Может ли шифровальщик пожрать ESXi?

Question

[Алексей Артюшевский]

К примеру, у меня есть гипервизор на VMware, установленный без хостовой ОС и там у меня 1 виртуалка с сервером. Я сделал клон сервера на всякий случай. Так вот, внимание вопрос. Может ли шифровальшик поесть мой клон? Если он, по сути, может действовать только из под ОС.

Answer 1

[Константин Толмачев]

В принципе выход весьма затруднен, если только это не вирус написанный специально под гипервизоры, плюс даже навороченный шифровальщик не может поесть склонированную систему и данные в целом при соблюдении хотя бы базовых правил безопасности:
1. Учетная запись на запущенных машинах не должна быть Административной для домена, если он поднят, и у учетной записи не должно быть прав доступа к гипервизору посредством AD
2. В виртуальных машинах должен быть отключен буфер обмена и прямая передача файлов(перетаскиванием) между ней и хостовой машиной.
3. Виртуальные машины не должны иметь доступ к общей шаре, в которую возможна запись (в идеале вообще должны быть в своей изолированной сети)
4. Архивы с образами должны лежать в папках, куда имеет доступ только пользователь бекапов, и даже учетная запись system не говоря уже об админских туда доступа не имеет.

Эти четыре минимальных правила спасали далеко не одну систему

Answer 2

[pfg21]

по идее, выход из виртуализированной среды невозможен.
гипервизор четко разграничивает среду и имеет защиту от вскрытия.
так что шифровальщик пожрет только содержимое своей виртуалки.
в "соседнюю" виртуалку влезть сможет только через общие ресурсы или дыры в оси.
но тут уже смотря как сделаешь. к примеру в клоне та же ось - те же дырки.

Comments

[Алексей Артюшевский]

Нутк я клон просто не буду запускать. Я его и собираюсь сделать только для того что бы можно было восстановить работу сервера быстро. Чуть что.

[pfg21]

AlleXeYArt, дык это ж бекап получается :) под клоном я понимал работающую систему.
с бекапом всяко лучше.

[Алексей Артюшевский]

pfg21, Неее Бро, другое дело что памяти на винте может не стать. Но да клон мне нужен только для того что бы экстренно восстановить работу системы. Или там пока работает одна система мы накатим еще одну. Были бекапы традиционные на этой же машине. Но их сьел шифровальшик.

[pfg21]

в архив бекапов давать доступ виртуалкам ?? а накуя ??
выделить для бекапом отдельный раздел, куда вообще никого левого не пускать.

[Алексей Артюшевский]

Нет вы не поняли. Дело не в этом. Там раньше был просто сервер без виртуализаций.

[pfg21]

AlleXeYArt, даже если сервер без виртуализации. то посоветую выносить хранилище бекапов на внешний комп, для хранлища хватит и старого компа. а там ставить линукс и защиту от изменения записанных файлов.