VMware erstellt Handbücher für das „Hardening“, d. h., die Verstärkung der Sicherheit. Diese enthalten bindende Anleitungen zur sicheren Bereitstellung und Nutzung von VMware-Produkten. Für vSphere ist dieses Handbuch der vSphere Security Configuration Guide (Handbuch für die vSphere-Sicherheitskonfiguration, früher als Handbuch für „Hardening“ bezeichnet).

Der unter https://core.vmware.com/security-configuration-guide verfügbare vSphere Security Configuration Guide enthält Best Practices für die Sicherheit von vSphere. Der vSphere Security Configuration Guide ist nicht direkt regulatorischen Richtlinien oder Frameworks zugeordnet und daher kein Konformitätshandbuch. Außerdem ist der vSphere Security Configuration Guide nicht für die Verwendung als Sicherheitscheckliste vorgesehen. Beim Thema Sicherheit muss man immer einen Kompromiss eingehen. Bei der Umsetzung von Sicherheitskontrollen kann sich dies negativ auf Benutzerfreundlichkeit, Leistung oder andere operative Aufgaben auswirken. Berücksichtigen Sie Ihre Arbeitslasten, Nutzungsmuster, die Organisationsstruktur usw. sorgfältig, bevor Sie Sicherheitsänderungen vornehmen, unabhängig davon, ob der Hinweis von VMware oder aus anderen Branchenquellen stammt. Wenn Ihre Organisation regulatorischen Konformitätsanforderungen unterliegt, lesen Sie Sicherheit vs. Übereinstimmung in der vSphere-Umgebung oder besuchen Sie https://core.vmware.com/compliance. Diese Site enthält Compliance Kits und Produktüberwachungshandbücher, die vSphere-Administratoren und regulatorische Auditoren dabei unterstützen, die virtuelle Infrastruktur für regulatorische Frameworks zu sichern und zu bestätigen, wie z. B. NIST 800-53v4, NIST 800-171, PCI DSS, HIPAA, CJIS, ISO 27001 und mehr.

Folgende Punkte werden im vSphere Security Configuration Guide nicht behandelt:
  • Software, die innerhalb der virtuellen Maschine ausgeführt wird, wie z. B. das Gastbetriebssystem und Anwendungen
  • Datenverkehr über Netzwerke der virtuellen Maschinen
  • Sicherheit der Add-on-Produkte

Der vSphere Security Configuration Guide ist nicht dazu gedacht, als „Übereinstimmungs“-Tool verwendet zu werden. Der vSphere Security Configuration Guide unterstützt Sie bei den ersten Schritten auf dem Weg zur Übereinstimmung, stellt aber für sich allein nicht sicher, dass Ihre Bereitstellung Übereinstimmung aufweist. Weitere Informationen zur Übereinstimmung finden Sie unter Sicherheit vs. Übereinstimmung in der vSphere-Umgebung.

Lesen des vSphere Security Configuration Guide

Der vSphere Security Configuration Guide ist ein Tabellenkalkulationsblatt, das sicherheitsbezogene Richtlinien enthält, welche Sie bei der Änderung Ihrer vSphere-Sicherheitskonfiguration unterstützen. Diese Richtlinien werden basierend auf den betroffenen Komponenten in Registerkarten gruppiert.

Wenden Sie die Richtlinien im vSphere-Handbuch zur sicheren Konfiguration nicht unüberlegt auf Ihre Umgebung an. Nehmen Sie sich die Zeit, jede Einstellung zu bewerten und eine informierte Entscheidung zu treffen, ob Sie sie anwenden möchten. Als Minimum können Sie die Anweisungen in den Beurteilungsspalten nutzen, um die Sicherheit Ihrer Bereitstellung zu überprüfen.

Das vSphere-Handbuch zur sicheren Konfiguration ist eine Hilfestellung für die ersten Schritte bei der Übereinstimmungsimplementierung in Ihrer Bereitstellung. Wenn Sie ihn zusammen mit den Richtlinien der Defense Information Systems Agency (DISA) und anderen Übereinstimmungsrichtlinien verwenden, können Sie mithilfe des vSphere-Handbuchs zur sicheren Konfiguration vSphere-Sicherheitskontrollen an den Übereinstimmungsanforderungen jeder Richtlinie ausrichten.