Sicurezza di vSphere Active Directory: Rapporto di ricerca

Sicurezza di vSphere Active Directory: Un rapporto di ricerca completo

Quando gli amministratori si autenticano in VMware vSphere utilizzando le credenziali di Active Directory, si aspettano ragionevolmente che le password vengano convalidate e poi dimenticate. La realtà è molto più complessa.

Questa ricerca indipendente sulla sicurezza traccia le credenziali AD attraverso ogni livello di un ambiente vSphere, da ESXi 7 e 8 a vCenter Server 7 e 8. I risultati rivelano che le configurazioni predefinite espongono le password tramite trasmissioni LDAP in chiaro, keytab leggibili a livello mondiale e cache persistenti di ticket Kerberos. Su host ESXi standalone uniti ad AD, qualsiasi amministratore può accedere alle credenziali memorizzate nella cache di altri utenti, e il ruolo ESXi Admin è funzionalmente equivalente a Domain Admin quando le VM del Domain Controller sono in esecuzione sull'host.

vCenter Server offre un'autenticazione più forte tramite l'isolamento del token SAML e un controllo degli accessi basato su ruoli granulare, ma solo quando configurato deliberatamente per utilizzare l'autenticazione LDAPS o SPNEGO. La fonte di identità AD-over-LDAP predefinita ricrea la peggiore esposizione delle credenziali a livello di rete.

Questo rapporto documenta ogni vulnerabilità con catture di pacchetti, dump di memoria e catene di attacco funzionali, quindi fornisce raccomandazioni prioritarie per rafforzare l'integrazione vSphere AD.

In questa guida imparerai come

• Individua dove le credenziali AD sono esposte nei livelli di rete, disco e memoria negli ambienti vSphere.
• Comprendi perché l’unione standalone del dominio AD di ESXi crea vulnerabilità architetturali di sicurezza irrisolvibili.
• Configura le fonti di identità di vCenter per eliminare la trasmissione delle password in chiaro utilizzando LDAPS o SPNEGO.
• Proteggi il gruppo admin ESXi con la stessa rigore dei Domain Admins, poiché l'appartenenza al gruppo AD controlla direttamente l'accesso root all'hypervisor.
• Previeni gli attacchi di downgrade Kerberos applicando la crittografia solo AES sugli account computer ESXi e vCenter.
• Limita l'accesso dell'amministratore ESXi agli host che eseguono VM Domain Controller per prevenire l'estrazione offline di ntds.dit e gli attacchi di rollback degli snapshot.
• Rileva tentativi di furto di credenziali tramite il monitoraggio dell'Evento DC 2889 e l'audit degli accessi ai file.

Perché scaricare questa guida

• Ottieni visibilità sui flussi di credenziali che la documentazione predefinita di vSphere non rivela.
• Comprendere i compromessi di sicurezza tra la gestione standalone di ESXi e gli ambienti gestiti da vCenter.
• Implementa raccomandazioni di rafforzamento prioritarie basate su catene di attacco testate.
• Riduci il rischio di compromissione del dominio trattando i privilegi di ESXi Admin con la dovuta sensibilità.
• Rafforza le procedure di risposta agli incidenti con la revoca dei certificati insieme al reset delle password.