Schwachstellen bei virtuellen Appliances

Eine virtuelle Appliance ist das Ergebnis der Installation einer Software-Appliance auf einer virtuellen Maschine und ist in der Regel für das Hosting einer einzelnen Anwendung konzipiert. Als vorkonfiguriertes Image einer virtuellen Maschine lässt sich die virtuelle Appliance auf einem Hypervisor ausführen. Ähnlich wie bei Software-Appliances können sich Unternehmen damit den Aufwand für Installation, Konfiguration und Wartung sparen, der bei der Ausführung komplexer Software-Stacks anfällt. Viele virtuelle Appliances bieten eine Web-Oberfläche für die weitere Konfiguration.

Das Konzept der virtuellen Appliances hat sich durchgesetzt. In den wenigsten Unternehmen setzen sich die IT-Verantwortlichen jedoch mit den von Software-Anbietern bereitgestellten virtuellen Appliances, die in ihrer Cloud-Umgebung ausgeführt werden, auseinander. In der Regel wählt die IT-Abteilung die Appliance eines namhaften Anbieters in einem Cloud-Marktplatz aus. Was meist nicht geschieht, ist die Überprüfung auf Schwachstellen. Entscheidend ist zunächst, ob das Betriebssystem aktuell ist. Besser noch ist ein Plan, um virtuelle Appliances regelmäßig zu überprüfen, damit sie den aktuellen Anforderungen entsprechen.

Offenlegung koordinierter Schwachstellen

Orca Security hat sich im Rahmen einer Studie mit der Sicherheit virtueller Appliances genauer beschäftigt. Der „2020 State of Virtual Appliance Security Report“ hat gezeigt, dass viele Anbieter ihre virtuelle Appliances nicht aktualisieren. Sie laufen somit auf veralteten, herstellerseitig nicht mehr mit Sicherheits-Updates versorgten Betriebssystemen. Aus diesem Grund weisen viele virtuelle Appliances bekannte, ebenso leicht ausnutzbare wie behebbare Schwachstellen auf.

IT-Verantwortliche gehen häufig davon aus, dass virtuelle Appliances, die von den Websites der Anbieter oder auf bekannten Cloud-Marktplätzen zum Download bereitstehen, keine Schwachstellen aufweisen. Die Studie belegt jedoch genau das Gegenteil. Unternehmen sollten daher dahinter sein, ihre virtuellen Appliances stets zu überprüfen und mögliche Schwachstellen zu beheben.

Beim Sicherheits-Scan von 2.218 Images virtueller Appliances von 540 Software-Anbietern fanden die Experten insgesamt 401.571 Schwachstellen. Nach dem Prinzip der Offenlegung koordinierter Schwachstellen (Coordinated Vulnerability Disclosure, CVD) wurden die betroffenen Anbieter über die Ergebnisse der Studie informiert, damit diese die Schwachstellen beheben konnten. Die Resonanz war positiv. So haben die Anbieter 37.000 Schwachstellen gepatcht oder beseitigt, 53 virtuelle Appliances vom Markt genommen und 287 aktualisiert.

Mehr Transparenz gefordert

Das Sicherheitsproblem bei virtuellen Appliances geht auch auf das analog zur allgemeinen Cloud-Sicherheit wenig bekannte oder falsch verstandene Shared-Responsibility-Modell zurück. Dabei ist der Kunde für die Sicherheit, den Datenschutz und die Compliance seiner Workloads und Daten in der Cloud verantwortlich. Dies gilt auch für die sichere Konfiguration von virtuellen Appliances, die Unternehmen in einer Private oder Public Cloud betreiben. Die Studie soll aber nicht nur die Unternehmen als Kunden, sondern auch die Anbieter wachrütteln, damit diese proaktiv agieren bei der Aktualisierung ihrer virtuellen Appliances.

Unternehmen können mit einigen einfachen Maßnahmen bereits für mehr Sicherheit in ihrer Betriebsumgebung sorgen. Dies beginnt mit dem Management und der Aktualisierung ihres Pools an virtuellen Appliances. Um diese zu verwalten, ist jedoch umfassende Sichtbarkeit die entscheidende Voraussetzung. Spezielle Tools für das Schwachstellen-Management sind in der Lage, alle virtuellen Appliances in der Betriebsumgebung zu erfassen und auf bekannte Schwachstellen zu überprüfen. Die identifizierten Schwachstellen lassen sich entweder mittels Patches beheben oder anderenfalls gilt es die betroffene Appliance zu deaktivieren und durch ein sicheres Pendant zu ersetzen.

Dies ist ein Artikel aus unserer Print-Ausgabe 1-2/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Von den Anbietern ist mehr Transparenz gefordert. Sie müssen ihren Kunden mitteilen, ob und wie sie ihre virtuellen Appliances pflegen und aktualisieren. Die Kunden sollten wissen, wie es um die Sicherheit ihrer virtuellen Appliances steht, um notfalls auf einen anderen Anbieter auszuweichen, der den Anforderungen gerecht wird, wie sie auch bei Unternehmens-Software vorausgesetzt werden. Dies bedeutet, ein aktuelles und sicheres Produkt nutzen zu können.

Bildquelle: Getty Images / iStock / Getty Images Plus