Verschlüsselung von Laufwerken innerhalb einer VM?

[Marco31 33]

Hallo Leute,

 

ich habe hier folgendes Problem bzw. Aufgabenstellung. Ich möchte verhindern, dass nach einem Diebstahl der Server- und Storage Hardware auf Laufwerke mit Personenbezogenen Daten zugegriffen werden kann . Also primär Fileserver und Datenbanken. Das ganze ist ne sehr kleine Umgebung (2 ESXI 6.5 Hosts, 1 SAN), die VM's sind Windows 2012R2 und Windows 2016, die Verschlüsselung von ganzen VM's über nen KMS wäre meiner Ansicht nach übertrieben, und ohne redundante Internet-Anbindung vermutlich auch keine gute Idee.

Welche Möglichkeiten gibt es da? Macht es Sinn die Laufwerke innerhalb der VM mit Bitlocker zu verschlüsseln? Bin für alle Kommentare dankbar

[NilsK 2.934]

Moin,

 

die Frage ist durchaus knifflig und lässt sich nur beantworten, wenn man sich Gedanken um die Anforderungen und den leistbaren Aufwand macht.

 

In dem Szenario, dass jemand die ganze Anlage klaut, werden dir sowohl die hostbasierte als auch die VM-basierte Festplattenverschlüsselung vor allem dann etwas bringen, wenn sie den Host bzw. die VM ohne Authentisierung am Starten hindern. Anderenfalls könnte ein Anlagendieb die Anlage einfach starten, alles liefe, und dann könnte er die laufenden Systeme angreifen, die dann ja entschlüsselt sind. Die Sicherheit hinge dann nur noch an den Kennwörtern und am Patchlevel (vereinfacht gesagt).

 

Durch so eine Verschlüsselung (mit "Pre-boot Authentication") wird der Betrieb aber sehr umständlich: Bei jedem Reboot müsste ein Admin eingreifen, der den Startprozess freischalten kann. Das führt in kleinen Umgebungen dazu, dass man es schnell wieder abschaltet oder dass man sich Vereinfachungen schafft (z.B. indem man den Key auf einem Stick speichert, den man gesteckt lässt). Letzteres will man nicht, weil man damit die Sicherheit aushebelt.

 

Vielleicht ist "Diebstahl der ganzen Anlage" aber auch gar kein relevantes Szenario. Das muss man prüfen. Wie bei jeder Risikobetrachtung steht die Frage im Mittelpunkt, welches Risiko denn zu behandeln ist.

 

Gruß, Nils

 

[Marco31 33]

Ja, über das was du da sagst habe ich auch schon nachgedacht und sehe es ganz ähnlich. Die Sicherung beim starten fällt aus den von dir genannten Gründen raus, ich habe schlichtweg keine Lust wegen Updates und/oder Neustarts jedesmal an die Arbeit zu fahren...

Das Szenario "Diebstahl der Anlage" ist ein sehr unwahrscheinliches, das ist mir bewusst. Wobei es aber das Szenario ist, wo durchaus Fragen kommen können/werden wie ich das absichere. Firewall liegt nicht in meinem Bereich (Rechenzentrum), und einen Datendiebstahl durch Mitarbeiter halte ich a) für unwahrscheinlich (öffentlicher Dienst) und b) haben die meisten User schon Schwierigkeiten mit Windows Grundfunktionen. 
Ich mache mir da auch nichts vor - FALLS jemand sowas tatsächlich wegen den Daten klaut, dann hat er in der Regel eh die Mittel und das Knowhow an das ranzukommen was er will. Es geht mir eher um den Fall, dass das ganze geklaut wird, die Hardware wird verkauft und der Käufer des ganzen liest dann fröhlich die Daten aus...

[NilsK 2.934]

Moin,

 

in dem Fall könnte sowas wie Bitlocker interessant sein. Wie gesagt, es kommt auf das Szenario an.

 

Gruß. Nils

 

[djmaker 95]

Eventuell hilft die Kombination aus sicheren Kennwörtern und Verschlüsselung auf dem Storage.

[zahni 554]

Bei jeder Variante muss man sich fragen: Wo ist der Schlüssel und wie ist er gesichert. Dann wird es oft sehr schnell dunkel.

Ganz wichtig: Die meisten Angriffe zielen nicht auf die Verschlüsselung an sich, sondern auf den Schlüssel bzw. dessen Speicher.

Darum bei Bitlocker: Nur mit TPM der möglichst auch die BIOS-Settings schützt.

Und eine transparente Storage-Verschlüsselung ist relativ sinnfrei. Die schützt nur vor dem Diebstahl einzelner Datenträger. Nimmt jemand den ganzen Storage mit, wird es schwierig. Eine dicke Tür mit Zugangskontrolle und -Überwachung wirkt ähnlich gut.

Leider ist das bei IT-Sicherheits-Theoretikern noch nicht angekommen.

[NilsK 2.934]

Moin,

 

vor 9 Stunden schrieb zahni:

Und eine transparente Storage-Verschlüsselung ist relativ sinnfrei. Die schützt nur vor dem Diebstahl einzelner Datenträger.

 

und genau deswegen ist sie ja nicht "sinnfrei", sondern kann sehr sinnvoll sein. Sie passt nur eben längst nicht auf jedes Szenario, sondern deckt nur ganz bestimmte Risiken ab. Daher muss man immer die Anforderungen klären, was in der IT allgemein ausgesprochen unbeliebt ist.

 

Gruß, Nils