ¿nos estaremos haciendo daño? Aquí es donde conocer la utilización de sus recursos no tiene precio. También debería brindarle la capacidad de proyectar dónde estaremos si lo construimos.
• ¿Cuál es la vida útil esperada de la máquina?
• ¿Hay recursos suficientes de algo que no sea Operaciones de VM para respaldar la máquina (podemos hacer una copia de seguridad, hay suficientes licencias de seguridad, etc.)?

Si no tiene los recursos para ejecutar la máquina adecuadamente, o si realmente no tiene sentido comercial, CAB debe rechazar la solicitud.

Junto con la gestión de cambios, necesitamos tener una forma de monitorear las cosas y protegernos contra cambios no autorizados. Necesitamos estar atentos a los cambios que se han realizado. Los cambios deben reflejarse no sólo aquí, sino también en un ticket. Monitorear las cosas también ayudará a evaluar el impacto de los cambios y realizar cualquier control necesario para que los procesos estén de acuerdo con el proceso de gestión de cambios.

Aquí es donde arrastraría Netwrix Auditor para que VMware hiciera el trabajo por mí. Proporciona visibilidad de VMware vSphere, vCenter y hosts ESXi independientes. Netwrix Auditor también sirve como trampa para posibles problemas. A modo de ejemplo, este es un cambio que apareció en el informe de la mañana:

Lo que me dice es que las herramientas de VMware están desactualizadas. Idealmente, debería haber sabido esto o haber sabido que vendría, pero en caso de que la máquina se pierda en las actualizaciones, sirve como aviso de que tenemos un problema. Idealmente, en este punto, abriría un ticket y comenzaría a planificar la actualización de esa máquina. Este correo electrónico también formará parte del ticket (siempre querrás brindarles a tus auditores tanta información como puedas).

En resumen, cada vez que realizamos un cambio en nuestro entorno virtual, esperamos cambios en los recursos disponibles. Estos deben ser planificados y aprobados. Un efecto debe tener una causa, y el seguimiento es una forma de ayudar a garantizar que se cumplan los procesos y procedimientos.

Artículo relacionado:
Diez formas sencillas de prevenir violaciones de seguridad en el servidor VMware