Best Practices für Schwachstellenscans
Best Practices für das Durchführen von Schwachstellenscans in VergeOS-Umgebungen, einschließlich empfohlener Scan-Ziele, architektonischer Überlegungen und Hinweise zur Einhaltung von Compliance-Anforderungen.
Überblick
Dieser Artikel behandelt, wie das Scannen der VergeOS-Plattform angegangen werden sollte, was von den Scan-Ergebnissen zu erwarten ist und wie die Patch-Compliance für Audits nachgewiesen werden kann. Für Scan-Workloads, die innerhalb von VMs und Tenants laufen, wenden Sie die Standard-Scanrichtlinien Ihres Unternehmens an.
Voraussetzungen
Administrativer Zugriff auf die VergeOS-Web-UI
Vertrautheit mit dem Schwachstellenscan-Tool Ihres Unternehmens (z. B. Nessus, Qualys, Rapid7)
Verständnis von VergeOS-Netzwerkkonzepten
VergeOS-Sicherheitsarchitektur
Bevor Sie Scans konfigurieren, ist es hilfreich zu verstehen, wie sich VergeOS von einem herkömmlichen Hypervisor oder Linux-Server unterscheidet:
Nur lesbares Overlay-Dateisystem — VergeOS läuft mit einem spezialisierten Kernel mit einem nur lesbaren Overlay. Nicht genehmigte Pakete oder Änderungen sind nicht dauerhaft und können zu Systeminstabilität führen. Dadurch wird die Angriffsfläche im Vergleich zu allgemeinen Betriebssystemen erheblich reduziert.
Keine herkömmliche Paketverwaltung — Es gibt keinen
apt,yumoder einen ähnlichen Paketmanager. Alle Patches werden über das integrierte Update-System.SSH standardmäßig deaktiviert — SSH-Zugriff ist für den normalen Betrieb nicht erforderlich. Die Web-UI bietet vollständigen administrativen Zugriff, und Knotendiagnosen sind direkt über die Oberfläche verfügbar.
Minimale externe Angriffsfläche — Nur die Management-IP (Web-UI) soll von außen erreichbar sein. Node-NICs übernehmen den internen Fabric-Traffic (vSAN und Kommunikation zwischen Knoten) im Kernnetzwerk und werden in einer Standardbereitstellung nicht externen Netzwerken ausgesetzt.
Empfohlene Scan-Ziele
Management-IP (Web-UI)
Die Management-IP ist die einzige von außen erreichbare Oberfläche in einer korrekt bereitgestellten VergeOS-Umgebung. Das Scannen dieser Adresse liefert Ergebnisse für:
Die VergeOS-Webanwendung und API
TLS-Zertifikatskonfiguration
Alle freigegebenen Netzwerkdienste
Einzelne Knoten-IP-Adressen
Knoten-IP-Adressen werden für internen Fabric-Traffic verwendet und sind in einer Standardbereitstellung nicht von außen zugänglich. Ein Scan ist daher unnötig.
Und was ist mit Tenant- und VM-Netzwerken?
Schwachstellenscans von Workloads die innerhalb von VMs und Tenants laufen, sind vom Scannen der VergeOS-Plattform selbst getrennt. VMs sind herkömmliche Betriebssysteme und sollten gemäß Ihren normalen Richtlinien gescannt werden. VergeOS bietet Netzwerk-Mikrosegmentierung zur Isolierung von Workloads auf Netzwerkebene.
Konfiguration Ihres Scanners
Verwenden Sie eine unkredentialisierte Netzwerk-Scan -Richtlinie (z. B. Nessus „Basic Network Scan“ oder Ähnliches). Vermeiden Sie Linux-spezifische Audit-Richtlinien — diese basieren auf Paketaufzählung über SSH und liefern bei VergeOS irreführende oder leere Ergebnisse.
Empfohlene Scanner-Einstellungen:
Scan-Typ: Unkredentialisierter / Remote-Netzwerkscan
Ziel: Management-IP-Adresse (HTTPS auf Port 443)
Deaktivieren: Linux/Unix-kredentialisierte Patch-Audit-Plugins, lokale Sicherheitsprüfungen
Aktivieren: Prüfungen von Webanwendungen, TLS/SSL-Auditing, Diensterkennung
Typische Scan-Ergebnisse für eine VergeOS-Management-IP:
OS-Erkennung: unbekannt oder nicht eindeutig
Offene Ports: 443/tcp (HTTPS)
Ergebnisse: Informationspunkte zur Webserver- und TLS-Konfiguration
Wenn Ihre Ergebnisse so aussehen, funktioniert der Scan korrekt. VergeOS hat von Natur aus eine minimale Angriffsfläche. Wenn Ihr Auditor über die Scan-Ergebnisse hinaus zusätzliche Nachweise verlangt, siehe Patch- und Update-Hinweise unten.
Scan-Häufigkeit
Richten Sie die Scan-Häufigkeit an den Anforderungen Ihres Compliance-Frameworks aus (z. B. vierteljährlich für PCI-DSS, monatlich für interne Richtlinien). Da VergeOS eine minimale Angriffsfläche bietet, ändern sich die Scan-Ergebnisse zwischen Plattform-Updates wahrscheinlich nicht — planen Sie Scans nach der Installation von Updates, um den aktuellen Zustand zu erfassen.
Kredentialisierte vs. unkredentialisierte Scans
Unkredentialisierte Scans gegen die Management-IP sind der empfohlene Ansatz. Diese Scans identifizieren freigegebene Dienste und bekannte Schwachstellen, ohne Host-Zugriff zu benötigen.
Kredentialisierte Scans erfordern SSH-Zugriff, der standardmäßig deaktiviert in VergeOS ist. SSH für routinemäßige Scans zu aktivieren, ist nicht empfohlen.
Wenn Ihr Compliance-Framework ausdrücklich kredentialisierte Scans verlangt:
Aktivieren Sie SSH nur für die Dauer des Scans.
Beschränken Sie den SSH-Zugriff mithilfe von Firewall-Regeln.
deaktivieren Sie SSH sofort nach Abschluss des Scans.
Dokumentieren Sie den temporären Zugriff in Ihren Compliance-Unterlagen.
Siehe Aktivieren des System-SSH-Zugriffs für das vollständige Verfahren.
Patch- und Update-Hinweise
VergeOS-Knoten werden über das integrierte Update-System gepatcht, nicht über die herkömmliche OS-Paketverwaltung. Dies ist ein wichtiger Unterschied für Compliance- und Schwachstellenbehebungs-Workflows.
Navigieren Sie zu System > Updates um nach verfügbaren Updates zu suchen.
Prüfen Sie die Versionshinweise auf Sicherheitskorrekturen und CVE-Behebungen, die in jeder Version enthalten sind.
Befolgen Sie den VergeOS-Update-Leitfaden für bewährte Vorgehensweisen bei der Anwendung von Updates.
Für air-gapped-Umgebungen siehe Aktualisieren eines VergeOS-Systems mit Airgap-Lizenz für Offline-Patching.
Auf von Scannern gemeldete CVEs reagieren
Wenn ein Scanner eine CVE für die Management-Oberfläche meldet:
Prüfen Sie die Versionshinweise um festzustellen, ob die CVE in der aktuellen oder einer neueren VergeOS-Version behoben wurde.
Wenn ein Update verfügbar ist, das die CVE behebt, wenden Sie es über System > Updates.
Wenn die CVE in keiner verfügbaren Version behoben ist, kontaktieren Sie den VergeOS-Support um den Befund zu melden und eine Anleitung anzufordern.
Beispiel für Compliance-Formulierung
Wenn Sie Ihre Hypervisor-Sicherheitslage für Auditoren dokumentieren, können Sie das Folgende anpassen:
„VergeOS ist ein speziell entwickeltes, gehärtetes hyperkonvergentes Betriebssystem mit einem nur lesbaren Overlay-Dateisystem und minimaler externer Angriffsfläche. Die Plattform verwendet keine herkömmliche OS-Paketverwaltung; alle Sicherheitspatches werden durch vom Hersteller verwaltete Updates bereitgestellt, die über das integrierte Update-System angewendet werden. Die aktuelle Version [X.Y.Z] wurde am [Datum] installiert. Versionshinweise mit CVE-Behebungen für jede Version sind verfügbar unter docs.verge.io/release-notes."
Fehlerbehebung
Zusätzliche Ressourcen
Neue Systemkonfiguration — Erste Sicherheits- und Zuverlässigkeitseinrichtung für neue Bereitstellungen
Aktualisieren eines VergeOS-Systems mit Airgap-Lizenz — Offline-Patching für air-gapped-Umgebungen
Systemalarme — Proaktives Monitoring für verwundbare Konfigurationen
Multi-Faktor-Authentifizierung — TOTP- und E-Mail-basierte Zwei-Faktor-Authentifizierung für administrativen Zugriff
Netzwerk-Mikrosegmentierung — Zero-Trust-Netzwerkisolierung zwischen Workloads
Feedback
Zuletzt aktualisiert
War das hilfreich?