Thought Leadership
ESXi unterstützt nativ keine Endpoint Detection and Response (EDR). Sophos X-Ops erklärt die daraus resultierenden Gefahren und gibt detaillierte Anleitungen, diese Schutzlücke bestmöglich zu schließen.
Sophos X-Ops hat einen ausführlichen Bericht über die besonderen Cybergefahren für ESXi-Umgebungen veröffentlich und beschreibt mit Tipps und Best Practices, wie dieses Risiko verringert werden kann. Das Problem: VMware ESXi-Hypervisoren sind einem besonders hohen Cyberrisiko ausgesetzt, da die Technologie direkt auf der Hardware implementiert ist und nicht innerhalb eines Betriebssystem wie beispielsweise Windows. Was die Geschwindigkeit und die Effizienz dieser Hostkonfiguration begünstigt, wird bei der Verteidigung zum Problem, weil die ESXi-Hosts keine native Ausführung von EDR (Endpoint Detection and Response) oder MDR (Managed Detection and Response) unterstützen.
Damit können Angreifer mit einer großen Auswahl an Exploits arbeiten, die normalerweise von EDR oder MDR erkannt würden. Angreifer, die ESXi-Hosts ins Visier nehmen, können einem Unternehmen schnell unverhältnismäßig großen Schaden zufügen, indem sie mit nur wenigen Klicks einen kompletten ESXi-Host samt den darauf gehosteten VMs verschlüsseln.
Zwar könnte für mehr Schutz die ESXi-Protokollierung alle Ereignisse an ein SIEM weiterleiten, was jedoch aufgrund der Kosten, Komplexität und des Fachkräftemangels für den Betrieb eines SIEM für kleinere und mittelständische Unternehmen keine praktikable Option darstellt. Diese Schutzlücke ist Angreifern nicht entgangen und führt zu vermehrter Ausnutzung dieser Sicherheitsschwachstelle.
Sophos X-Ops geben in ihrem neuen Bericht zehn ausführliche Tipps, wie Verteidiger das Risiko eines Angriffs auf ESXi reduzieren oder zumindest so verlangsamen können, dass die Verteidiger die Chance haben, die Gefahr zu erkennen und darauf zu reagieren:
- Sicherstellen, dass auf vCenter- und ESXi-Hosts unterstützte Versionen ausgeführt werden und alle Patches durchgeführt sind.
- vCenter- und ESXi-Hosts wenn möglich nicht der Domäne hinzufügen
- Aktivieren des normalen Sperrmodus
- Deaktivieren des SSH, sofern es nicht unbedingt benötigt wird
- Erzwingen einer hohen Kennwortkomplexität für vCenter- und ESXi-Hosts
- Kontosperrung nach fehlgeschlagenen Anmeldeversuchen
- Aktivieren des UEFI Secure Boot
- Konfiguration des Hosts, dass nur Binärdateien ausgeführt werden, die über signierte VIBs bereitgestellt wurden
- Deaktivieren des Managed Object Browser (MOB), CIM, SLP und der SNMP-Dienste, wenn sie nicht verwendet werden
- Einrichten einer dauerhaften Protokollierung
Weitere Informationen:
Der komplette Bericht mit detaillierten Anleitungen zu den zehn Tipps steht bei Sophos zur Verfügung.
(vp/Sophos)
