Trügerische Sicherheit: Virtualisierung genügt nicht

Auch die Marktforscher von Gartner bilanzieren, Virtualisierung sei alles andere als eine per se sichere Technologie. Damit Unternehmen mit der Flut an neuen Lösungen umgehen können, empfehlen die Auguren einige Sicherheitsregeln.

Zunächst sollten die betroffenen Unternehmen ihre administrativen Zuständigkeiten sinnvoll aufteilen. Es gilt Aspekte wie das Patching, Aktualisieren von Signaturen und die Sabotage-Sicherung für den Offline-Betrieb der virtuellen Maschinen zu regeln.

Das Patching sowie das „Confirmation Management“ der VMs auf die unterliegenden Betriebssysteme sollten eine hohe Eintrittsbarriere bilden. Die Rechteverwaltung gelte es mit einer begrenzten Einsicht in die Host-Betriebssysteme und virtuellen Netzwerke auszustatten, um eventuelle Schwachstellen rechtzeitig aufzuspüren.

Auch die eingeschränkte Sicht auf den Datenfluss zwischen den VMs während der Inspektion durch Intrusion-Prevention-Systeme gilt es nach Auffassung von Gartner zu berücksichtigen. Und schließlich gehörten zu den Aufgaben beim Absichern auch gesonderte Sicherheitsrichtlinien für mobile virtuelle Maschinen.

Eine Standardbeschreibung der Security-Anforderungen aus dem vergangenen Jahr findet sich auf der Internet-Plattform virtualization.info, die regelmäßig über die neuesten Trends in der Industrie informiert. Noch aktueller ist das Whitepaper mit Guidelines zur Virtual Machine Security vom September 2007. Wertvolle Tipps zur Absicherung virtueller Vmware-Maschinen gibt zudem ein aktueller Benchmark des Centers for Internet Security, einer amerikanischen Non-Profit-Organisation.