در شبکه‌ای که همه سرورها مجازی‌اند، میزبان مجازی‌سازی کلید همه درهاست. مهاجمی که به آن برسد، لازم نیست تک‌تک سرورها را هک کند؛ می‌تواند همه ماشین‌ها را خاموش، کپی یا رمزگذاری کند. در سال‌های اخیر حملات باج‌افزاری متعددی مستقیماً میزبان‌های مجازی‌سازی را هدف گرفته‌اند، به‌خصوص میزبان‌هایی که به‌روز نبودند یا کنسول‌شان از اینترنت در دسترس بود.
کنسول مدیریت را از دسترس عموم دور کنید
- رابط مدیریت میزبان‌ها، vCenter و کنسول وب Proxmox را هرگز مستقیم روی اینترنت باز نکنید. دسترسی از بیرون فقط از طریق VPN باشد.
- شبکه مدیریت را در یک VLAN جدا قرار دهید و در فایروال فقط به سیستم‌های مدیران اجازه دسترسی بدهید، نه کل شبکه کاربران.
- رابط‌های مدیریت سخت‌افزار مثل iLO و iDRAC هم به همین اندازه حساس‌اند و باید در همین شبکه جدا باشند.
به‌روزرسانی را عقب نیندازید
آسیب‌پذیری‌های جدی در همه بسترها کشف و اصلاح می‌شوند. برای به‌روزرسانی میزبان‌ها برنامه منظم داشته باشید و اطلاعیه‌های امنیتی سازنده را دنبال کنید. در خوشه، با جابه‌جایی ماشین‌ها می‌توانید میزبان‌ها را یکی‌یکی و بدون توقف سرویس به‌روز کنید. فریم‌ور سرورها را هم فراموش نکنید.
حساب‌ها و دسترسی‌ها
- برای هر مدیر حساب شخصی بسازید و از حساب مشترک root یا Administrator برای کارهای روزمره استفاده نکنید.
- ورود دومرحله‌ای را هرجا بستر پشتیبانی می‌کند فعال کنید؛ مثلاً کنسول وب Proxmox از روش‌های ورود دومرحله‌ای پشتیبانی می‌کند.
- دسترسی‌ها را بر اساس نقش بدهید: کسی که فقط باید کنسول یک ماشین را ببیند، به اجازه حذف ماشین یا تغییر تنظیمات میزبان نیاز ندارد.
- درباره عضویت میزبان‌ها در دامین اصلی با احتیاط تصمیم بگیرید. اگر دامین آلوده شود، میزبان‌هایی که با حساب‌های دامین مدیریت می‌شوند هم در خطرند؛ بسیاری از متخصصان مدیریت میزبان‌ها را با حساب‌های جدا یا یک دامین مدیریتی مستقل توصیه می‌کنند.
رمز حساب‌های اصلی میزبان را در یک مدیر رمز امن نگه دارید و روش دسترسی اضطراری به آن را مستند کنید. قفل شدن پشت در میزبان در روز بحران، خودش یک بحران است.
سطح حمله را کوچک کنید
- سرویس‌های غیرضروری مثل SSH را فقط هنگام نیاز فعال کنید یا دسترسی به آن را محدود کنید.
- روی میزبان Hyper-V فقط نقش Hyper-V را نصب کنید و برنامه‌های دیگر، مرورگر یا ایمیل را روی آن اجرا نکنید. نصب Server Core سطح حمله را کمتر می‌کند.
- روی میزبان Proxmox هم نرم‌افزار اضافه نصب نکنید و از فایروال داخلی آن برای محدود کردن دسترسی به پورت‌های مدیریت استفاده کنید.
- در VMware قابلیت‌هایی مثل Lockdown Mode برای محدود کردن دسترسی مستقیم به میزبان وجود دارد؛ امکانات دقیق را در نسخه خود بررسی کنید.
بکاپ و لاگ را از میزبان جدا نگه دارید
اگر سرور بکاپ با همان حساب‌ها و روی همان شبکه مدیریت شود، مهاجمی که میزبان را گرفته به بکاپ‌ها هم می‌رسد. مخزن بکاپ را جدا و ترجیحاً غیرقابل‌تغییر نگه دارید. لاگ ورودها و تغییرات میزبان‌ها را هم به یک سرور مرکزی بفرستید تا ورودهای مشکوک دیده شوند و مهاجم نتواند ردش را پاک کند.
چک‌لیست
- کنسول‌های مدیریت فقط از شبکه مدیریتی جدا یا از طریق VPN در دسترس‌اند.
- میزبان‌ها و فریم‌ور سرورها به‌روزند.
- هر مدیر حساب شخصی و ورود دومرحله‌ای دارد.
- سرویس‌های غیرضروری غیرفعال‌اند.
- بکاپ‌ها از میزبان و حساب‌های آن جدا هستند.
- لاگ‌ها در جای دیگری نگهداری و بررسی می‌شوند.
امنیت میزبان مجازی‌سازی، امنیت همه سرورهای شماست. کارشناسان ITPlus724 می‌توانند تنظیمات امنیتی میزبان‌های VMware، Hyper-V یا Proxmox شما را بازبینی و نقاط ضعف را برطرف کنند.