Les Guides de sécurisation renforcée de VMware fournissent des recommandations sur le déploiement et l'exploitation des produits VMware de manière sécurisée. Pour vSphere, ce guide est appelé Guide de configuration de la sécurité vSphere (nommé auparavant Guide de sécurisation renforcée). À partir de vSphere 8.0 Update 3, les informations du Guide de configuration de la sécurité de vSphere appelés contrôles de sécurité sont désormais incluses dans ce guide.
Les contrôles de sécurité fournissent des meilleures pratiques de sécurité pour vSphere. Les contrôles de sécurité ne sont pas directement mappés aux directives ou aux cadres réglementaires. Par conséquent, ne les utilisez pas comme moyen d'établir la conformité. En outre, les contrôles de sécurité ne sont pas destinés à être utilisés en tant que liste de contrôle de la sécurité.
La sécurité doit toujours être vue comme un compromis. Lorsque vous implémentez des contrôles de sécurité, vous pouvez avoir une incidence négative sur l’utilisation, les performances ou d’autres tâches opérationnelles. Examinez attentivement vos charges de travail, vos modèles d'utilisation, votre structure organisationnelle, etc. avant d'apporter des modifications à la sécurité, quel que soit le conseil fourni par VMware ou d'autres sources du secteur.
Si votre organisation est soumise à des exigences de conformité réglementaire, reportez-vous à la section https://core.vmware.com/compliance. Ce site contient des kits de conformité et des guides d'audit de produit pour aider les administrateurs vSphere et les auditeurs réglementaires à sécuriser et à attester l'infrastructure virtuelle pour différents cadres réglementaires, tels que NIST 800-53v4, NIST 800-171, PCI DSS, HIPAA, CJIS, ISO 27001, etc.
- Logiciel s'exécutant dans la machine virtuelle, tel que le système d'exploitation invité et les applications
- Trafic en cours d'exécution via les réseaux de machine virtuelle
- Sécurité des produits de modules complémentaires
Ces contrôles de sécurité vSphere ne sont pas destinés à être utilisés comme un outil de « conformité ». Ces contrôles de sécurité vous permettent de prendre les mesures initiales d'une mise en conformité, mais ne garantissent pas par eux-mêmes la conformité de votre déploiement. Pour plus d'informations sur la conformité, reportez-vous à Sécurité ou conformité dans l'environnement vSphere.
N'appliquez pas aveuglément des contrôles de sécurité à votre environnement. Prenez plutôt le temps d'évaluer chaque paramètre et de prendre une décision éclairée quant à son application éventuelle. Au minimum, vous pouvez utiliser les instructions fournies dans les sections Évaluation pour vérifier la sécurité de votre déploiement.
Ces contrôles de sécurité vous aident à mettre en œuvre la conformité dans votre déploiement. Lorsqu'il est utilisé avec les directives DISA (Defense Information Systems Agency) et autres directives de conformité, vous pouvez mapper les contrôles de sécurité vSphere au type de conformité correspondant à chaque directive.
Définitions des termes de contrôles de sécurité
Dans les sections de contrôle de sécurité qui suivent, les termes et définitions suivants sont utilisés.
| Terme du contrôle | Définition |
|---|---|
| Valeur par défaut de l'installation | Ce que le contrôle définit par défaut dans cette version de vSphere lorsque vous installez le produit pour la première fois. |
| Valeur suggérée de la ligne de base | Une recommandation raisonnable quant à la configuration de ce contrôle, si aucune autre assistance n'est présente. Les instructions de conformité réglementaire peuvent remplacer ces recommandations, par exemple. |
| Action nécessaire | Action suggérée pour un contrôle particulier. Modifier : effectuez la modification. Pour les contrôles qui se trouvent en dehors des vSphere, tels que les paramètres matériels, cette documentation suppose toujours que le contrôle est défini de manière non sécurisée par défaut et recommande de modifier la configuration. Audit : assurez-vous que la valeur par défaut est utilisée, que la valeur attendue est présente ou que des exceptions au contrôle sont documentées. Lors de l'audit d'un contrôle dont la valeur par défaut est la valeur suggérée, deux lignes de pensée sont possibles. Premièrement : ce n'est qu'en définissant explicitement les paramètres qu'ils peuvent être audités et connus. Deuxièmement : toutes les modifications de configuration nécessitent une « prise en charge » dans le temps, de sorte qu'en cas de sécurité par défaut, vous pouvez l'utiliser pour simplifier un environnement. Cette documentation adopte cette dernière approche, mais vous pouvez choisir votre propre cours. Les contrôles qui ne sont pas mis en œuvre n'ont aucun effet sur la sécurité. Ils sont répertoriés comme « audit » dans cette documentation, mais peuvent être supprimés. |
| Incidence fonctionnelle potentielle si la valeur par défaut est modifiée | Cette modification peut-elle entraîner des problèmes ? La plupart des contrôles de sécurité présentent des compromis d'une certaine manière. Qu'est-ce que la modification de ce contrôle pourrait nécessiter en échange ? |
| Évaluation de la commande PowerCLI | Exemple de commande PowerCLI pour déterminer la manière dont le contrôle est défini. |
| Exemple de correction de la commande PowerCLI | Exemple de commande PowerCLI pour définir le contrôle sur la recommandation. |
