무단 침입 및 오용으로부터 ESXi 호스트를 보호하기 위해 VMware는 몇 가지 매개 변수, 설정 및 작업에 제약을 가합니다. 구성 요구 사항을 충족하기 위해 제약 조건을 완화할 수 있습니다. 그렇게 할 경우 신뢰할 수 있는 환경에서 작업 중인지 확인한 후 다른 보안 조치를 취합니다.

ESXi 기본 제공 보안 기능 소개

ESXi는 다음과 같이 호스트에 대한 위험을 완화합니다.

  • ESXi Shell 인터페이스 및 SSH 인터페이스는 기본적으로 비활성화되어 있습니다. 문제 해결 또는 지원 작업을 수행하지 않는 한 이러한 인터페이스를 비활성화된 상태로 유지해야 합니다. 일상적인 작업의 경우 vSphere Client를 사용합니다. 여기서 작업은 역할 기반 액세스 제어 및 최신 액세스 제어 방법을 따릅니다.
  • 기본적으로 일부 방화벽 포트만 열려 있습니다. 특정 서비스와 연결된 방화벽 포트를 명시적으로 열 수 있습니다.
  • 기본적으로 호스트에 대한 관리 액세스에 필요하지 않은 모든 포트는 닫혀 있습니다. 추가 서비스가 필요한 경우 포트를 엽니다.
  • ESXi는 해당 기능을 관리하는 데 필수적인 서비스만 실행합니다. 이 배포는 ESXi를 실행하는 데 필요한 기능에 제한됩니다.
  • 기본적으로 보안에 취약한 암호화는 비활성화되며 클라이언트로부터의 통신에는 SSL 보안이 적용됩니다. 채널의 보안 유지에서 사용되는 정확한 알고리즘은 SSL 핸드셰이크에 따라 다릅니다. ESXi에서 생성된 기본 인증서는 RSA 암호화가 적용된 PKCS#1 SHA-256을 서명 알고리즘으로 사용합니다.
  • 내부 웹 서비스는 웹 클라이언트의 액세스를 지원하기 위해 ESXi에 의해 사용됩니다. 이 서비스는 웹 클라이언트가 관리 및 모니터링을 위해 필요로 하는 기능만 실행하도록 수정되었습니다. 따라서 ESXi는 다양한 용도에 대해 보고되는 보안 문제에 취약하지 않습니다.
  • VMware는 ESXi 보안에 영향을 미칠 수 있는 모든 보안 경고를 모니터링하고 필요한 경우 보안 패치를 실행합니다. 보안 경고를 받으려면 VMware 보안 권고 및 보안 경고 메일 그룹을 구독하면 됩니다. 웹 페이지(http://lists.vmware.com/mailman/listinfo/security-announce)를 참조하십시오.
  • FTP 및 Telnet과 같은 안전하지 않은 서비스는 설치되지 않으며 이러한 서비스용 포트는 기본적으로 닫혀 있습니다.
  • 암호화된 서명이 없는 드라이버 및 애플리케이션을 로드하지 않도록 호스트를 보호하려면 UEFI 보안 부팅을 사용하십시오. 보안 부팅은 시스템 BIOS에서 사용하도록 설정합니다. ESXi 호스트(예: 디스크 파티션)에는 추가적인 구성 변경이 필요하지 않습니다. ESXi 호스트를 위한 UEFI 보안 부팅의 내용을 참조하십시오.
  • ESXi 호스트에 TPM 2.0 칩이 있는 경우, 시스템 BIOS에서 칩을 사용하도록 설정하고 구성하십시오. TPM 2.0은 보안 부팅과 함께 작동하여 하드웨어의 보안 및 신뢰 보증을 강화합니다. 신뢰할 수 있는 플랫폼 모듈을 통한 ESXi 호스트 보안의 내용을 참조하십시오.
  • ESXi 8.0 이상에서는 샌드박스 도메인에서 SSH 프로세스를 실행할 수 있습니다. 그러면 셸의 권한이 줄어들고 제한된 명령 하위 집합에 대한 액세스만 허용됩니다. 자세한 내용은 https://kb.vmware.com/s/article/87386에서 VMware 기술 자료 문서를 참조하십시오.

추가 ESXi 보안 조치 취하기

호스트 보안 및 관리를 평가할 때는 다음 권장 사항을 고려하십시오.

ESXi 호스트에 대한 액세스 제한
DCUI(Direct Console User Interface)에 대한 액세스를 활성화하면 ESXi Shell 또는 SSH는 엄격한 액세스 보안 정책을 시행합니다.
ESXi Shell에는 호스트의 특정 부분에 대한 액세스 권한이 있습니다. ESXi Shell 로그인 액세스는 신뢰할 수 있는 사용자에게만 제공하십시오.
관리되는 ESXi 호스트에 직접 액세스하지 않음
vSphere Client를 사용하여 vCenter Server로 관리되는 ESXi 호스트를 관리합니다. VMware Host Client를 통해 직접 관리 호스트에 액세스하지 말고 DCUI에서 관리 호스트를 변경하지 마십시오.
스크립팅 인터페이스 또는 API를 사용하여 호스트를 관리하는 경우 호스트를 직접 대상으로 하지 마십시오. 대신 호스트를 관리하는 vCenter Server 시스템을 대상으로 하고 호스트 이름을 지정하십시오.
문제 해결을 위해서만 DCUI 사용
문제 해결을 위해서만 DCUI 또는 ESXi Shell에서 루트 사용자로 호스트에 액세스하십시오. ESXi 호스트를 관리하려면 vSphere Client(또는 VMware Host Client) 또는 VMware CLI나 API 중 하나를 사용합니다. " ESXCLI 개념 및 예제" 의 내용을 참조하십시오. ESXi Shell 또는 SSH를 사용하는 경우 액세스 권한이 있는 계정을 제한하고 시간 초과를 설정합니다.
ESXi 구성 요소를 업그레이드할 때는 VMware 소스만 사용합니다.
호스트는 관리 인터페이스 또는 수행해야 하는 작업을 지원하기 위해 다양한 타사 패키지를 실행합니다. VMware는 VMware 소스에서 전송되는 이러한 패키지로의 업그레이드만 지원합니다. 다른 소스의 다운로드나 패치를 사용하면 관리 인터페이스 보안 또는 기능이 제대로 작동하지 않을 수 있습니다. 타사 벤더 사이트 및 VMware 기술 자료에서 보안 경고를 확인합니다.
참고: VMware 보안 권고( http://www.vmware.com/security/)를 따르십시오.