1. Апаратна безпека хоста

1.1 Апаратне забезпечення хоста повинно мати автентичне та оновлене мікропрограмне забезпечення системи та пристрою, яке можна перевірити (Вручну)

Прошивка апаратного забезпечення не захищена від серйозних проблем, що впливають на конфіденційність, цілісність або наявність. Уразливі контролери та механізми керування системою можуть надати зловмисникам місця для встановлення стійкості, щоб повторно заразити та повторно компрометувати хости після перезавантаження та оновлення. Переконайтеся, що останні оновлення мікропрограми застосовано до всіх компонентів вашої системи і що вбудоване програмне забезпечення є автентичним і надається виробником обладнання.

Це забезпечує цілісність, безпеку та оптимальну продуктивність серверного обладнання необхідне для підтримки мікропрограми системи та пристрою, яка є перевіреною, справжньою та поточний.

Якщо ви є клієнтом vSAN, будь ласка, переконайтеся, що запам’ятовуючий пристрій і прошивка контролера версії сертифіковані.

1.2 Апаратне забезпечення хоста має ввімкнути UEFI Secure Boot (Вручну)

UEFI Secure Boot — це функція безпеки єдиного розширюваного інтерфейсу мікропрограми (UEFI). Його основна мета — забезпечити завантаження лише підписаного та довіреного завантажувачам і ядрам операційної системи дозволено виконуватися під час запуску системи. Це допомагає захистити системи від зловмисного та неавторизованого програмного забезпечення, яке може спробувати це зробити запускати перед завантаженням операційної системи. Шляхом перевірки цифрових підписів завантажувального програм і драйверів, Secure Boot запобігає потенційно шкідливому коду компрометація процесу завантаження.

Увімкнення безпечного завантаження UEFI на апаратному забезпеченні хосту ESXi допомагає запобігти зловмисному програмному забезпеченню та ненадійні конфігурації.

Якщо ввімкнути це після встановлення, хост може стати неможливим для завантаження. Зверніться до vSphere документацію, щоб отримати додаткові відомості про ввімкнення безпечного завантаження.

1.3 Апаратне забезпечення хоста має ввімкнути Intel TXT, якщо доступно (Вручну)

Платформи Intel Xeon Scalable Processor мають технологію Trusted Execution Technology або TXT, які допомагають захистити системи від атак зловмисного програмного забезпечення, руткітів, BIOS і прошивки, а також більше. Якщо ввімкнено, ESXi скористається перевагами безпеки, які пропонує це технології.

Увімкнення технології Intel TXT (Trusted Execution Technology) на апаратному забезпеченні хоста, якщо це доступно, забезпечує апаратну основу безпеки.

У ранніх реалізаціях такі операції, як оновлення мікропрограми та різкі зміни системи завершення роботи може активувати сигнали атестації на сервері vCenter або спричинити помилки завантаження. Як правило, холодний перезапуск системи пропонує тимчасове виправлення, одночасно оновлюючи мікропрограму системи забезпечує постійне рішення. Зверніться до KB 78243.

1.4 Апаратне забезпечення хоста має ввімкнути та налаштувати TPM 2.0 (Вручну)

ESXi може використовувати Trusted Platform Modules (TPM) 2.0 для забезпечення розширеної безпеки функції, які запобігають зловмисному програмному забезпеченню, усувають залежності та захищають життєвий цикл обладнання операції.

Увімкнення та налаштування TPM 2.0 на апаратному забезпеченні хоста забезпечує підвищену безпеку забезпечення криптографічних операцій на апаратному рівні та безпечного зберігання конфіденційних даних і ключі.

Вплив не помічено.

1.5 Контролер керування інтегрованим обладнанням хоста має бути безпечним (Вручну)

Багато серверів мають інтегровані контролери керування обладнанням, які можуть бути надзвичайно корисно під час моніторингу та оновлення апаратного забезпечення, налаштувань і мікропрограми. Ці контролери повинні бути перевірені, щоб переконатися, що ВСІ невикористовувані функції вимкнено, ВСІ невикористовувані методи доступу вимикаються, паролі та елементи керування паролями встановлюються, а також брандмауер і контроль доступу на місці, так що єдиний доступ є авторизований отримати доступ до робочих станцій для команди адміністрування віртуалізації. Усі параметри конфігурації «першого завантаження» слід вимкнути, особливо ті, які переналаштовують системи з USB-пристроїв, які вставлено. Вимкніть або захистіть підключені порти USB до контролерів управління. Якщо це можливо, порти USB слід налаштувати лише на дозвіл клавіатури. Необхідно змінити паролі облікових записів за умовчанням. Зовнішні інформаційні дисплеї повинні бути захищені, щоб запобігти витоку інформації. потужність і інформаційні кнопки повинні бути захищені від несанкціонованого використання. Багато контролерів управління обладнанням забезпечують механізми для сповіщення, коли виникають апаратні збої та зміни конфігурації. Ви повинні розглянути їх, якщо ви не є за допомогою іншого методу апаратного моніторингу.

Відключення методів підключення може означати, що майбутній моніторинг і керування зусилля потребують змін у конфігураціях контролера керування обладнанням ваш парк серверів. Більшість контролерів керування обладнанням мають методи керування CLI та API можна створити сценарій і використовувати з робочої станції керування замість додаткових програмне забезпечення або додатки для керування. Вивчення цих прийомів економить час, уникає додаткових зусиль щодо встановлення та обслуговування додаткових інструментів і дозволяє своєчасно зміни конфігурацій.

1.6 Інтегрований контролер управління апаратним забезпеченням хоста повинен увімкнути синхронізацію часу (Вручну)

Криптографія, журнал аудиту, операції кластера та реагування на інциденти/криміналістика залежать глибоко синхронізований час. Ця рекомендація поширюється на всі пристрої в інфраструктура. Рекомендовано для NTP мати принаймні чотири джерела.

Переконайтеся, що інтегрований контролер управління апаратним забезпеченням забезпечує час синхронізація забезпечує узгоджену та точну позначку часу для журналів і подій, що має вирішальне значення для аудиту, усунення неполадок і виявлення інцидентів безпеки.

Вплив не помічено.

1.7 Інтегрований контролер управління апаратним забезпеченням хоста повинен увімкнути дистанційне журналювання подій (Вручну)

Інтегрований контролер керування апаратним забезпеченням хоста забезпечує критично важливе позасмугове з’єднання нагляд за сервером. Для підвищення безпеки важливо налаштувати цей контролер для входу в журнал події дистанційно. Ця практика гарантує, що журнали, пов’язані з апаратним забезпеченням, надсилаються за межі сайту розташування, захищаючи їх від можливого втручання та пропонуючи централізований запис стан і діяльність сервера.

Увімкнення віддаленого журналювання подій на інтегрованому контролері управління обладнанням гарантує, що всі дії на апаратному рівні надійно записуються за межами сайту, надаючи відстеження, зменшення ризиків фальсифікації даних і полегшення реагування на інциденти.

Вплив не помічено.

1.8 Інтегрований контролер управління апаратним забезпеченням хоста повинен захищати автентифікацію (Вручну)

Підключення до централізованих джерел автентифікації, таких як Active Directory, мають бути відключені або ретельно розглядаються як вектори атаки та цикли залежностей (для автентифікація, авторизація, DNS, DHCP і час). Розгляньте можливість управління місцевим облікові записи на цих пристроях через надані інтерфейси API та CLI. Якщо активний Каталог повинен використовуватися для автентифікації, виконайте авторизацію локально, щоб зловмисник з доступом до Active Directory не можуть рекламувати себе через членство в групі.

Щоб запобігти несанкціонованому доступу та можливому зловмисному контролю серверного обладнання функції, важливо переконатися, що інтегрований контролер керування обладнанням використовує надійні механізми автентифікації.

Не підключаються контролери керування обладнанням до централізованої автентифікації та джерела авторизації передбачає додаткове керування. Більшість апаратного управління контролери мають набори інструментів CLI або API для автоматизації керування обліковими записами користувачів та/або рівні авторизації.

1.9 Апаратне забезпечення хоста має вмикати AMD SEV-ES, якщо доступно (Вручну)

Платформи AMD EPYC підтримують SEV-ES, технологію шифрування пам’яті та ЦП зареєструвати стан і обмежити видимість для гіпервізора, щоб підвищити безпеку робочого навантаження і зменшити вразливість до певних типів атак. Якщо правильно налаштовано, vSphere підтримує використання SEV-ES у гостьових віртуальних машинах і контейнерах vSphere і vSphere з Tanzu. Увімкнення SEV-ES у мікропрограмі системи полегшує майбутнє увімкнення у віртуальних машинах, контейнерах і гостьових ОС.

Увімкнення AMD SEV-ES (Secure Encrypted Virtualization-Encrypted State) на хості Апаратне забезпечення підвищує безпеку віртуальних машин шляхом шифрування їхньої пам’яті та Стан ЦП, що зменшує ризик несанкціонованого доступу до даних і втручання скомпрометовані гіпервізори або зловмисники.

Використання SEV-ES у певній віртуальній машині потребує підтримки гостьової ОС, і це буде обмежено деякі операційні функції, такі як vMotion, знімки тощо. Зверніться до документацію для отримання додаткової інформації про ці компроміси.

1.10 Апаратне забезпечення хоста має ввімкнути Intel SGX, якщо доступно (Вручну)

Платформи Intel Xeon Scalable Processor мають розширення Software Guard Extensions або SGX, a технологія, яка допомагає програмам захищати дані в системній пам’яті. Коли налаштовано належним чином vSphere підтримує використання SGX у гостьових віртуальних машинах. Включення SGX у мікропрограмі системи спрощує подальшу активацію у віртуальних машинах і гостьовій системі ОС.

Intel SGX (Software Guard Extensions) забезпечує апаратне шифрування пам’яті який захищає конфіденційні дані від несанкціонованого доступу або зміни зловмисниками програмне забезпечення, що працює на вищих рівнях привілеїв, підвищує безпеку сервера.

Використання SGX вимагає підтримки гостьової ОС і обмежує деякі робочі функції всередині vSphere, як-от vMotion, знімки, відмовостійкість і призупинення/відновлення.

1.11 Апаратне забезпечення хоста має захищати невикористовувані порти зовнішнього обладнання (Вручну)

Unused ports, especially USB, can be used by attackers to attach storage, networking, and keyboards. Take reasonable steps to control access to these ports through disablement, access control, and/or with other means such as solid rack doors, rack side panels, and flooring that makes the ports inaccessible from outside the rack when the rack door is closed. Кабелі легко проходять через численні щілини в стійках і навколо них rack doors, and stiff wires can be used to push them into sockets from outside the rack, as well as to dislodge cables to create a service disruption. Where possible, USB ports should also be set to only permit keyboards. When disabling functionality like this please consider that you may need to access the server using a USB keyboard during an outage or as part of lifecycle operations, and plan accordingly.

Невикористані порти зовнішнього обладнання можна використовувати як потенційні точки входу для несанкціоновані пристрої та зловмисну діяльність, тим самим ставлячи під загрозу безпеку сервера.

Безпека передбачає збалансування ризиків, включаючи легкість відновлення після збоїв. Відключення зовнішні порти можуть перешкодити екстреному використанню консолі ESXi. Сервери часто можуть перемикатися доступ до порту USB; переконайтеся, що ваш вибір відповідає потребам організації та перевірений до інцидентів.

1.12 Контролер управління інтегрованим обладнанням хоста повинен деактивувати внутрішню мережу (Вручну)

Багато серверів мають вбудовані контролери керування обладнанням із можливістю представити віртуальні мережеві інтерфейси для ESXi як інтерфейс керування. Ці підходи створюють потенційні бекдори для доступу та використовуються зловмисниками, щоб обійти мережеві/периметральні брандмауери в будь-якому напрямку та уникати спостереження за допомогою IDS/IPS/інструментів аналізу загроз. У багатьох випадках ця функція не є строгою необхідні для керування хостами.

Використання інтегрованих контролерів управління обладнанням для представлення віртуальних мережевих інтерфейсів до ESXi може ненавмисно створювати бекдори, дозволяючи зловмисникам обходити брандмауери і уникнути виявлення засобами безпеки; часто ця функція не є важливою для хоста управління.

Вимкнення внутрішньої мережі може обмежити ефективність інструменту керування постачальником.