Cấu hình bảo mật Hyper-V bằng Authorization Manager (Phần 1)

Cấu hình bảo mật Hyper-V bằng Authorization Manager




– Nếu muốn triển khai Hyper-V và các máy ảo, một trong những yêu cầu chính cần phải có đó là bảo đảm cho môi trường của bạn được an toàn. Bài viết này chúng tôi sẽ giới thiệu cho các bạn về cách cấu hình bảo mật Hyper-V bằng cách sử dụng Authorization Manager. Bài viết cũng giới thiệu những cách thực hành tốt nhất để bảo mật của Hyper-V và cung cấp một số ví dụ về cách thực thi bảo mật Hyper-V bằng Authorization Manager.


Các thuật ngữ


Parent Partition: Windows Server 2008 đang chạy Hyper-V role được gọi là Parent Partition. Parent Partition có nhiệm vụ tạo Child Partition và kiểm soát sự truyền thông giữa các máy ảo.
Child Partition: Một máy ảo chạy trên Hyper-V Server được gọi là Child Partition. Parent Partition tạo ra các Child Partition.
Authorization Manager: Authorization Manager bảo đảm an toàn cho tài nguyên. Hyper-V sử dụng Authorization Manager để bảo vệ an toàn cho các máy ảo.
Nhiệm vụ đầu tiên mà các quản trị viên CNTT cần phải thực hiện là cung cấp sự an toàn cho cơ sở hạ tầng máy chủ trước khi được thực thi thực trong môi trường sản xuất. Hyper-V là một trong số đó. Có rất nhiều quản trị viên CNTT đều không biết cách thực thi một môi trường Hyper-V an toàn. Điều này không phải do lỗi từ phía các quản trị viên mà chính là do Hyper-V vẫn còn rất mới trong thế giới ảo hóa. Hay nói một cách khác, so với Vmware thì Hyper-V có tuổi đời ít hơn rất nhiều. Công nghệ mới này có chứa nhiều điểm khác biệt so với đối thủ cạnh tranh của nó. Cho ví dụ, Vmware sử dụng kiến trúc Monolithic VMM, trong khi đó Hyper-V sử dụng kiến trúc Microkernelized VMM. Sự khác biệt cũng có thể nằm trong kiến trúc bảo mật.
Hyper-V không có công cụ đi kèm để sử dụng cho việc bảo vệ máy ảo mà thay vào đó, nó sử dụng một thành phần của Windows có tên Authorization Manager giúp bảo mật cho các máy ảo và Hyper-V. Authorization Manager là một thành phần có trong Windows Server 2008 và được kích hoạt mặc định. Vấn đề bảo mật ở đây có liên quan đến tất cả khía cạnh. Cho ví dụ, bảo mật các hệ điều hành có liên quan đến bảo mật các file hệ điều hành (chẳng hạn như các file DLL và OCX). Tương tự như vậy, với Hyper-V, bạn cũng nên biết những gì cần bảo mật khi muốn bảo mật Hyper-V và các máy ảo của mình (ví như bạn muốn bảo mật các máy ảo hay toàn bộ môi trường Hyper-V?).
Tuy nhiên việc bảo mật các máy ảo không liên quan nhiều đến việc quản trị. Bạn chỉ cần biết cách sử dụng Authorization Manager và thực hiện một số nhiệm vụ bảo mật. Để bảo mật cho toàn bộ môi trường Hyper-V, bạn phải biết mọi thứ về Hyper-V, cần phải biết được nơi Hyper-V copy tất cả các file của nó, tất cả các cổng được mở cho các dịch vụ đang chạy trên Hyper-V và cấu hình mặc định của Hyper-V.
Chúng tôi sẽ giới thiệu cho các bạn chi tiết về các chủ đề dưới đây trong loạt bài này:

• Cấu hình mặc định Hyper-V và việc bảo vệ file, thư mục
• Máy ảo và các đặc quyền NTFS
• Tổng quan và bảo mật các dịch vụ của Hyper-V
• Các Rule và cấu hình tường lửa của Hyper-V
• Bảo mật Hyper-V và các máy ảo bằng Authorization Manager
• Ví dụ về bảo mật Hyper-V bằng Authorization Manager
• Một số thực hành bảo mật tốt nhất

Cấu hình mặc định của Hyper-V và việc bảo mật file, thư mục
Các quản trị viên cần phải biết được cấu hình mặc định của Hyper-V. Đầu tiên, chúng tôi sẽ giới thiệu đến việc bảo mật các thư mục mà ở đó có chứa các máy ảo VHD và các file cấu hình (XML).
Khi kích hoạt Hyper-V role trên Windows Server 2008 lần đầu, chương trình sẽ tạo một vài thư mục và copy nhiều file trong nó. Ở đây chúng ta cần phải biết được location mặc định cho việc lưu các máy ảo và các file cấu hình trước khi bắt tay vào thực hiện bảo mật cho Hyper-V.


%SystemRoot%ProgramDataMicrosoftWindowsHyper-VVirtual Machines %SystemRoot%ProgramDataMicrosoftWindowsHyper-VVirtual Hard Disks %SystemRoot%ProgramDataMicrosoftWindowsHyper-VSnapshots


Mặc định, Hyper-V sử dụng các thư mục ở trên để lưu các file cấu hình máy ảo cũng như VHD và các snapshot có liên quan đến các máy ảo. Bạn phải thay đổi location mặc định trước khi chuyển Hyper-V sang môi trường sản xuất. Cách tốt nhất là nên thay đổi location mặc định cho việc lưu VHD, XML và các file Snapshot vào SAN drive.
Khi bạn cài đặt Hyper-V Role, một nhóm bảo mật đặc biệt mang tên "Virtual Machines" sẽ được tạo. Nhóm bảo mật này gồm có các GUID của tất cả máy ảo đã được đăng ký với Hyper-V Server, và nó có quyền truy cập vào thư mục



%SystemRoot%ProgramDataMicrosoftWindowsHyper-VVirtual Machines


đây là thư mục lưu các file cấu hình (XML Files) của các máy ảo. Nếu nhóm bảo mật (Security Group) bị xóa hoặc không có trong tab Security của thư mục máy ảo thì bạn không thể truy cập vào các máy ảo đang chạy trên Hyper-V. Quá trình VMMS.EXE chịu trách nhiệm quản lý sự truy cập cho tất cả các máy ảo, sử dụng nhóm bảo mật "Virtual Machines" để tăng sự truy cập vào các máy ảo trên Hyper-V Server.
Mặc định, các đặc quyền bảo mật trên thư mục


Hyper-VVirtual Machines


như thể hiện dưới đây:

Các đặc quyền bảo mật mặc định trên thư mục Virtual Machines

Tối thiểu, cần giữ các nhóm bảo mật được đề cập bên dưới trong property của thư mục


Hyper-VVirtual Machines: SYSTEM Account -Full Control Administrators -Full Control Virtual Machines -Special Permissions


Mặc định, Hyper-V không cho phép bất cứ ai truy cập các máy ảo ngoại trừ SYSTEM Account và Local Administrators Account. Điều này hoàn toàn rõ ràng trong hình ở trên. Local Administrators Security Group được bổ sung vào kho lưu trữ các chính sách của Authorization Manager và nó được trao quyền kiểm soát toàn bộ trên Hyper-V, gồm có cả các máy ảo đang chạy trên nó.
Các thiết lập bảo mật tương tự, được thể hiện trong hình trên, sử dụng cho thư mục Hyper-Vsnapshots.
Mẹo: Nếu bạn muốn không cho người dùng hoặc quản trị viên tạo các máy ảo trên Hyper-V Server, hãy remove nhóm bảo mật đặc biệt "Virtual Machines" khỏi thư mục:


Hyper-VVirtual Machines
Thư mục tiếp theo cần bảo mật trên Hyper-V là
Hyper-VVirtual Hard Disks


Việc bảo mật thư mục này có ý nghĩa quan trọng hơn so với thư mục có chứa các file XML vì Hyper-V hỗ trợ các máy ảo dưới định dạng VHD. Các định dạng VHD này có thể được sử dụng với các phiên bản trước đây của phần mềm ảo hóa. Người dùng không thẩm định truy cập vào các file VHD đều có thể copy file VHD và sử dụng nó với Virtual Server hoặc Virtual PC. Các thiết lập mặc định trên thư mục
Hyper-VVirtual Hard Disks
thể hiện như những gì bên dưới:

Các đặc quyền bảo mật mặc định trên thư mục Virtual Hard Disks

Để thắt chặt hơn vấn đề bảo mật cho thư mục có chứa VHD, bạn có thể remove nhóm bảo mật Users đã được thêm khi kích hoạt Hyper-V Role ban đầu. Tối thiểu, bạn nên giữ các nhóm bảo mật dưới đây trong tab Security:


SYSTEM - Full Control Administrators - Full Control Authenticated Users - Read & Execute


Cách bảo mật truy cập máy ảo bằng DACL
Authorization Manager, thành phần sẽ được chúng tôi giới thiệu ở phần sau, là một công cụ chính cho việc bảo mật truy cập máy ảo. Tuy nhiên các bạn cũng có thể cấu hình DACL trên thư mục máy ảo để bảo mật cho các máy ảo đang chạy trên Hyper-V. Cách thức bảo mật này được thực hiện bằng cách sử dụng các đặc quyền NTFS.

Bảo mật truy cập máy ảo bằng DACL

Như những gì các bạn thấy trong hình trên, tổ chức thể hiện có hai nhóm: nhóm phát triển và nhóm Test. Hai nhóm bảo mật đã được tạo cho mỗi đội - Dev Team và Test Team. Nhóm phát triển Development chịu trách nhiệm viết mã, sau đó chuyển giao chúng cho nhóm Test để thực hiện kiểm tra. Nhóm phát triển phải truy cập tất cả 10 máy ảo (lấy ví dụ). Tại cùng thời điểm đó, phải bảo đảm cho nhóm Test không truy cập đến các máy ảo của họ, ngoại trừ TVM1 đến TVM5. Để thực hiện điều đó, hãy gán các đặc quyền NTFS trên các thư mục máy ảo.
Trong ví dụ này, có ba thư mục máy ảo:

1. X:Virtual Machines
2. X:Virtual MachinesDevelopmentTeamVirtualMachines
3. X:Virtual MachinesTestTeamVirtualMachines

Nhóm phát triển được gán đặc quyền kiểm soát toàn bộ trên thư mục 2 và 3, còn nhóm Test được gán đặc quyền toàn bộ chỉ trên thư mục 3. Đôi khi nhóm Test thậm chí còn không có đặc quyền đọc trên thư mục 3.
Tổng quan các dịch vụ và việc bảo mật các dịch vụ của Hyper-V
Hyper-V là một ứng dụng client/server. Hyper-V có ba dịch vụ mặc định bên dưới:




Tên dịch vụ Chức năng
Nội dung bảo mật
Cấu hình nên đặt
Virtual Machine Management Service
Manages overall Hyper-V environment
SYSTEM Account
Default
Hyper-V Image Management Service
Management of Virtual Hard Disks
Network Service
Default
Hyper-V Network Management Service
Management of Hyper-V Virtual Networking
SYSTEM Account
Default






Các dịch vụ ở trên được cấu hình khởi chạy hoàn toàn tự động dưới nội dung bảo mật SYSTEM Account. Tài khoản theo đó mà các dịch vụ này chạy có đặc quyền cao nhất trên hệ thống. Bạn không nên thay đổi tài khoản bên dưới nội dung mà chúng chạy. Nếu thay đổi, hacker hoặc mã độc có thể tấn công vào các máy ảo hoặc Parent Partition của Hyper-V. Mật khẩu tài khoản SYSTEM cũng cần phải được đảm bảo bí mật. Việc chạy các dịch vụ này trong một tài khoản người dùng miền sẽ không an toan chút nào vì lúc này hacker có thể tìm ra mật khẩu bằng các phần mềm.


Kết luận



Trong phần này, chúng tôi đã giới thiệu cho các bạn về cách Hyper-V lưu các file VHD và các file XML trên ổ đĩa hệ thống như thế nào. Một điểm cần nhấn mạnh trong bài là các bạn nên thay đổi location mặc định để lưu VHD và XML vào SAN Drive, sau đó thực hiện bảo mật bằng cách gán các đặc quyền NTFS. Trong phần chúng tôi cũng đã cung cấp một ví dụ về cách bảo mật truy cập máy ảo bằng cách sử dụng các đặc quyền NTFS.



Văn Linh (Quản trị mạng,Serverwatch)