Intel kommenterer virtualiseringssikkerhet

[int20h]

Bidrar virtualisering til at funksjonalitet går enda mer på bekostning av sikkerhet?

 

Les mer

[arnizzz]

Spent på høre hva de sier. Men jeg synes konseptet som VMSafe virker veldig forlokkende mtp rootkits o.l (blue pill).

 

Virtualiseringsteknologien er jo egentlig veldig gammel. Kan noen huske om det noen gang har vært en hypervisor som har blitt compromised(på norsk?) gjennom et gjeste-OS? Jeg ser for meg at DoS er den største trusselen av det som realistisk via et gjeste-os. Management av virtualiserings-laget går jo via et trygt nettverk så det anser jeg ikke som et spesielt stort problem.

[DarkSlayer]

http://www.tomshardware.com/reviews/joanna...otkit,2356.html

Meget bra artikel som skulle opplyse litt, og gi svar.

[G]

Har du litt utfyllende info om det VMSafe som du nevner?

[Repvik]

hva i søderhavet...

Endret 17. juli 2009 av Repvik

[Anders Jensen]

Kan ikke si jeg ser veldig store problemer med å blande test og drift VMer, men det er klart at helt adskilte er de ikke, så jeg skjønner at noen velger å sette av ekstra penger for å skille de. Kommer jo også veldig an på prioriteringer.

 

Videre er det litt lite med to servere. Tre eller flere gir langt bedre handlingsrom. Da slipper en at alt henger på den ene serveren om.. når en server får problemer. En slipper også å sitte igjen med kun halve kapasiteten ved planlagt nedetid på en server. Slik jeg ser det er muligheten til å gjøre planlagt nedetid uten at brukerne får nedetid en av de store fordelene med (noen typer) virualisering.

Endret 17. juli 2009 av Anders Jensen

[arnizzz]

Har du litt utfyllende info om det VMSafe som du nevner?

 

Det er Vmware sitt API for sikkerhetsprodukter som kjører i en dedikert virtual maskin som via APIet fra vmware får tilgang til nettverk, minne og filer innad i de andre gjeste-OSene. Dvs at i praksis så kjører det et nivå UNDER oset. Tradisjonell anti-virus og software brannmur er sårbar for angrep. Teorien er at med VMSafe så kan ikke virus/trojanere/etc deaktivere eller unngå sikkerhetsløsningen som er installert på OSet. Det er lett å se fordelen med den tilnærmingen. IDS/IPS vil også bli mer pålitelig IMO. Brannmurmessig så har det den fordelen i forhold til hardware-brannmurer at den kan se hvilke prosesser o.l som har initiert trafikken, og samtidig ikke like sårbar som en tradisjonell software-brannmur.

[DarkSlayer]

Nå kjenner jeg ikke vmsafe så godt, men er litt skeptisk til at man får nok sikkerhet gjennom et api.

 

Teorien er jo grei den. Vanlige applikasjoner kjører i user mode(ring 3), og har ikke tilgang til nivåer under som f.eks drivere(ring1), og kernel(ring 0). Skulle være kjent for de fleste med litt it utdanning.

 

Antivirus idag installerer jo nettopp ting nede i kernel for å kunne få full kontroll med tingenes tilstand. Men et sikkerhetsprodukt vil aldri kunne finne ut om den kjører i en VM fordi man har ikke tilgang til lavere nivåer.

 

Artikelen jeg linka til forteller litt om hvordan man kan snike inn rootkits både inn på ring -1 hvor hypervisoren ligger som sjonglerer med vm'er. Vil da api'et være godt nok til å kunne spotte slike infiseringer til tross for at sikkerhetsproduktet sitter med lavere rettigheter på høyere ring, inni en vm?

 

Hva med infisering av laget under hypervisoren? Det er vist som mulig gjennom å utnytte bugs i hw eller bios.

 

Artikelen sier jo at det ikke nødvendigvis er så attraktivt å komme ned på lavest mulig ring, siden nettleseren er den mest interessange applikasjonen å få kontroll på. Tross alt der vi besøker vår bank, gjør vår korrespondanse, ser porno og kan gjøre gale valg i livet.

 

Fordelen med et slikt api er jo at man slipper "forsøpling" av de lavere lagene, som kan føre til økt risiko for både bugs og ustabilitet.

 

Men om vi får nå et virus som klarer å infisere og unngå oppdagelse, så må vi ikke bare vente på en ny virusdefinisjon - vi må kanskje vente på at wmvare skal komme med oppdateringer til sitt api, og det er greit med wmvare kanskje. Men det er ikke alle konkurrenter som er like kjappe.

[mago]

Vm er altså en slaks kondom

 

mere kondom nyheter

 

Malware using virtualization techniques. http://virusinfo.info/showthread.php?t=18866