Una macchina Windows virtualizzata senza accesso a Internet necessita di aggiornamenti (di sicurezza)?

Question

Una macchina Windows virtualizzata senza accesso a Internet necessita di aggiornamenti (di sicurezza)?

#1 da (2 voti)
#2 da (2 voti)

3

Recentemente ho visto un computer Windows 7 (praticamente in esecuzione in un ambiente Xen) e utilizzato in una rete di produzione per eseguire determinate attività automatizzate.

Questo sistema mancava a oltre 100 aggiornamenti di Windows inclusi gli aggiornamenti critici di sicurezza. La spiegazione che ho ricevuto dall'amministratore di sistema è che questo sistema è accessibile solo in due casi:

Sulla console Xen quando è connesso alla rete privata virtuale di gestione (VPN).
Quando connesso alla VPN di produzione su Windows Remote Desktop (RDP), utilizzando l'autenticazione a due fattori (2FA, Vasco Tokens) che esegue l'autenticazione su una directory attiva (AD).

Tutti i server nella rete di produzione sono dietro un Barracuda NG Firewall.

Secondo lui, il lavoro e gli aggiornamenti non sono necessari perché il firewall blocca tutto il traffico Internet in entrata e in uscita da e verso quella macchina.

È innaturale non aggiornarsi anche quando la macchina è "isolata". Quindi, una macchina Windows virtualizzata senza accesso a Internet necessita di aggiornamenti e quali sono i potenziali rischi quando questa macchina non viene aggiornata in questo caso?

Nota: ho permesso al firewall di consentire alla macchina di connettersi ai server di aggiornamento Microsoft per recuperare un elenco degli aggiornamenti mancanti. Le connessioni Internet in entrata e in uscita da / verso questa macchina sono tutte bloccate di nuovo nel firewall.

windows vpn firewalls updates patching

posta Bob Ortiz 29.07.2016 - 17:24

fonte

2 risposte

2

Sono d'accordo con mootmoot, non esiste un sistema chiuso se parla con altre macchine / c'è più di una persona che vi accede.

Potresti avere un problema se qualcuno viola il server xen, se qualcuno riceve le chiavi della VPN, se qualcuno raggiunge la macchina host con una chiavetta USB ...

Il VM è in una posizione relativamente isolata, ma ci sono ancora dei canali IO collegati ad esso e un canale IO è sempre un potenziale vettore di attacco.

Aggiornalo dopo averlo eseguito il backup. Più sicurezza è meglio.

risposta data 30.07.2016 - 01:20

fonte

Leggi altre domande sui tag windows vpn firewalls updates patching

Security-by-design basato su un framework esistente o su un design personalizzato? Questa vulnerabilità di overflow di interi può essere sfruttata?

score 2 · Accepted Answer

Entrambi avete un punto, quindi ecco alcune domande da considerare. Le mie risposte a queste domande pesano sul lato delle patch.

Quando qualcuno si collega ad una di queste VPN, quali controlli ci sono che cosa può essere trasferito? Qualsiasi modo di trasferire dati su una macchina è un modo per ottenere il codice dannoso. Ciò include anche la digitazione (anche se spero che i tuoi amministratori siano un po 'più sofisticati di quelli che hanno indotto a digitare "rm -rf /" su una casella unix).

La sicurezza a livelli suggerirebbe che le macchine hanno una capacità di base di prendersi cura di se stesse, ma sta aprendo una connessione di qualche tipo al mondo esterno peggio di nessuna connessione? Che dire delle vulnerabilità negli strumenti che usi per connetterti.

Non dimenticare che gli aggiornamenti non sono solo aggiornamenti di sicurezza. Potresti volere degli aggiornamenti che influiscano sulla stabilità per essere installati (ma come con qualsiasi sistema di produzione dovresti testarli per primi).