אבטחה עם VM Templates

תמלול ההרצאה: אבטחה עם VM Templates

הטקסט המלא של הדקות הראשונות בהרצאה «אבטחה עם VM Templates» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בארצה הזו, אני רוצה לעבור איתכם על המלצות אבטחה לכל הסביבה שלנו. מה ש-VMWare ממליצים לנו להגדיר כדי להיות מאובטחים יותר. הם יצרו עבורנו Security Configuration Guide, הוא גם נקרא SCG, Security Configuration Guide, מדריך להגדרות אבטחה, ואם נרד כאן למטה יש לנו לינק להורדה שלו.

2. 00:26

   ברגע שאנחנו מורידים אותו, זה יהיה למעשה כובד זיפ בתיקי הדאונלוד שלנו, ובתוך קובץ זיפ הזה שהורדנו יש קובץ אקסל. בואו נפתח את האקסל הזה, ובפנים אנחנו רואים טאבים.

3. 00:40

   זה המלצות של וימוור עבור ESX, יש גם המלצות עבור vCenter ועבור תכנון כללי של המערכת. בואו נראה לדוגמה מה הם ממליצים עבור ESXים. הם ממליצים פה בעדיפות שנייה, שזה לא הדבר הכי חשוב, לקבוע unlock time.

4. 00:59

   כתוב כאן שזו פתיחה אוטומטית של יוזר אחרי שהוא ננעל אם הוא הקיש סיסמה לא נכונה כמה פעמים. יוזר בכניסה ל-ESX, אם הוא מקיש סיסמה לא נכונה כמה פעמים הוא ננעל, הם ממליצים לשחרר אותו אוטומט אחרי כמה זמן?

5. 01:15

   אחרי 900 שניות. ושימו לב, זה בדיוק ה-Default, ברירת מחדל. תכלס, זה תקין. אין לנו מה לשנות, רק צריך לוודא שאף אחד לא שינה לנו את ה-Default, את ברירת המחדל אחרי התקנה.

6. 01:28

   אז יש פה דברים שהם תואמים לברירת מחדל, אבל יש דברים שהם לא תואמים. ואם אני רוצה להיות יותר מאובטח, אני צריך לשנות מ-0 ל-5. אתם רואים, יש כאן עמודה שזה תואם לברירת מחדל או לא. מה זה הדבר הזה?

7. 01:42

   זה password history, לשמור סיסמאות אחורה. הם ממליצים לנו לא לאפשר לאדמיניסטרטור להשתמש באותה סיסמה או באיזה שתי סיסמאות שכל הזמן מתחלפות.

8. 01:53

   הם רוצים שהמערכת, שה-ESX, לשמור חמש סיסמאות אחורה ולא ייתן להשתמש בהן. כבר בסיסמה השישית אפשר יהיה להשתמש באי שהייתה לראשונה.

9. 02:04

   בקיצור, היסטוריה של חמש סיסמאות אחורה, מי שרוצה להיות מאובטח. ויש פה עוד סדרה של המלצות, אתם יכולים לעבור עליהן ולקרוא בדיוק מה הם אומרים.

10. 02:14

    לדוגמה, לשים איזשהו Welcome Message. ככה בונים מערכת מאובטחת. הם עשו את הרוב כברירת מחדל, אבל לא הכל. ונניח שהחלטתי להגדיר משהו. לדוגמה, אני רואה שיש פה משהו שהוא לא ברירת מחדל צריך להעביר מ-disable לנורמל בוא נראה מה זה זה לוקדאון או זה בדיוק מה שדיברנו עליו הם ממליצים להפעיל את הלוקדאון למי שרוצה

11. 02:39

    להיות מאובטח יש כאן גם הסבר מה זה אומר enable lockdown mode אם מאפשרים את הלוקדאון מוד זה מבטל direct access גישה ישירה ל-asx ודורשת ניהול דרך ה-vcenter והמטרה של לוקדאון זה תמיד להכריח את היוזרים להיכנס דרך V-Center ולא לעשות בייפס, לעקוף את ה-V-Center ולהיכנס

12. 03:02

    ישירות ל-ASX ולנהל אותו משם. ורק היוזרים שהם באקספצ'ן, ברשימה המיוחדת של יוצא מן הכלל, יכולים להתחבר ל-ASX ישירות. ויש כאן גם המשך של ההסבר, מה זה עושה בדיוק.

13. 03:15

    דיברנו על זה, ראינו את זה, ואם אני מגדיר את זה, אני יכול להגדיר את זה בצורה מרכזית על כל ה-ASXים עם Host Profiles. ראינו את זה כבר בהרצאות קודמות, כאן ברמת ESX ספציפי אני עומד על ה-configure שלו, על ההגדרות שלו ויש פה host profiles איזה פרופיל חל עליו כרגע חל עליו פרופיל כזה והוא לא עומד בתקן ואני יכול לעשות

14. 03:40

    remediate כדי שהוא כן יעמוד בתקן לתקן אותו אז כל ההגדרות שאני רוצה אני צריך לעשות בפרופיל ולהצמיד את הפרופיל הזה נניח לקלאסטר או לאיזשהו ESX ספציפי הוסט פרופייל זה הגדרות הרצועות על ידי כמנהל הרשת וראינו שמגדירים את זה פה בתפריט הראשי בפוליסיז אנד פרופיילס הוסט פרופיילס, פרופילים של

15. 04:02

    הוסטים, הוסטים זה אי סיקסים והנה יש לי פה איזשהו פרופיל, אם לא היה לי איזשהו פרופיל פה הייתי עושה אקסטרקט הוסט פרופיל מתוך איזשהו אי סיקס קיים מחלץ אותו ואז אני יכול להיכנס לכאן, לתוך הפרופיל, לעשות קונפיגר, להגדיר אותו, לעשות אדיט, להגדיר כל מיני הגדרות נניח בתוך ה-Security, אני רוצה שאיזשהו סרוויס בתוך ESX, נניח SSH,

16. 04:28

    יהיה False, לא יעבוד. ואת הסט הזה של ההגדרות, את הפרופיל הזה, אני עושה שלוש נקודות, ומצמיד, עושה Attach ל-ESXים, להוסטים או לקלאסטר שלם.

17. 04:40

    זה כאן בתפריט, ואפשר לראות שכרגע הוא מחובר לקלאסטר עם שלושת ה-ESXים האלו. אז יש לי פה הגדרות, יש לי פה הוסטים, יש לי פה מוניטור שאומר לי מי עומד בתקן ומי לא, ואני יכול לעשות צ'ק קומפליינס, לבדוק מי עומד בתקן, ורימידיאט לתקן את מי שלא עומד בתקן,

18. 04:59

    ויכול לעשות קוסטומיזציות, התאמות אישיות פר ESX ספציפי. נניח אני בוחר איזשהו ESX, אומר קוסטומיזיישן, התאמות של הפרופיל הכללי ל-ESX ספציפי.

19. 05:11

    דיברנו על כל זה בהרצאות קודמות, אני לא אחזור על הכל. מה שכן אני רוצה להראות לכם, שיש הגדרות אבטחה גם ברמת vCenter שזה גם הגדרות חד פעמיות שעושים ב vCenter זה לא בעיה הבעיה היא לנהל את כל ה-ASXים בצורה מרכזית ובשביל זה יש לנו הוסט פרופיל ויש גסט OS גסט OS זה מכונות וירטואליות גם אותם צריך לנהל

20. 05:36

    שהמכונות הווירטואליות יהיו מאובטחות נניח הם אומרים לנו לאפשר פה Secure Boot בתוך מכונה וירטואלית ספציפית זה בעדיפות הכי גבוהה ויש פה עוד 12 המלצות מה לעשות עם כל מכונה וירטואלית.

21. 05:50

    כמובן שאני לא רוצה ללכת וכל פעם לוודא שכל מכונה וירטואלית עומדת בכל הדברים האלו שעשיתי והם המליצו עליהם. אז איך אני אעשה פרופיל של הגדרות לכל המכונות הווירטואליות?

22. 06:03

    אז אין את האפשרות הזאת, אופציה כזאת לא קיימת. אז אנחנו באים למכונה וירטואלית אחת, בואו נקרא לה perfect secured VM, ה-VM המושלם והמאובטח שלי.

23. 06:15

    אני לוקח את ה-Perfect Secured VM הזה, עושה לו Edit Settings, מגדיר אותו, נניח שיהיה לו 3 ג'יגה ראם, נניח שיהיה לו איזשהו רזירוויישן, נניח שיהיה לו CPU כלשהו, ב-VM Options אני אומר לו שאני רוצה בבוט שיהיה Secure Boot, לא יודע, מגדיר כל מה שאני רוצה בתוך ה-VM הזה, כל מיני אופציות מתקדמות שאין להן ממשק גרפי,

24. 06:39

    מכין את המכונה הווירטואלית המושלמת, המאובטחת, ואז אני הופך אותה ל-Templates, שימו לב טמפלייט זה שבלונה שממנה אנחנו נעשה המון מכונות וירטואליות ובעתיד אולי ניתן לאיזושהי מחלקה או לאיזשהו צוות