Quando i dischi condivisi "perdono" i dati su altre macchine virtuali e in che modo viene mitigato?

Question

Quando i dischi condivisi "perdono" i dati su altre macchine virtuali e in che modo viene mitigato?

#1 da (2 voti)
#2 da (1 voti)

14

Ispirato da questa risposta , vorrei sapere quali sono le comuni minacce e tecniche di mitigazione utilizzate per prevenire una VM da perdite di dati a un altro tramite l'infrastruttura di storage condiviso.

Possibili scenari vulnerabili includono

EMC SAN che promuovono / abbassano i dati da SATA a FLASH basati su IOPS
Un server che tenta di cancellare la cancellazione potrebbe non cancellare entrambe le posizioni dei dati promossi
VM che allocano spazio su richiesta su un VMDK in espansione
API del sistema operativo nativo in grado di leggere partizioni raw
Errori IO che fungono da Oracle per esporre segreti
Archiviazione dei dati crittografati e della chiave sulla stessa VM (Bitlocker)
Una variante di riga martello (un exploit di memoria condivisa) per i blocchi I / O del disco

Possibili attenuazioni potrebbero includere

Il server che utilizza un'interfaccia REST strutturata che nasconde lievi errori IO (ad esempio, non riesco a pensare a come un blob Cloud o Page Azure può esporlo)
Sulla crittografia del disco gestita dal sistema operativo (Bitlocker)
Un hypervisor che azzera automaticamente i dati al rilascio dell'host

Il mio obiettivo è quello di creare una lista di controllo in modo da poter indagare sia sui grandi nomi (Azure, Amazon, Rackspace, Google Apps, EMC, ecc.) che su negozi di nicchia indipendenti per scenari di coda lunga.

virtualization azure risk-management disk-encryption bitlocker

posta random65537 22.05.2015 - 17:42

fonte

2 risposte

Leggi altre domande sui tag virtualization azure risk-management disk-encryption bitlocker

In che modo le grandi aziende proteggono le loro chiavi private (code-signing)? Google può leggere la mia mente? [chiuso]

score 2 · Answer 1

I provider di cloud possono fornire hardware a tenant singolo in modo che le VM siano isolate da altri clienti e clienti. Un certo numero di regolatori finanziari si aspetta che questo sia abilitato per i dati confidenziali / regolamentati quando conservati nel cloud.

Ad esempio, Amazon AWS ha il concetto di "istanza dedicata" ( link )

Se selezioni questa opzione le tue istanze EC2 si troveranno su hardware dedicato per il tuo account, ovviamente paghi un premio per questo servizio con il vantaggio di ridurre gli attacchi ai canali laterali contro la tua infrastruttura condivisa a livello di sistema operativo.

score 1 · Answer 2

Dipende anche dal tuo sistema di archiviazione.

Ad esempio, se si dispone di deduplicazione, le macchine virtuali guest potrebbero essere in grado di stabilire se sono già memorizzati blocchi di dati noti, ad esempio: (1) creare una VM e memorizzare 10.000 file di riferimento; (2) creare un'altra VM e memorizzare 30.000 file campionati senza sostituzione da (A) i 10.000 file di riferimento su VM 1, (B) 10.000 nuovi file di riferimento e (C) 10.000 file di test; (3) osservare il tempo per scrivere; (4) osservare il tempo per leggere, ripetere; (5) apprendere un modello per prevedere l'appartenenza alla classe A o B dai tempi di scrittura e lettura osservati; (6) applicare il modello per fare previsioni per i file dall'insieme C; è probabile che i file che si prevede appartengano alla classe A siano già nel sistema di archiviazione; i file previsti per appartenere alla classe B sono probabilmente file nuovi.

Mitigazione:

aumenta la dimensione della memoria del primo livello in modo che la deduplicazione venga avviata solo dopo il passo 4
offre la crittografia (o la disattivazione della deduplicazione) per le macchine virtuali che devono proteggere i loro contenuti da questo attacco
crittografare le VM non attendibili (o escluderle dalla deduplicazione) in modo che non possano attaccare le altre macchine virtuali in questo modo