8. Безпека VMware Tools

8.1 VMware Tools має бути версією, яка не досягла статусу завершення загальної підтримки (Вручну)

Переконайтеся, що VMware Tools працює з версією, яка не досягла кінця загальної версії Статус підтримки (EOGS) є обов’язковим для забезпечення безпеки та підтримки середовище. Версія протягом терміну підтримки гарантує регулярне оновлення, безпеку виправлення та підтримка постачальників. Бажано проводити процедуру регулярно перевірка та оновлення VMware Tools до підтримуваної версії.

Запуск підтримуваної версії VMware Tools гарантує переваги середовища від останніх патчів безпеки та оновлень, тим самим зменшуючи ризик уразливості. Це також гарантує, що організація може отримати необхідну підтримку від постачальника коли потрібно.

Використання версії VMware Tools, яка досягла свого EOGS, може виявити середовища до ризиків безпеки через відсутність оновлень і виправлень. Це також може призвести до проблеми з відповідністю та відсутність підтримки постачальників, які можуть призвести до роботи неефективність.

8.2 У VMware Tools повинні бути встановлені всі оновлення програмного забезпечення (Вручну)

Переконайтеся, що всі оновлення програмного забезпечення інстальовано на VMware Tools, що має вирішальне значення для підтримання здорового та безпечного віртуального середовища. Ці оновлення забезпечують важливі драйвери, забезпечують ефективне керування гостьовими операційними системами та пропонують функції необхідні для розгортання та налаштування віртуальної машини. Важливо запустити підтримувану версію сумісний із гостьовою ОС, будь то Linux чи Microsoft Windows, і постійно оновлюйте його скористайтеся останніми вдосконаленнями та виправленнями безпеки.

Оновлення VMware Tools забезпечує ефективну роботу віртуальних машин з найновішими драйверами та функціями, що, у свою чергу, підтримує ефективність роботи. Крім того, оновлене програмне забезпечення зменшує потенційні ризики безпеки, забезпечуючи більшу безпеку середовище.

Ігнорування оновлення VMware Tools може призвести до застарілих драйверів або відсутності нових функції та потенційні вразливості безпеки, які можуть перешкоджати продуктивності та безпека віртуального середовища.

8.3 VMware Tools має налаштувати автоматичні оновлення відповідно до середовища (Вручну)

Автоматичними оновленнями VMware Tools можна керувати через vSphere, забезпечуючи VMware Версії інструментів залишаються актуальними. Ця функція є доцільною, якщо немає альтернативи механізми управління та оновлення наявні. Рекомендується мати автоматичне оновлення ввімкнено для мінімізації адміністративних витрат і підтримки функції дати та виправлення безпеки. Параметр, який регулює таку поведінку autoupgrade дозволити оновлення з рекомендованим значенням true.

Увімкнення автоматичного оновлення через vSphere забезпечує спрощений процес зберігання VMware Tools оновлено, що зменшує адміністративне навантаження. Це також гарантує, що віртуальні машини використовують найновіші версії з необхідними виправленнями безпеки та оновленими функціями.

Вимкнення автоматичного оновлення вимагає альтернативних методів оновлення та перенастроювання VMware Tools, що може збільшити адміністративні витрати та потенційно залишать віртуальні машини із застарілими версіями, створюючи ризики для безпеки та роботи неефективність.

8.4 Інструменти VMware на розгорнутих віртуальних машинах мають запобігати повторному налаштуванню (Вручну)

Запобігання повторному налаштуванню розгорнутих віртуальних машин має важливе значення для зменшення ризику суперницького доступу шляхом клонування та подальшого налаштування. Як тільки віртуальна машина є розгорнуто, його слід захистити від подальшого налаштування для підтримки цілісність його конфігурацій і даних. Параметр, який регулює таку поведінку deployPkg enable-customization із рекомендованим значенням false.

Цей контроль зменшує ризик несанкціонованого доступу та можливого розкриття даних може виникнути в результаті клонування та повторного налаштування віртуальної машини. Дотримуючись цього контролю, організації підтримують цілісність і безпеку розгорнутих віртуальних машин.

Вимкнення повторного налаштування на розгорнутих віртуальних машинах може вплинути на процеси аварійного відновлення які вимагають зміни IP-адреси. Такі процеси сприяють сайту VMware Recovery Manager або VMware Cloud Disaster Recovery потребують альтернативи стратегії керування IP-адресами в сценаріях відновлення.

8.5 VMware Tools має обмежити автоматичне додавання функцій (Вручну)

Обмежте автоматичне додавання функцій під час процесів оновлення VMware Tools підтримувати бажаний профіль безпеки гостьової операційної системи від vSphere. Це управлінням можна керувати, встановивши параметр конфігурації на вказане значення. The Параметр, який регулює цю поведінку, — це функція дозволу-додавання автоматичного оновлення з a рекомендоване значення false.

Обмеження автоматичного додавання функцій через процеси оновлення VMware Tools допомагає зберегти конфігурації безпеки та мінімізує потенційне впровадження вразливості.

Із запровадженням такого контролю адміністраторам доведеться використовувати альтернативні методи оновіть і переналаштуйте VMware Tools за потреби, що може вимагати додаткових адміністративні зусилля та нагляд.

8.6 VMware Tools має обмежити автоматичне видалення функцій (Вручну)

Обмеження автоматичного видалення функцій інструментами VMware під час процесів оновлення має вирішальне значення для підтримки передбаченого профілю безпеки гостьової ОС від vSphere. The автоматичне оновлення потенційно може видалити важливі функції, вплинувши на безпеку поза ненавмисно. Параметр, який регулює таку поведінку, — дозволити автоматичне оновлення видалити функцію з рекомендованим значенням false.

Обмеження автоматичного видалення функцій гарантує, що конфігурації безпеки та інші основні функції залишаються незмінними під час оновлення, таким чином зберігаючи послідовність поза безпеки.

За допомогою цього елемента керування адміністраторам потрібно буде використовувати альтернативні методи оновлення і перенастроювання VMware Tools, що може вимагати додаткового адміністрування зусилля.

8.7 VMware Tools має деактивувати GlobalConf, якщо це не потрібно (Вручну)

Функція GlobalConf у VMware Tools полегшує доставку tools.conf конфігурації для віртуальних машин, що спрощує керування конфігурацією. Проте, якщо не обов’язково, бажано вимкнути цю функцію, щоб зменшити потенційні ризики безпеці. Параметр, який керує цією поведінкою, — globalconf увімкнено з рекомендованим налаштування false.

Деактивація GlobalConf мінімізує поверхню атаки, зменшуючи кількість канали, через які конфігурації можна надсилати на віртуальні машини, отже посилення безпеки.

Якщо GlobalConf деактивовано, адміністраторам доведеться використовувати альтернативні методи для оновлення та переналаштування VMware Tools, для чого можуть знадобитися додаткові кроки або інструменти.

8.8 VMware Tools має деактивувати ContainerInfo, якщо це не потрібно (Вручну)

Рекомендується дезактивувати плагін ContainerInfo у VMware Tools, якщо він не є потрібна функціональність. Цей плагін збирає дані про запущені контейнери в Linux гостьова операційна система. Параметр, який регулює цю поведінку, – це containerinfo poll- інтервал із рекомендованим значенням 0.

Обмеження збору непотрібних даних є розумною практикою, щоб мінімізувати потенціал ризики безпеки та дотримання принципів найменших привілеїв.

Вимкнення ContainerInfo може вплинути на певні продукти та послуги у VMware екосистеми, яка покладається на цю функціональність, вимагаючи інших конфігурацій або методів щоб отримати необхідну інформацію про контейнер.

8.9 VMware Tools має вимкнути збір інформації про додаток, якщо це не потрібно (Вручну)

Розсудливо деактивувати модуль Appinfo за допомогою VMware Tools, якщо це не потрібно заходи для мінімізації поверхні атаки. Цей модуль призначений для застосування виявлення, але якщо він не використовується, його слід вимкнути. Параметр, що керує цією поведінкою інформація про програму вимкнена з рекомендованим значенням true.

Вимикаючи модуль Appinfo, коли він не використовується, потенційні вектори для неавторизованих доступ або витік даних можна зменшити.

Вимкнення Appinfo може вплинути на продукти та послуги в екосистемі VMware залежить від цієї функції, що вимагає альтернативних конфігурацій або рішень зберегти ці можливості.

8.10 VMware Tools має вимкнути операції оновлення гостьового магазину, якщо вони не потрібні (Вручну)

Функція GuestStore полегшує розповсюдження певного вмісту кільком гостям. Якщо не потрібно, радимо вимкнути цей плагін, щоб мінімізувати потенційні вектори атак. Параметром, який регулює цю поведінку, є політика gueststoreupgrade з a рекомендоване налаштування вимкнення.

Мінімізація поверхні атаки шляхом вимкнення непотрібних функцій є розумним засобом безпеки міра. Цей контроль допомагає зменшити потенційні точки опромінення в системі.

Дезактивація операцій оновлення гостьового магазину може вплинути на певні продукти та послуги в екосистемі VMware, які покладаються на цю функціональність, вимагаючи альтернативи конфігурації або методи підтримки необхідних операційних можливостей.

8.11 VMware Tools має вимкнути функцію виявлення служб, якщо не потрібно (Вручну)

Плагін VMware Tools Service Discovery призначений для підключення до Aria Operations, додавши до нього додаткові дані щодо гостей і навантажень. Вимкнувши цей плагін, коли він не використовується, це розумний крок для зменшення поверхні атаки. Параметр керуючи цією поведінкою, є вимкнення servicediscovery із рекомендованим налаштуванням правда.

Зменшення поверхні атаки шляхом вимкнення несуттєвих функцій є фундаментальним найкраща практика безпеки. Цей контроль допомагає мінімізувати потенційні точки впливу, особливо коли функція виявлення служб не використовується.

Вимкнення виявлення служб може вплинути на певні продукти та послуги в межах Екосистема VMware залежить від цієї функції, що потребує альтернативи конфігурації або методи збереження необхідних операційних можливостей.

8.12 VMware Tools має обмежити використання MSI-перетворень під час перенастроювання VMware Tools (Вручну)

Обмеження використання MSI-перетворень під час реконфігурації VMware Tools має вирішальне значення запобігти ненавмисним змінам бази даних встановлення в гостьовій системі Microsoft Windows операційні системи від vSphere. Цей контроль здійснюється через спец параметр конфігурації. Параметр, який регулює таку поведінку, — дозволити автоматичне оновлення msi-transforms із рекомендованим значенням false.

Обмежуючи використання MSI-перетворень, організації можуть підтримувати послідовність профілю безпеки гостьової ОС і мінімізувати ризики, пов’язані з ненавмисним зміни конфігурації під час переналаштування VMware Tools.

Запровадження цього контролю вимагатиме від адміністраторів використання альтернативних методів для оновлення та переналаштування VMware Tools за потреби, що може вимагати додаткових адміністративні зусилля та нагляд.

8.13 VMware Tools має ввімкнути журналювання VMware Tools (Вручну)

Увімкніть журналювання в VMware Tools, щоб забезпечити збір відповідної інформації, сприяння діагностичній або криміналістичній діяльності. Логування в VMware Tools є високим налаштовується, що дозволяє індивідуально налаштовувати журналювання. Параметр, що регулює це поведінка веде журнал із рекомендованим значенням true.

Ведення журналу має вирішальне значення для діагностики проблем і розуміння взаємодії системи. Це забезпечує чіткий слід подій, допомагаючи в ідентифікації та виправленні потенціалу проблеми.

Немає відомих негативних функціональних наслідків увімкнення журналу VMware Tools. Це Контроль лише сприяє збору важливих даних для діагностики та аналізу.

8.14 VMware Tools має надсилати журнали VMware Tools до служби системного журналу (Вручну)

Налаштування призначення журналу в VMware Tools із файлу за замовчуванням на диску до системи Служби журналів спрощують керування журналами. Він перенаправляє журнали до системного журналу в гостьових системах Linux і Служба подій Windows у гостях Microsoft Windows для централізованого моніторинг, управління та архівування. Параметр, який регулює таку поведінку журнал vmsvc.handler із рекомендованим налаштуванням syslog.

Централізація керування журналами через служби системного журналу покращує моніторинг і архівні процеси. Це також сприяє більш структурованому підходу до аналізу даних журналу що має вирішальне значення для усунення несправностей і відповідності.

Процеси, що залежать від файлів журналу в розташуванні за замовчуванням, можуть потребувати змін функціонувати належним чином із новими налаштуваннями журналювання, що вимагає оновлень для забезпечення належного функціонування операцій і пошуку даних журналу.

8.15 VMware Tools має деактивувати гостьові операції, якщо вони не потрібні (Вручну)

Гостьові операції – це набір функцій, які підтримують більшість взаємодії хост-гость. Їх дезактивація зменшує площу атаки, але також різко зменшує функціональність. Переконайтеся, що ваше середовище не потребує цих функцій. Не робіть цього на шаблонні віртуальні машини. Перелік функцій див. https://vdc-download.vmware.com/vmwb-repository/dcr-public/fe08899f-1eec-4d8d- b3bc-a6664c168c2c/7fdf97a1-4c0d-4be0-9d43- 2ceebbc174d9/doc/vim.vm.guest.GuestOperationsManager.html

Зменшення поверхні атаки шляхом дезактивації непотрібних функцій є стандартом захід безпеки. Цей контроль має вирішальне значення для зменшення ризиків, пов’язаних із взаємодія гостей.

Деактивація гостьових операцій може перешкоджати функціональності певних продуктів і послуги в екосистемі VMware, які потребують альтернативних конфігурацій або методів підтримувати необхідні функції. Це включає налаштування гостей.