Segurança em Virtualização utilizando o KVM

Tamanho: px

Começar a partir da página:

Download "Segurança em Virtualização utilizando o KVM"

Maria Vitória Barbosa Oliveira
8 Há anos
Visualizações:

1 Klaus Heinrich Kiwi Engenheiro de Software, IBM Linux Technology Center 11 o Forum Internacional de Software Livre Julho 2010 Segurança em Virtualização utilizando o KVM Klaus Heinrich Kiwi, IBM LTC 2010 IBM Corporation

Livre Julho 2010 Segurança em Virtualização utilizando

2 Segurança em Virtualização utilizando o KVM Agenda Introdução Arquitetura Gerenciamento Rede virtual SELinux + svirt Auditoria Criptografia em imagens IBM Corporation

3 Arquitetura IBM Corporation

4 Arquitetura Máquina Virtual KVM = processo (como qualquer outro) Separação de processos = Qemu + kernel Arquitetura Modular: De acordo com filosofia Open-source/Linux Mais pontos de interesse Re-uso de interfaces conhecidas e testadas Solução Libvirt: simplificar, estabilizar interfaces IBM Corporation

Open-source/Linux Mais pontos de interesse Re-uso de interfaces conhecidas e

5 Arquitetura Na prática = Guests rodando como root Motivo: uso eficiente de Interfaces de rede virtuais Gerência através de Libvirt IBM Corporation

6 Gerenciamento Local ou túnel SSH autenticação UNIX TCP + sasl DB próprio para credenciais TLS Autenticação via certificado digital IBM Corporation

7 Gerenciamento Console Gráfico (VNC) TCP simples sem autenticação ou criptografia VNC over TLS certificado digital IBM Corporation

8 Gerenciamento Console Gráfico (VNC) Pontos importantes: Rede de gerência isolada, firewall Console gráfico VNC Range de portas dinâmico Conexão local, autenticação fraca Opção: VNC-over-TLS Uso de credenciais root com libvirtd TCP simples Exemplo: sem gerenciamento autenticação via ou criptografia ssh Opções: credenciais SASL, certificados TLS VNC over ou TLS AMBOS! certificado digital IBM Corporation

credenciais root com libvirtd TCP simples Exemplo: sem gerenciamento autenticação via ou criptografia

9 Rede Virtual Bridge Simples Link-layer (OSI layer 2) encaminhamento de frames Uso genérico Riscos: ARP spoofing MAC flooding IBM Corporation

10 Rede Virtual Bridge Simples + ebtables # ebtables -P FORWARD DROP # ebtables -s 54:52:00:11:22:33 -i vif1 -j ACCEPT # ebtables -o vif+ -j ACCEPT IBM Corporation

11 Rede Virtual NAT ou Routing Network-layer (OSI layer 3) encaminhamento de pacotes +Endereços IP +bridge IBM Corporation

12 Rede Virtual VLAN 802.1q sub-interfaces + bridge vconfig Recomendação: 1 bridge por VLAN ID IBM Corporation

13 Rede Virtual Atenção: iptables em Bridges Contexto global em certos módulos como conntrack /etc/sysctl.conf: net.bridge.bridge-nf-call-ip6tables = 0 net.bridge.bridge-nf-call-iptables = 0 net.bridge.bridge-nf-call-arptables = IBM Corporation

bridge-nf-call-ip6tables = 0 net.bridge.bridge-nf-call-iptables = 0 net.

14 Rede Virtual Cuidado: iptables em Bridges Pontos importantes: Configuração estática da rede de guests MAC fixo ebtables Proteção contra flood, spoof Desabilitar iptables em interfaces bridge Contexto VLANs 802.1q global em = simplificação certos módulos como conntrack /etc/sysctl.conf: Filtragem net.bridge.bridge-nf-call-ip6tables avançada configuração no host = 0 net.bridge.bridge-nf-call-iptables ou use libvirt > (suporte a filtros de rede) = 0 net.bridge.bridge-nf-call-arptables = IBM Corporation

1q global em = simplificação certos módulos como conntrack /etc/sysctl.conf: Filtragem net.bridge.

15 SELinux Antes do SELinux DAC = Discretionary Access Control Permissões padrões UNIX (user/group/other, read/write/execute) Usuário controla o acesso aos seus objetos O mesmo vale para código malicioso ou hackers IBM Corporation

read/write/execute) Usuário controla o acesso aos seus

Separação em domínios todas as interações explicitamente

16 SELinux Virtualização com SELinux MAC = Mandatory Access Control Permissões definidas por políticas do sistema Separação em domínios todas as interações explicitamente definidas Processos com domínios próprios IBM Corporation

17 SELinux Virtualização com svirt SELinux: cada domínio pode ser quebrado em categorias (MCS) Cada guest roda numa categoria diferente Política proíbe qualquer interação entre categorias svirt = política SELinux + driver libvirt IBM Corporation

diferente Política proíbe qualquer interação entre categorias

18 Auditoria Motivação: Virtualização = atividade relativamente contida Administração requer root Linux Audit : Bootloader: root (hd0,1) kernel /vmlinuz-el5.x86_64 ro root=/dev/sda1 rhgb audit=1 initrd /initramfs-el5.x86_64.img # chkconfig auditd on /etc/audit/audit.rules: Auditar mudanças na configuração Auditar interações não usuais IBM Corporation

x86_64 ro root=/dev/sda1 rhgb audit=1 initrd /initramfs-el5.x86_64.img # chkconfig auditd on /etc/audit/audit.

19 Auditoria audit.rules: exemplos # Acesso chave privada TLS -a exit,always \ -F path=/etc/pki/libvirt/private/serverkey.pem \ -F subj_type!=virtd_t # Mudanças em imagens -a exit,always -F obj_type=virt_image_t \ -F perm=wa -F subj_type!=qemu_t # Interações do Qemu com outros domínios -a exit,always -F arch=b64 -S all -F perm=wax \ -F subj_type=qemu_t -F obj_type!=qemu_t Mais exemplos, cenários mais detalhados: Blueprint: Securing KVM guests and the host system ou IBM Corporation

$=qemu_t # Interações do Qemu com outros domínios -a exit,always -F arch=b64 -S all -F perm=wax \ -F subj_type=qemu_t -F obj_type!$

20 Cryptografia em imagens dm-crypt e qcow2 Garantir proteção de dados em repouso (data-at-rest) dm-crypt = cifragem em dispositivo de bloco (kernel) Transparente para o KVM (imagem raw) # cryptsetup qcow2 = formato suporta crypto, sparse files, libvirt IBM Corporation

(kernel) Transparente para o KVM (imagem raw) # cryptsetup qcow2 =

21 Dúvidas? Klaus Heinrich Kiwi Apresentação disponível em: IBM Corporation

Documentos relacionados

Segurança de redes com Linux. Everson Scherrer Borges Willen Borges de Deus

Segurança de redes com Linux. Everson Scherrer Borges Willen Borges de Deus Segurança de redes com Linux Everson Scherrer Borges Willen Borges de Deus Segurança de Redes com Linux Protocolo TCP/UDP Portas Endereçamento IP Firewall Objetivos Firewall Tipos de Firewall Iptables