Maszyny wirtualne, jako narzdzia zwikszajce bezpieczestwo serwerów

Transkrypt

1 Maszyny wirtualne, jako narzdzia zwikszajce bezpieczestwo serwerów Krzysztof Leszczyski Centrum Astronomiczne im. Mikołaja Kopernika Polska Grupa Uytkowników Linuxa Wstp: aden z uczestników konferencji Secure nie łudzi si, e istniej systemy, na które nie mona by si włama lub przynajmniej w znaczcy sposób zakłóci ich pracy. Jakikolwiek system operacyjny, dzisiaj bezpieczny, za kilka miesicy moe by przedmiotem bardzo skutecznego ataku. Reguł jest, e im bardziej standardowy system, tym bardziej jest naraony na takie próby. Ta reguła, na szczcie, działa czciowo w drug stron, im bardziej niestandardowe i okrojone rozwizanie, tym trudniej włamywaczowi sobie poradzi. Poniewa zdecydowana wikszo uytkowników systemów podłczonych do sieci stosuje rozwizania,,z półki'' stosujc rozwizanie mniej standardowe moemy zmniejszy, cho nie wyeliminowa, ryzyko. 1. Rozdzielanie usług sieciowych. Na ogół usługi sieciowe: serwer HTTP, serwer FTP, bazy danych, aplikacje, poczta elektroniczna, s zgrupowane na jednym fizycznym serwerze. Przemawiaj za tym zarówno koszty, jak i wygoda instalacji. Niemniej, oczywistym jest, e pomijajc sprawy finansowe oraz wygody administracji, najlepiej byłoby posadowi kad z usług na oddzielnej maszynie. Maszyna obsługujca FTP nie potrzebuje adnych zasobów oprócz samego serwera FTP, przestrzeni dyskowej oraz ewentualnie bazy uytkowników wraz z hasłami. W przypadku systemów uniksowych, najlepszym rozwizaniem byłoby uruchamianie ustawie sieciowych oraz serwera FTP wprost z programu init. Wyrónijmy kilka problemów, wystpujcych czsto we współczesnych serwerach sieciowych: 1. Konieczno rozdzielenia usług sieciowych na separowane maszyny. Zapewnianie cigłoci pracy, nawet przy fizycznej awarii sprztu lub awarii oprogramowania. 2. Minimalizacja skutków ewentualnych włama lub awarii, tak aby awaria jednej usługi nie pocigała za sob automatycznej awarii pozostałych usług. 3. Stworzenie wygodnego rodowiska pracy do testowania i aktualizacji oprogramowania. 4. Czasami róne elementy systemu wymagaj rónych systemów operacyjnych. Wida, e dla kadej usługi realizacja punktów 1-4 sprowadza si do koniecznoci instalacji nowego komputera dla kadej z tych usług oraz posiadania dodatkowej maszyny (maszyn) dla testowania aktualizacji, tak by

2 przerwy zwizane rozwijaniem serwisu nie trwały dłuej ni to niezbdne idealnie kilka sekund. Dla podstawowych usług, na przykład poczty, WWW, FTP, bazy danych potrzebowalibymy co najmniej 8 maszyn. To jest znacznie wicej, ni chcielibymy przeznaczy. Z drugiej strony, jeli kady z wirtualnych komputerów by nam zabrał od 0.5 do 2GB dysku oraz 2MB RAM na wirtualne jdro, to wymagania sprztowe staj si całkiem realne nawet dla bardzo ekonomicznych rozwiza. Czsto, zabezpieczajc si przed włamywaczami zapominamy o problemach z samym sprztem. Doskonale zabezpieczony system moe przesta funkcjonowa z powodu zatartego wiatraczka na procesorze. Straty, wynikajce z takiej awarii, s podobne do tych, bdcych skutkiem ataku. Serwer wirtualny, jako system nie zwizany z konkretnym sprztem oraz znacznie taszy od sprztu fizycznego pozwala na łatwiejsze rozwizanie zarówno problemu rozdzielania zada, jak i problemu zabezpieczenia sprztowego. Ewentualne włamanie na serwer wirtualny jest mniej grone w skutkach dla całego systemu oraz łatwiej zauwaalne -- narzdzia ledzce nie musz by uruchomione w tym samym systemie i s niewidoczne dla włamywacza. Stosujc wirtualne systemy operacyjne zyskujemy ponadto moliwo migrowania systemu na inn maszyn fizyczn -- co jest bardzo cenne przy serwisach krytycznych dla naszej działalnoci. Umiejtno zachowania stanu na dysk, niezalenie od stanu systemu operacyjnego, pozwala na minimalizacj szkód przy ewentualnych awariach sprztowych. 2. Dostpne oprogramowanie do budowy maszyn wirtualnych. Symulowa moemy albo cały sprzt, tak aby system nie musiał wiedzie, e pracuje na nierzeczywistym sprzcie, albo tylko stworzy rodowisko wirtualne. W zalenoci od tego, co chcemy uzyska moemy stosowa róne rozwizania. Emulatorów maszyn znamy wiele -- pamitajmy, e nie musi to by maszyna zgodna z PC/x86. Na stronach sourceforge.net, istnieje ponad 40 takich projektów. Wród tych aktywnych projektów, najbardziej znane to bochs, plex86, VMWare oraz XEN i UML bochs emulator sprztu PC bochs jest typowym przedstawicielem emulatorów sprztu.,,udaje'' cały sprzt, łcznie z dyskami, BIOS-em i innymi elementami. W zasadzie mona uruchamia serwery wirtualne programem bochs, ale jest to dosy kosztowne. Po prostu, bochs jest dobrym emulatorem... bardzo wolnego komputera. Z tego powodu, jest on nieocenionym narzdziem do uruchamiania i odpluskwiana systemów i sterowników, oraz do testowania serwerów wirtualnych (ma dobry debugger), ale nie polecałbym go do uruchamiania serwerów produkcyjnych VMWare maszyna wirtualna. VMWare jest bardzo znane wród uytkowników jako doskonały sposób na uruchamianie sesji Microsoft Windows w okienku X11 lub na odwrót -- na uruchamianie Linuxa w okienku Windows. Nadaje si równie do uruchamiania serwerów wirtualnych, niemniej na przeszkodzie staje tutaj cena, ponad 100 USD. W przypadku koniecznoci uruchomienia kilku-kilkunastu serwerów, robi

3 si z tego dua kwota, cho prawdopodobnie mona j przy tych ilociach licencji zredukowa. Problemem waniejszym jest to, e VMWare słuy raczej do uruchamiania pełnych systemów, wraz z dzwikiem, grafik, animacj i skomplikowanymi aplikacjami. Nam nie zaley, eby system umiał w pełni podtrzymywa tak skomplikowane cechy, szczególnie, e kada taka emulacja moe prowadzi do kłopotów z przenonoci. Pomimo tych cech, VMWare jest przydatnym i wygodnym narzdziem do rozwijania oprogramowania serwerów. W dalszej czci skupi si na dwóch rozwizaniach: user-mode Linux oraz XENO-Server 2.3. UML -- User-Mode Linux Projektów wirtualizacji jdra Linuxa wewntrz innego jdra linuksowego było w historii wiele. User-Mode Linux jest realizacj, która przetrwała wiele cikich chwil i wydaje si by, przynajmniej dla jder 2.4.x, stabiln. UML jest bardzo atrakcyjnym rozwizaniem do budowy serwerów linuksowych, gdy charakteryzuje si kilkoma ciekawymi cechami. a) łatwo instalacji -- UML jest po prostu programem linuksowym, który moemy uruchomi jak kady inny program. b) łatwo przygotowania instalacji wirtualnej -- COW. c) brak potrzeby zmieniania Linuxa, słucego do uruchamiania serwerów. d) regularne aktualizacje, na ogół nowa wersja UML jest wydawana równolegle z jdrem głównym Linuxa Instalacja UML. Jak pisałem, UML jest po prostu programem ELF. Ta cecha nie jest adn nowoci. Tak naprawd, od najdawniejszych wersji, kade jdro Linuxa jest programem, który od zwykłych programów róni si nieco sposobem konsolidacji (zwanego argonowo z angielska linkowaniem) oraz sposobem inicjalizacji sprztu. Kompilacja UML przypomina pod kadym wzgldem kompilacj zwykłego jdra linuksowego. Na stronie projektu UML znajdziemy zarówno aktualne łatki dla jder w wersji 2.4.x i dla 2.6.x Konfiguracj jdra, przed kompilacj przeprowadzamy tak samo jak dla zwykłego jdra, specyfikujc jawnie architektur jako um (domylna architektura bdzie i386, dla maszyn PC). make ARCH=um menuconfig W menu głównym wida dwie nowe, interesujce pozycje: konfiguracj cech UML (podkrelone na rysunku), oraz konfiguracj sieci wirtualnych.

4 Konfiguracja jdra UML Podczas konfiguracji, warto zwróci uwag na niektóre przydatne cechy. Wymuszenie kompilacji statycznej (ang. force a static link), wygeneruje nieco wiksze jdro, ale za to pozwoli uruchomi bez potrzeby odwoływania si do standardowych bibliotek systemowych. Budowa jdra statycznego, pozwala na jego uruchomienie w rodowisku chroot(), co zwiksza nieco bezpieczestwo tak uruchomionego systemu.

5 Konfiguracja cech UML W systemach produkcyjnych opcja rozdzielonych przestrzeni adresowych (ang. Separate Kernel Address Spaces -- SKAS) jest w zasadzie obowizkowa. Bez tej opcji, uywanie jdra UML zmniejsza bezpieczestwo systemu, zamiast go zwiksza! Włamywacz, po przejciu maszyny wirtualnej, bdzie mógł stosunkowo łatwymi i, co gorsza, powszechnie znanymi metodami przej kontrol na systemem głównym. Niestety, eby uy opcji SKAS, naley na główne jdro nałoy jeszcze jedn łat (dostpn na stronie UML). Po nałoeniu tej łaty, oprócz wspomnianego załatania dziury, dostajemy za darmo znaczne zwikszenie wydajnoci. Serwer z łat SKAS chodzi tylko kilkakilkanacie procent wolniej od Linuxa, pracujcego na fizycznym sprzcie. Dla uytkowników, chccych prowadzi swojego rodzaju gr w kotka i myszk z włamywaczem, jest jeszcze opcja Honepot ProcFS, pozwalajca udawanie prawdziwego sprztu. Jednak budowanie honeypotów na maszynach produkcyjnych jest raczej ryzykown zabaw i powinno zosta zostawione specjalistom. Honeypoty zdecydowanie wykraczaj poza temat tego referatu i, niestety, poza kompetencje autora równie. 3. Budowa przykładowej sieci wirtualnej. Wyobramy sobie, e chcemy zbudowa całkowicie wirtualn sie, złoon z serwera poczty (SMTP), serwera HTTP, serwera FTP, serwera plików dla uytkowników. Jako maszyny uyjemy serwera PC z pamici co najmniej 1GB.

6 Prdko procesora jest mniej istotna, mona miało załoy, e współczesne Przykładowy serwer wirtualny. procesory bd i tak bardzo szybkie. Maszyna powinna by wyposaona w dowoln z dostpnych współczesnych dystrybucji Linuxa. Powinna mie co najmniej jedn kart sieciow. Pierwszy z uruchamianych procesów jest routerem/firewallem. Oczywicie, prawdopodobnie nasza sie bdzie miała firewall zewntrzny do podłczenia z internetem, niemniej maszyny głównej oraz maszyn wirtualnych nie naley bezporednio podłcza do sieci rozległej. Maszyna główna moe w ogóle nie mie dostpu IP! Pakiety mog by bez analizy przerzucane do wirtualnego firewalla Wirtualny firewall. Firewall jest procesem UML, który ma stosunkowo proste zadanie. Musi rozdziela ruch SMTP do serwera poredniczcego, ruch FTP do serwera FTP niestety tu bdzie potrzebne ledzenie ruchu, gdy protokół FTP nie jest tak prostym protokołem jak SMTP, w czasie sesji s otwierane dodatkowe połczenia, oraz ruch HTTP do odpowiedniego serwera Serwer poredniczcy SMTP. Poniewa maszyny wirtualne s znacznie tasze od maszyn fizycznych (i zajmuj znacznie mniej miejsca), moemy sobie pozwoli na rozdzielenie sesji SMTP na 2 etapy. Serwer poredniczcy, jedynie przyjmuje poczt z Internetu oraz wykonuje jej pobiene sprawdzenie, na przykład wykrycie obecnoci wirusów lub testowanie spamu. Serwer poredniczcy nie ma dostpu do bazy uytkowników ani do plików uytkowników, dlatego ewentualny atak na serwer poredniczcy nie musi by a tak grony w skutkach jak atak na serwer główny. Ilo programów zainstalowanych na serwerze poredniczcym moe by naprawd minimalna, przestrze dyskowa te moe by niewielka, a co

7 najwaniejsze system plików na serwerze poredniczcym moe wyklucza uruchamianie jakichkolwiek programów. W ten sposób przejcie kontroli, bdzie bardzo utrudnione. 3.3 Serwer docelowy SMTP. Serwer docelowy jest połczony z serwerem poredniczcym nie poprzez wirtualny firewall, ale poprzez wirtualne urzdzenie sieciowe, na przykład z protokołem SLIP. Wykorzystujc bezpieczne protokoły pocztowe, na przykład QMTP zamiast SMTP moemy znacznie obniy ryzyko skutecznego ataku. Serwer oczywicie musi mie dostp do zasobów plikowych. 3.4 Serwery FTP i HTTP. Apache moe si składa z wielu serwerów Sam serwer HTTP nie musi by wcale pojedynczym serwerem wirtualnym. Jako serwer dostpny z internetu moe słuy apache z modułem mod_proxy, bd dedykowany serwer proxy, na przykład squid. Konkretne serwery Apache, mog by albo rozdzielonymi procesami, albo wrcz rónymi maszynami wirtualnymi. 4. Wydajno sieci wirtualnych. Taka konfiguracja moe si wydawa nadmiarowa, ale dowiadczenie wskazuje, e jedna maszyna o pamici 1-2GB potrafi bez trudu udwign do około 20 serwerów wirtualnych. Oprócz samego bezpieczestwa, taka konfiguracja daje nam moliwo łatwych zmian w konfiguracjach serwerów dla poszczególnych serwisów na przykład dla poszczególnych domen, bez obawy e zmiany w jednym serwisie, a nawet rekompilacja oprogramowania zepsuj

8 nam pozostałe serwisy. UML chocia potrafi czasami działa bardzo wydajnie, to czasami potrafi spowolni serwis ponad trzykrotnie. XEN jest szybszy. 5. XEN UML Linux wystarcza, jeli chcemy zbudowa maszyn zawierajc duo wirtualnych systemów opartych o Linuxa cho niekoniecznie o podobnych własnociach. Co zrobi, jeli róne serwisy wymagaj rónych systemów? Przykładowo, moemy chcie zrobi serwer na BSD lub na jdrze linuksowym i mie gotow baz, która chodzi wyłcznie na MS-SQL na Microsoft Windows XP. Monitor maszyny wirtualnej XEN, projekt rozwijany w University of Cambridge, jest w swojej zasadzie podobny do VMWare. Niemniej wymaga pewnych niewielkich zmian w kodzie systemu operacyjnego, nie emuluje pełnego sprztu. W tej chwili dla XEN-a s dostpne nastpujce systemy: a) Linux w pełni działajce rozwizanie. Sam XEN jest rozwijany głównie dla Linuxa. b) NetBSD niedawno stworzony port. c) FreeBSD. d) Microsoft Windows XP jest w trakcie tworzenia. Trwaj rozmowy z Microsoftem na temat zasad dystrybucji kodów binarnych. Twórcy zapewniaj, e odpowiednie zasady zostan ogłoszone wkrótce. Na razie korzystanie z Windows dla XEN-a wymaga podpisania oddzielnej umowy z firm Microsoft. O ile UML był programem, uruchamianym ze zwykłego Linuxa, o tyle XEN jest samodzielnym quasi-systemem. Wymaga samodzielnego bootowania. W nagrod dostajemy bardzo wydajny system, o prdkoci niemal nie ustpujcej pracy systemu natywnego na prawdziwym sprzcie. Kompilacja XEN-a. Kompilacja jdra linuksowego na platform XEN, przebiega podobnie jak ta na platform UML. make ARCH=xeno menuconfig make ARCH=xeno bzimage Niemniej, samo jdro tutaj nie wystarczy. Potrzebna jest instalacja samego XEN-a. W przypadku loadera GRUB, który jest standardowy w wikszoci dystrybucji linuksowych, wystarczy stworzy nastpujcy wpis title Xen / XenoLinux kernel /boot/xen.gz dom0_mem= ser_baud= noht module /boot/xenolinux.gz root=/dev/hda2 ro console=tty0 gdzie xen.gz jest samym XEN-em, a xenolinux, jdrem Linuxa, skompilowanym dla XEN-a. Pierwszy Linux pracuje w domenie-0, i jest uprzywilejowany. Tylko jeden Linux moe pracowa w tej domenie. Kolejne mog by uruchamiane odpowiednimi narzdziami.

9 6. Wnioski Wirtualizacja jest bardzo wygodn technik, słuc do separacji usług. Nie tylko zwiksza niezawodno systemu i jego bezawaryjno, ale te, przy bardziej skomplikowanych serwisach jest zwyczajnie wygodniejsza. Pozwala te nawet w trakcie działania przenosi zadania z maszyny na maszyn, co pozwala panowa nad odpowiedni wydajnoci. Bibliografia [1] UML User Mode Linux: [2] XEN [3] VMWare [4] Xen and the Art of Virtualization. Paul Barham, Boris Dragovic, et al. [5] Bochs IA-32 Emulator Project.