Considerazioni di sicurezza per la configurazione di VMware Tools

Alcune impostazioni di VMware Tools potrebbero comportare dei rischi per la sicurezza. Ad esempio, VMware Tools consente di collegare dispositivi virtuali quali porte seriali e parallele a macchine virtuali. Un dispositivo collegato rappresenta un potenziale canale d'attacco. Per rafforzare la macchina virtuale e ridurre i rischi per la sicurezza il più possibile, disattivare quelle funzionalità di VMware Tools che potrebbero essere più vulnerabili alle minacce alla sicurezza.

Per informazioni più complete riguardo alla distribuzione in sicurezza di VMware vSphere in un ambiente di produzione, incluse le raccomandazioni di sicurezza per host, macchine virtuali, componenti di gestione e infrastruttura di rete, consultare la vSphere Hardening Guide. Nell'ambito di una distribuzione, le impostazioni di VMware Tools si riferiscono al solo aspetto relativo alla macchina virtuale.

Le macchine virtuali sono incapsulate in un numero ridotto di file. Di tali file, il file di configurazione, ovvero il file .vmx determina le prestazioni dell'hardware virtuale e altre impostazioni. È possibile utilizzare diversi metodi per visualizzare e modificare le impostazioni di configurazione:

Usare il vSphere Web Client per modificare le impostazioni della macchina virtuale. Nel vSphere Web Client, la modifica di tali parametri di configurazione è un'opzione avanzata nella finestra di dialogo della macchina virtuale Modifica impostazioni.
Usare il vSphere Host Client per modificare le impostazioni della macchina virtuale. Nel vSphere Host Client, la modifica di tali parametri di configurazione è un'opzione avanzata nella finestra di dialogo della macchina virtuale Modifica impostazioni.
Usare un tool vSphere basato su API, come ad esempio Power CLI, per visualizzare e modificare i parametri .vmx.

Al termine della modifica di un'impostazione, tale modifica non avrà effetto fino al riavvio della macchina virtuale.

È possibile eliminare diverse potenziali minacce impostando in modo appropriato i parametri nei parametri corrispondenti di VMware Tools da impostare nel file .vmx della macchina virtuale. Le impostazioni predefinite per molti di questi parametri sono già selezionate al fine di proteggere le macchine virtuali da tali minacce.

Minacce associate ad account utenti non privilegiati

Copia e incolla

Per impostazione predefinita, la capacità di copiare e incollare testo, elementi grafici e file è disattivata, così come quella di trascinare e rilasciare file. Quando questa opzione è abilitata, è possibile copiare e incollare testo RTF e, a seconda del prodotto VMware, elementi grafici e file dai propri appunti al sistema operativo guest in una macchina virtuale. Ciò significa che, non appena il focus viene spostato sulla finestra della console di una macchina virtuale, gli utenti e i processi non privilegiati in esecuzione nella macchina virtuale possono accedere agli appunti sul computer in cui viene eseguita la finestra della console. Al fine di evitare rischi associati a tale funzionalità, mantenere le seguenti impostazioni .vmx, le quali disattivano il copia e incolla:

isolation.tools.copy.disable = "TRUE"
isolation.tools.paste.disable = "TRUE"

Minacce associate ai dispositivi virtuali

Collegamento e modifica di dispositivi

Per impostazione predefinita, la capacità di collegare e scollegare dispositivi è disattivata. Quando tale funzionalità è attivata, gli utenti e i processi senza privilegi di utente root o amministratore sono in grado di collegare dispositivi quali schede di rete e unità CD-ROM, oltre che di modificare le impostazioni di tali dispositivi. Ciò significa che un utente può collegare un'unità CD-ROM e accedere a informazioni sensibili sui file multimediali che si trovano nell'unità. Un utente, inoltre, può scollegare una scheda di rete per isolare una macchina virtuale dalla sua rete, negando quindi l'accesso al servizio. Per evitare di incorrere nei rischi associati a tale funzionalità, mantenere le seguenti informazioni .vmx, le quali disattivano la capacità di collegamento e scollegamento dei dispositivi o di modifica delle impostazioni dei dispositivi:

isolation.device.connectable.disable = "TRUE"
isolation.device.edit.disable = "TRUE"

Minacce associate al flusso di informazioni della macchina virtuale

Dimensione file VMX

Per impostazione predefinita, il file di configurazione ha una dimensione limitata di 1 MB; una dimensione non controllata, infatti, potrebbe portare alla negazione del servizio se un datastore non ha più spazio a disposizione sul disco. I messaggi di informazione a volte sono inviati dalla macchina virtuale al file .vmx. Tali messaggi setinfo definiscono le caratteristiche o gli identificatori della macchina virtuale scrivendo le coppie nome-valore sul file. Qualora fosse necessario memorizzare grandi quantità di informazioni personalizzate nel file, potrebbe esserci bisogno di aumentare la dimensione del file. Il nome di proprietà è tools.setInfo.sizeLimit e il valore viene specificato in kilobyte. Mantenere la seguente impostazione .vmx:

tools.setInfo.sizeLimit = "1048576"

Invio dei contatori delle prestazioni a PerfMon

È possibile integrare i contatori delle prestazioni della macchina virtuale per la CPU e la memoria nel PerfMon per i sistemi operativi guest Linux e Microsoft Windows. Tale funzionalità offre informazioni dettagliate sull'host fisico disponibile per il sistema operativo guest. Un utente malintenzionato potrebbe utilizzare tali informazioni per eseguire ulteriori attacchi all'host. Per impostazione predefinita, questa funzionalità è disattivata. Mantenere la seguente impostazione .vmx per far sì che le informazioni sull'host non vengano inviate alla macchina virtuale:

tools.guestlib.enableHostInfo = "FALSE"

Questa impostazione blocca alcune metriche, ma non tutte. Se si imposta questa proprietà su FALSE, le seguenti metriche saranno bloccate:

GUESTLIB_HOST_CPU_NUM_CORES
GUESTLIB_HOST_CPU_USED_MS
GUESTLIB_HOST_MEM_SWAPPED_MB
GUESTLIB_HOST_MEM_SHARED_MB
GUESTLIB_HOST_MEM_USED_MB
GUESTLIB_HOST_MEM_PHYS_MB
GUESTLIB_HOST_MEM_PHYS_FREE_MB
GUESTLIB_HOST_MEM_KERN_OVHD_MB
GUESTLIB_HOST_MEM_MAPPED_MB
GUESTLIB_HOST_MEM_UNMAPPED_MB

Funzionalità non esposte in vSphere che potrebbero essere causa di vulnerabilità

Poiché le macchine virtuali VMware sono eseguite in molti prodotti VMware oltre a vSphere, alcuni parametri della macchina virtuale non si applicano all'ambiente vSphere. Sebbene tali funzionalità non appaiano nelle interfacce utente vSphere, la loro disattivazione riduce il numero di vettori attraverso cui un sistema operativo guest può avere accesso all'host. Usare la seguente impostazione .vmx per disattivare le suddette funzionalità:

isolation.tools.unity.push.update.disable = "TRUE"
isolation.tools.ghi.launchmenu.change = "TRUE"
isolation.tools.ghi.autologon.disable = "TRUE"
isolation.tools.hgfsServerSet.disable = "TRUE"
isolation.tools.memSchedFakeSampleStats.disable = "TRUE"
isolation.tools.getCreds.disable = "TRUE"