È stato segnalato nei media e alcune mailing list per la sicurezza che alcuni server, implementazioni e marchi abilitati IPMI presentano gravi problemi di sicurezza.
Quando vai da un fornitore di server dedicato a noleggiare un server non gestito preconfigurato con IPMI (indipendentemente dal fatto che sia abilitato o meno per il tuo uso), quali sono le cose da cercare, dal punto di vista della sicurezza?
Mi aspetto che i problemi a cui ci si riferisce sia il problema numero zero infame . Se stai affittando un server dedicato con questa funzionalità, un'opzione sarebbe quella di completare una scansione di vulnerabilità del server, per vedere se è vulnerabile. Nessus ha sicuramente un controllo per questo problema e Metasploit ha anche moduli per rilevarlo (hanno dettagli sul problema e i moduli qui )
Un punto chiave prima di eseguire la scansione del server è ottenere il permesso (per iscritto) dalla società di hosting per la scansione. La maggior parte delle aziende che ho visto vanno bene con questo tipo di scansione finché ricevono una notifica.
Suggerirei di dare un'occhiata al modo in cui la società gestisce i rapporti sulle vulnerabilità e alla loro risposta a tali rapporti.
La società dovrebbe fornire un modo sicuro e privato per segnalare le vulnerabilità, ad esempio un'e-mail di risposta alla sicurezza dedicata e una chiave PGP per la crittografia dei report, e dovrebbero fornire questo in una posizione facile da trovare. Non dovrebbero nemmeno perseguitare le persone che trovano queste vulnerabilità e segnalarle, come alcune aziende hanno cercato di fare in precedenza.
Per i rapporti sugli incidenti, dovrebbero rispondere rapidamente, come linea guida entro 48 ore dal rapporto, alla persona che ha segnalato la vulnerabilità. Se possibile, una patch temporanea dovrebbe essere rilasciata al più presto (come FixIts di Microsoft), e una più permanente rilasciata in seguito che rimuove completamente la causa della vulnerabilità. La società dovrebbe anche fornire un modo per mantenere aggiornati i propri clienti su problemi di sicurezza nei propri prodotti, come una mailing list, e tenerli aggiornati regolarmente.
Leggi altre domande sui tag hardware server remote-server