1. Virtualization (in)security
Dovevo scrivere Cloud da qualche parte :)
Alessio L.R. Pennasilico
End Summer Camp
Forte Bazzera
4 Settembre 2010 mayhem@recursiva.org

2. $ whois mayhem
Security Evangelist @
Board of Directors:
CLUSIT, AIPSI/ISSA Italian Chapter, Italian Linux Society,
OpenBSD Italian User Group, Metro Olografix,
Sikurezza.org, Spippolatori Hacker Club
Hacker’s Profiling Project, CrISTAL, Recursiva.org
Alessio L.R. Pennasilico 2

3. Classical threats
Escape from VM
diversi esempi nel tempo,
ne vedremo altri in futuro :)
Alessio L.R. Pennasilico 3

4. altre minacce
malware vm-aware
Alessio L.R. Pennasilico 4

5. Confidenzialità
posso clonare macchine accese e fare quello che
voglio sui cloni?
Alessio L.R. Pennasilico 5

6. Management VLAN
Gli host/hypervisor si dicono diverse cose
interessanti
Dove facciamo passare il traffico “di servizio”?
Alessio L.R. Pennasilico 6

7. accesso all’interfaccia amministrativa
test reachability per HA
vMotion
iSCSI, NFS
Alessio L.R. Pennasilico 7

8. Soluzioni?
Dividere
Filtrare
Analizzare
Alessio L.R. Pennasilico 8

9. Alessio L.R. Pennasilico 9

10. Alessio L.R. Pennasilico 10

11. disruption
Cosa succede se rendo “irraggiungibili” gli IP
monitorati per la gestione dell’HA?
Alessio L.R. Pennasilico 11

12. Unauthorized access
Brute force?
Exploit (undocumented services)?
Exploit application layer? (SOAP)
Alessio L.R. Pennasilico 12

13. netstat
tcp
0
0
0.0.0.0:5989
0.0.0.0:*
LISTEN
tcp
0
0
0.0.0.0:902
0.0.0.0:*
LISTEN
tcp
0
0
0.0.0.0:903
0.0.0.0:*
LISTEN
tcp
0
0
0.0.0.0:427
0.0.0.0:*
LISTEN
tcp
0
0
0.0.0.0:80
0.0.0.0:*
LISTEN
tcp
0
0
0.0.0.0:22
0.0.0.0:*
LISTEN
tcp
0
0
0.0.0.0:443
0.0.0.0:*
LISTEN
Alessio L.R. Pennasilico 13

14. Perchè
intercettare / rallentare il traffico iSCSI / NFS
storage in replica per HA/DR
Alessio L.R. Pennasilico 14

15. Migration
Manipolare le VM durante la migrazione?
http://www.eecs.umich.edu/techreports/cse/2007/CSE-TR-539-07.pdf
Jon Oberheide, Evan Cooke, Farnam Jahanian: Xensploit
Alessio L.R. Pennasilico 15

16. Migration
Posso spostare VM infette
di datacenter in datacenter...
Alessio L.R. Pennasilico 16

17. traffico “trusted” tra datacenter per garantire la
migration delle VM
Traffico protetto?
Traffico Trusted / VPN come canale di accesso?
Alessio L.R. Pennasilico 17

18. Dormant VM
outdated policy
outdated signatures (AV, IPS)
manipolabili? >;-)
Alessio L.R. Pennasilico 18

19. Botnet e Cloud?
Alessio L.R. Pennasilico 19

20. Traffico interVM
firewall virtuali?
feature dell’hypervisor?
prodotti di terze parti?
Alessio L.R. Pennasilico 20

21. Prodotti agent based
multipiattaforma?
(comprende backup, AV, IPS...)
Alessio L.R. Pennasilico 21

22. Budget?
81% delle intrusioni avvengono su reti che non
sodisfano i requirement delle più diffuse
norme/best practice / guidelines
Gartner
Alessio L.R. Pennasilico 22

23. IT Security...
Un inutile impedimento
che rallenta le comuni
operazioni
e danneggia il business?
Alessio L.R. Pennasilico 23

24. IT Security...
O prevenzione e risposta ad eventi che
danneggerebbero il business in modo peggiore?
Alessio L.R. Pennasilico 24

25. Conclusioni
Usare la virtualizzazione?
Si, ma…
Dividere, Filtrare, Analizzare, Patchare
Alessio L.R. Pennasilico 25

26. These slides are
written by Alessio L.R.
Pennasilico aka
mayhem. They are
subjected to Creative
Commons Attribution-
ShareAlike-2.5
version; you can copy,
modify, or sell them.
“Please” cite your
source and use the
same licence :)
Grazie!
Domande?
Alessio L.R. Pennasilico
End Summer Camp
Forte Bazzera
4 Settembre 2010 mayhem@recursiva.org