Skip to content

Commit 6e3ffcf

Browse files
Jessica FankamJessica Fankam
Jessica Fankam
authored and
Jessica Fankam
committed
update DE guide
1 parent 798cea6 commit 6e3ffcf

File tree

1 file changed

+302
-0
lines changed

1 file changed

+302
-0
lines changed

‎pages/cloud/dedicated/esxi-hardening/guide.de-de.md

Lines changed: 302 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,302 @@
1+
---
2+
title: ‚Beherrschen und sichern Sie Ihren dedizierten ESXi Server ab dem ersten Start'
3+
slug: esxi-hardening
4+
excerpt: 'Entdecken Sie die verschiedenen Möglichkeiten, um Ihren dedizierten ESXi-Server wirksam zu schützen'
5+
section: 'Sicherheit'
6+
order: 5
7+
updated: 2023-03-22
8+
---
9+
10+
**Letzte Aktualisierung am 22.03.2023**
11+
12+
## Ziel
13+
14+
In dieser Anleitung erfahren Sie, wie Sie die Sicherheit Ihres ESXi-Systems optimieren.
15+
16+
Insbesondere zeigt dieser Leitfaden, wie:
17+
18+
- Den Zugang zu Ihrem ESXi auf eine bestimmte IP-Adresse oder einen bestimmten Netzwerkbereich beschränken
19+
- Dienste deaktivieren, die die Angriffsfläche Ihres Servers erhöhen.
20+
21+
Wir werden uns dabei auf die bordeigenen Funktionen von VMware, aber auch die von OVHcloud, stützen.
22+
23+
> [!warning]
24+
>
25+
> In jüngster Zeit wurden die ESXi-Systeme Opfer einer Sicherheitslücke, die von böswilligen Gruppen sehr schnell über öffentliche Netzwerke ausgenutzt wurde.
26+
>
27+
> Weitere Informationen zu diesem Angriff finden Sie in einer zusätzlichen [FAQ (EN)](https://docs.ovh.com/gb/en/dedicated/esxi-faq/).
28+
>
29+
30+
### Bewährte Sicherheitspraktiken:
31+
32+
- Aktualisieren Sie Ihre ESXi-Systeme regelmäßig.
33+
- Beschränken Sie den Zugriff auf vertrauenswürdige IP-Adressen.
34+
- Deaktivieren Sie die Ports und die nicht genutzten Dienstleistungen.
35+
- Stellen Sie sicher, dass der Zugang zu Ihren Servern oder Netzwerkgeräten durch robuste Passwörter eingeschränkt, kontrolliert und geschützt ist.
36+
- Sichern Sie Ihre kritischen Daten auf externen Festplatten und Backup-Servern, die geschützt und vom Internet isoliert sind.
37+
38+
**Optional**:
39+
40+
- Installieren Sie die notwendigen Protokollierungslösungen, um die Ereignisse auf Ihren kritischen Servern und Netzwerkgeräten zu überwachen.
41+
- Erstellen Sie Sicherheitspakete für die Erkennung böswilliger Aktionen, Einbrüche (IPS / NDS) und die Überwachung der Netzwerktraffic-Bandbreite.
42+
43+
## Voraussetzungen
44+
45+
- Sie sind in Ihrem [OVHcloud Kundencenter](https://www.ovh.com/auth/?action=gotomanager&from=https://www.ovh.de/&ovhSubsidiary=de){.external} angemeldet.
46+
- Sie verfügen über einen dedizierten Server mit der deployten ESXi-Lösung.
47+
- Sie haben ein Angebot abonniert, das mit unserer [Network Firewall-Funktion](https://docs.ovh.com/de/dedicated/firewall-network/) kompatibel ist, wenn Sie dieses für die Filterung verwenden möchten.
48+
49+
## In der praktischen Anwendung
50+
51+
### Nativer Einbruchsschutz
52+
53+
Hinweis auf seine Definition und sein Funktionsprinzip:
54+
55+
> [!primary]
56+
>
57+
> Das ESXi-System verfügt über einen Sicherheitsmechanismus, der mit dem Administratorkonto verbunden ist.
58+
> Bei mehreren irreführenden Zugriffsversuchen wird der Administratoraccount temporär gesperrt.
59+
> Dieser Mechanismus schützt Ihr System und verhindert so böswillige Verbindungen.
60+
61+
> [!warning]
62+
>
63+
> Wenn dieses System aktiviert wird und Sie sich sofort mit Ihrem ESXi verbinden möchten, müssen Sie den Administratoraccount manuell entsperren.
64+
>
65+
> Dazu müssen Sie Ihren ESXi-Server über das OVHcloud Kundencenter [neu starten](https://docs.ovh.com/de/dedicated/erste-schritte-dedicated-server/#neustart-ihres-dedicated-servers_1).
66+
>
67+
68+
Sie können die Zugriffs-Logs über einen SSH-Shell in folgenden Dateien einsehen:
69+
70+
- `/var/run/log/vobd.log` enthält die Logs, die für die Überwachung und Problemlösung verwendet werden können:
71+
72+
```
73+
2023-02-13T16:22:22.897Z: [UserLevelCorrelator] 410535559us: [vob.user.account.locked] Remote access for ESXi local user account 'root' has been locked for 900 seconds after 6 failed login attempts.
74+
2023-02-13T16:22:22.897Z: [GenericCorrelator] 410535559us: [vob.user.account.locked] Remote access for ESXi local user account 'root' has been locked for 900 seconds after 6 failed login attempts.
75+
2023-02-13T16:22:22.897Z: [UserLevelCorrelator] 410535867us: [esx.audit.account.locked] Remote access for ESXi local user account 'root' has been locked for 900 seconds after 6 failed login attempts.
76+
```
77+
78+
- `/var/run/log/hostd.log` enthält die Logs des ESXi-Hosts (Tasks, Zugang zum WEB-Interface etc.):
79+
80+
```
81+
2023-02-21T08:44:19.711Z error hostd[2101004] [Originator@6876 sub=Default opID=esxui-d48c-26a4] [module:pam_lsass]pam_do_authenticate: error [login:root][error code:2]
82+
2023-02-21T08:44:19.711Z error hostd[2101004] [Originator@6876 sub=Default opID=esxui-d48c-26a4] [module:pam_lsass]pam_sm_authenticate: failed [error code:2]
83+
2023-02-21T08:44:19.712Z warning hostd[2101004] [Originator@6876 sub=Default opID=esxui-d48c-26a4] Rejected password for user root from xxx.xxx.xxx.xxx
84+
2023-02-21T08:44:19.712Z info hostd[2101004] [Originator@6876 sub=Vimsvc.ha-eventmgr opID=esxui-d48c-26a4] Event 175 : Cannot login [email protected]
85+
```
86+
87+
Alle Informationen sind auch über das Web-Administrations-Interface verfügbar. Klicken Sie auf das `Host`-Menü {.action} und gehen Sie in den Bereich `Monitor`{.action} und klicken Sie dann auf `Logs`{.action}.
88+
89+
![interface](images/gui_logs_.png){.thumbnail}
90+
91+
### Die Network Firewall Lösung
92+
93+
> [!primary]
94+
>
95+
> Zur Erinnerung: Network Firewall wird innerhalb des OVHcloud Netzwerks nicht berücksichtigt. Die konfigurierten Regeln haben daher keine Auswirkungen auf die Verbindungen aus diesem internen Netzwerk.
96+
>
97+
98+
Wir schlagen Ihnen vor, unsere Network Firewall Filterlösung zu [aktivieren und zu verwenden](https://docs.ovh.com/de/dedicated/firewall-network/).
99+
Mit dieser Lösung können Sie die legitimen Zugänge, die Sie über Ihr ESXi-System eingerichtet haben, problemlos verwalten.
100+
101+
Sie vermeiden es auch, Ihren Administrator-Account im Falle eines Angriffs unbeabsichtigt zu sperren.
102+
103+
Es wird daher empfohlen, die legitimen Zugänge wie folgt zu filtern:
104+
105+
- Die Regel 1 (Priority 0) erlaubt es externen vertrauenswürdigen Netzwerken, Zugang zu Ihrem ESXi-System zu erhalten.
106+
- Die Regel 2 (Priority 1) blockiert alles andere.
107+
108+
![Network_Firewall](images/firewall_network_.png){.thumbnail}
109+
110+
### Filterung unter ESXi
111+
112+
> [!primary]
113+
>
114+
> Sie haben auch die Möglichkeit, die Zugriffe auf Ihr ESXi-System über die integrierte Firewall zu filtern.
115+
> Sie können auch unnötige Dienstleistungen entsprechend Ihrer Nutzung deaktivieren.
116+
>
117+
118+
> [!warning]
119+
>
120+
> Die Deaktivierung der **SSH** und **SLP**-Dienste wird dringend empfohlen.
121+
> Wenn Sie den SSH-Dienst trotzdem weiterhin verwenden, minimieren Sie dessen Verwendung und Zugriff.
122+
> Das gilt auch für den Zugang zum **Shell**.
123+
> Predigen Sie nur das Notwendige für jeden Ihrer Bedürfnisse.
124+
125+
#### Manipulation über das grafische Interface
126+
127+
**Dienste**
128+
129+
Klicken Sie auf das `Host`-Menü{.action} und gehen Sie in den Bereich `Manage`{.action} und klicken Sie dann auf `Services`{.action}.
130+
131+
Finden Sie in der Liste den `TSM-SSH`-Dienst und klicken Sie mit der rechten Maustaste auf die zugeordnete Leitung.
132+
133+
Beenden Sie die Dienstleistung, indem Sie auf `Stop`{.action} klicken:
134+
135+
![services_ssh](images/stop_service.png){.thumbnail}
136+
137+
Wählen Sie die `Policy` aus und ändern Sie sie entsprechend dem angezeigten Beispiel.
138+
139+
Wählen Sie die Option `Start and stop manually`{.action} , um zu vermeiden, dass der Dienst beim Start des Servers aktiv ist.
140+
141+
![services_ssh](images/ssh_disabled_.png){.thumbnail}
142+
143+
Verwenden Sie die gleichen Einstellungen für den `slpd` Dienst:
144+
145+
![services_slp](images/slpd_.png){.thumbnail}
146+
147+
**Firewall-Regeln**
148+
149+
Klicken Sie auf das Menü `Networking`{.action} und dann auf `Firewall`{.action} rules und wählen Sie `Edit settings`{.action} für jeden der zu schützenden Dienste aus:
150+
151+
![rules](images/firewall_web_.png){.thumbnail}
152+
153+
Bearbeiten Sie die Regel, um nur die IP-Adressen oder Netzwerke hinzuzufügen, die Zugriff auf Ihr ESXi-System haben müssen.
154+
155+
Beispiel, das ausschließlich Verbindungen über IP 192.168.1.10 erlaubt:
156+
157+
![custom](images/custom_fw_rule.png){.thumbnail}
158+
159+
#### Manipulation via Shell
160+
161+
**Dienste**
162+
163+
Deaktivieren Sie unnötige Dienstleistungen:
164+
165+
- Service SLP
166+
167+
```bash
168+
/etc/init.d/slpd stop
169+
esxcli network firewall ruleset set -r CIMSLP -e 0
170+
chkconfig slpd off
171+
```
172+
173+
- SSH-Dienst
174+
175+
```bash
176+
/etc/init.d/SSH stop
177+
esxcli network firewall ruleset set -r sshServer -e 0
178+
chkconfig SSH off
179+
```
180+
181+
Überprüfen Sie alle aktiven Dienste beim Start:
182+
183+
```bash
184+
chkconfig --list | grep on
185+
```
186+
<br/>
187+
<br/>
188+
189+
**Firewall-Regeln**
190+
191+
Bestehende Firewall-Regeln anzeigen:
192+
193+
```bash
194+
esxcli network firewall ruleset list
195+
esxcli system account list
196+
```
197+
198+
> Erläuterungen zu den Änderungen/Anpassungen der Zugangsregeln:
199+
>
200+
> - `vSphereClient` Dienst: Diese Dienstleistung entspricht dem WEB-Administrations-Interface auf Port 443 (HTTPS).
201+
> - Der `SSHserver` Dienst: Diese Dienstleistung entspricht dem SSH-Zugang auf Port 22.
202+
203+
Beispiel mit dem vSphereClient-Dienst:
204+
205+
```bash
206+
esxcli network firewall ruleset list --ruleset-id vSphereClient
207+
```
208+
209+
Stellen Sie sicher, dass die Firewall-Regel aktiv ist:
210+
211+
```bash
212+
esxcli network firewall ruleset set --ruleset-id vSphereClient --enabled true
213+
```
214+
215+
Geben Sie die Liste der für diese Regel autorisierten IPs an:
216+
217+
```bash
218+
esxcli network firewall ruleset allowedip list --ruleset-id vSphereClient
219+
```
220+
221+
Ergebnis:
222+
223+
```
224+
Ruleset Allowed IP Addresses
225+
------------- --------------------
226+
vSphereClient All
227+
```
228+
229+
Ändern Sie den Status des Tags, indem Sie diesen deaktivieren:
230+
231+
```bash
232+
esxcli network firewall ruleset set --ruleset-id vSphereClient --allowed-all false
233+
```
234+
235+
Erlauben Sie ausschließlich die legitime IP-Adresse 192.168.1.10:
236+
237+
```bash
238+
esxcli network firewall ruleset allowedip add --ruleset-id vSphereClient --ip-address 192.168.1.10
239+
```
240+
241+
Überprüfen Sie das Vorhandensein der Adresse in der Zugangsliste:
242+
243+
```bash
244+
esxcli network firewall ruleset allowedip list --ruleset-id vSphereClient
245+
```
246+
247+
Ergebnis:
248+
249+
```
250+
Ruleset Allowed IP Addresses
251+
------------- --------------------
252+
vSphereClient 192.168.1.10
253+
```
254+
<br/>
255+
<br/>
256+
257+
Wenn Sie den SSH-Dienst trotzdem verwenden möchten, erklären wir Ihnen hier, wie Sie einen SSH-Schlüssel-Zugang einrichten.
258+
259+
Erzeugen Sie die Schlüssel auf dem Rechner, der sich mit dem ESXi-Server verbinden soll. Der Algorithmus **ECDSA** mit 521 Bit ist für maximale Sicherheit zu bevorzugen:
260+
261+
> [!warning]
262+
> Die Authentifizierung funktioniert mit einem Schlüsselpaar: einem öffentlichen und einem privaten Schlüssel.
263+
> Geben Sie Ihren **privaten** Schlüssel unter keinen Umständen weiter, er muss auf dem Rechner bleiben, auf dem er generiert wurde.
264+
265+
Führen Sie folgenden Befehl aus:
266+
267+
```bash
268+
ssh-keygen -t ecdsa -b 521 -C "key-ecdsa-esxi-host" -f /path-to-my-key/key-ecdsa
269+
```
270+
271+
```
272+
Generating public/private ecdsa key pair.
273+
Enter file in which to save the key (/path-to-my-key/key-ecdsa_rsa):
274+
```
275+
276+
Geben Sie ein robustes Passwort ein:
277+
278+
```
279+
Enter passphrase (empty for no passphrase):
280+
Enter same passphrase again:
281+
```
282+
283+
Nur der öffentliche Schlüssel (key-ecdsa.pub) muss auf den Maschinen, mit denen Sie sich verbinden möchten, mitgeteilt oder hinterlegt werden.
284+
285+
```
286+
Your identification has been saved in /path-to-my-key/key-ecdsa.
287+
Your public key has been saved in /path-to-my-key/key-ecdsa.pub.
288+
The key fingerprint is:
289+
SHA256:******************************************* key-ecdsa-esxi-host
290+
```
291+
292+
Übertragen Sie den öffentlichen Schlüssel auf Ihren ESXi-Host, damit dieser als vertrauenswürdig deklariert werden kann:
293+
294+
```bash
295+
cat /path-to-my-key/key-ecdsa.pub | ssh root@esxi-host-ip 'cat >> /etc/ssh/keys-root/authorized_keys'
296+
```
297+
298+
## Weiterführende Informationen
299+
300+
Weitere Informationen zu bewährten Sicherheitsverfahren finden Sie in dieser [Anleitung](https://core.vmware.com/security-configuration-guide) von VMware.
301+
302+
Für den Austausch mit unserer User Community gehen Sie auf <https://community.ovh.com/en/>.

0 commit comments

Comments
 (0)