¿Cuándo los discos compartidos “filtran” datos a otras máquinas virtuales, y cómo se mitiga eso?

Question

¿Cuándo los discos compartidos “filtran” datos a otras máquinas virtuales, y cómo se mitiga eso?

#1 de fixulate (2 votos)
#2 de Joachim Wagner (1 votos)

14

inspirado por esta respuesta , me gustaría saber cuáles son algunas amenazas comunes y técnicas de mitigación utilizadas para prevenir una máquina virtual pasa de filtrar datos a otra a través de la infraestructura de almacenamiento compartido.

Los posibles escenarios vulnerables incluyen

SAN de EMC que promueven / degradan datos de SATA a FLASH según IOPS
Un servidor que intenta asegurar el borrado no puede borrar ambas ubicaciones de los datos promocionados
VM que asignan espacio a pedido en un VMDK en expansión
API nativas del sistema operativo que pueden leer particiones sin formato
Errores de IO que actúan como un Oracle para exponer secretos
Almacenar los datos cifrados y la clave en la misma VM (Bitlocker)
Una variante de martillo de fila (una vulnerabilidad de memoria compartida) para bloques de E / S de disco

Las posibles mitigaciones podrían incluir

El servidor utiliza una interfaz REST estructurada que oculta errores de E / S sutiles (por ejemplo, no puedo pensar en una forma en que una nube de Azure o Blob de página pueda exponer esto)
En el cifrado de disco administrado por el sistema operativo (Bitlocker)
Un hipervisor que automáticamente pone a cero los datos al liberar el host

Mi objetivo es crear una lista de verificación para poder investigar tanto a los grandes nombres (Azure, Amazon, Rackspace, Google Apps, EMC, etc.) como a tiendas de nichos independientes para escenarios de larga cola.

risk-management virtualization disk-encryption azure bitlocker

pregunta random65537 22.05.2015 - 17:42

fuente

2 respuestas

Lea otras preguntas en las etiquetas risk-management virtualization disk-encryption azure bitlocker

¿Existe alguna evidencia de uso incorrecto del encabezado de HTTP Pragma en las respuestas tiene algún efecto (exclusivo)? Determinando httpd PHP Scripts con Auditd

score 2 · Answer 1

Los proveedores de la nube pueden proporcionar hardware de un solo inquilino para que sus máquinas virtuales estén aisladas de otros clientes y clientes. Varios reguladores financieros esperan que esto se habilite para datos confidenciales / regulados cuando se almacenan en la nube.

Por ejemplo, Amazon AWS tiene el concepto de una 'instancia dedicada' ( link )

Si selecciona esta opción, sus instancias de EC2 estarán en hardware dedicado para su cuenta, por supuesto, pagará una prima por este servicio con el beneficio de reducir los ataques de canales laterales contra su infraestructura compartida a nivel de sistema operativo.

score 1 · Answer 2

También depende de su sistema de almacenamiento.

Por ejemplo, si tiene deduplicación, las máquinas virtuales invitadas pueden establecer si ya se almacenan bloques de datos conocidos, por ejemplo: (1) crear una máquina virtual y almacenar 10,000 archivos de referencia; (2) cree otra VM y almacene 30,000 archivos muestreados sin reemplazo de (A) los 10,000 archivos de referencia en la VM 1, (B) 10,000 nuevos archivos de referencia y (C) 10,000 archivos de prueba; (3) observar el tiempo para escribir; (4) observar el tiempo para leer, repetir; (5) aprender un modelo para predecir la membresía en la clase A o B a partir de los tiempos observados de escritura y lectura; (6) aplique el modelo para hacer predicciones para archivos del conjunto C; es probable que los archivos que se predice que pertenecen a la clase A ya estén en el sistema de almacenamiento; los archivos que se predice que pertenecen a la clase B probablemente sean archivos nuevos.

Mitigación:

aumenta el tamaño del almacenamiento de bloques de primer nivel para que la deduplicación se inicie solo después del paso 4
ofrece cifrado (o la exclusión voluntaria de la eliminación de la duplicación) para máquinas virtuales que necesitan proteger sus contenidos de este ataque
cifre las máquinas virtuales que no sean de confianza (o exclúyalas de la eliminación de duplicaciones) para que no puedan atacar a las otras máquinas virtuales de esta manera