Mejores prácticas de análisis de vulnerabilidades
Buenas prácticas para ejecutar análisis de vulnerabilidades en entornos VergeOS, incluidos los objetivos de análisis recomendados, consideraciones de arquitectura y orientación sobre cumplimiento.
Resumen
Este artículo explica cómo abordar el escaneo de la plataforma VergeOS, qué esperar de los resultados del escaneo y cómo demostrar el cumplimiento de parches para auditorías. Para las cargas de trabajo que se ejecutan dentro de VMs y tenants, aplique las políticas de escaneo estándar de su organización.
Requisitos previos
Acceso administrativo a la interfaz web de VergeOS
Familiaridad con la herramienta de escaneo de vulnerabilidades de su organización (p. ej., Nessus, Qualys, Rapid7)
Conocimiento de los conceptos de red de VergeOS
Arquitectura de seguridad de VergeOS
Antes de configurar los escaneos, ayuda entender en qué se diferencia VergeOS de un hipervisor tradicional o de un servidor Linux:
Sistema de archivos overlay de solo lectura — VergeOS ejecuta un kernel especializado con un overlay de solo lectura. Los paquetes o modificaciones no autorizados no son persistentes y pueden causar inestabilidad del sistema. Esto reduce significativamente la superficie de ataque en comparación con los sistemas operativos de propósito general.
Sin gestión tradicional de paquetes — No existe
apt,yum, ni un gestor de paquetes similar. Todos los parches se distribuyen a través del sistema de actualización integrado.SSH deshabilitado de forma predeterminada — No se requiere acceso SSH para el funcionamiento normal. La interfaz web proporciona acceso administrativo completo, y los diagnósticos del nodo están disponibles directamente desde la interfaz.
Superficie externa mínima — Solo la IP de administración (interfaz web) está diseñada para ser accesible externamente. Las NIC del nodo gestionan el tráfico de la malla interna (vSAN y comunicación entre nodos) en la red principal y no están expuestas a redes externas en un despliegue estándar.
Objetivos de escaneo recomendados
IP de administración (interfaz web)
La IP de administración es la única superficie accesible externamente en un entorno VergeOS correctamente desplegado. El escaneo de esta dirección proporciona resultados sobre:
La aplicación web y la API de VergeOS
Configuración del certificado TLS
Cualquier servicio de red expuesto
IP individuales de los nodos
Las IP de los nodos se usan para el tráfico de la malla interna y no son accesibles externamente en un despliegue estándar. Escanearlas no es necesario.
¿Y qué pasa con las redes de tenants y VMs?
El escaneo de vulnerabilidades de las cargas de trabajo que se ejecutan dentro de VMs y tenants es independiente del escaneo de la propia plataforma VergeOS. Las VMs son sistemas operativos estándar y deben escanearse según sus políticas normales. VergeOS proporciona microsegmentación de red para aislar las cargas de trabajo a nivel de red.
Configuración de su escáner
Use una política de escaneo de red sin credenciales (p. ej., "Basic Network Scan" de Nessus o equivalente). Evite las políticas de auditoría específicas de Linux; estas dependen de la enumeración de paquetes mediante SSH y producirán resultados engañosos o vacíos frente a VergeOS.
Configuración recomendada del escáner:
Tipo de escaneo: Escaneo de red remoto / sin credenciales
Destino: Dirección IP de administración (HTTPS en el puerto 443)
Deshabilitar: Complementos de auditoría de parches con credenciales para Linux/Unix, comprobaciones de seguridad locales
Habilitar: Comprobaciones de aplicaciones web, auditoría TLS/SSL, detección de servicios
Resultados típicos del escaneo para una IP de administración de VergeOS:
Identificación del sistema operativo: desconocida o no concluyente
Puertos abiertos: 443/tcp (HTTPS)
Hallazgos: elementos informativos relacionados con el servidor web y la configuración TLS
Si sus resultados se parecen a estos, el escaneo está funcionando correctamente. VergeOS tiene una superficie de ataque mínima por diseño. Si su auditor requiere evidencia adicional más allá de los resultados del escaneo, consulte Orientación sobre parches y actualizaciones a continuación.
Frecuencia de escaneo
Alinee la frecuencia de escaneo con los requisitos de su marco de cumplimiento (p. ej., trimestral para PCI-DSS, mensual para la política interna). Como VergeOS expone una superficie de ataque mínima, es poco probable que los resultados del escaneo cambien entre actualizaciones de la plataforma; programe los escaneos después de aplicar las actualizaciones para capturar el estado actual.
Escaneos con credenciales frente a escaneos sin credenciales
Los escaneos sin credenciales contra la IP de administración son el enfoque recomendado. Estos escaneos identifican servicios expuestos y vulnerabilidades conocidas sin requerir acceso a nivel de host.
Los escaneos con credenciales requieren acceso SSH, que está deshabilitado de forma predeterminada en VergeOS. Habilitar SSH para el escaneo rutinario no es recomendado.
Si su marco de cumplimiento exige específicamente un escaneo con credenciales:
Habilite SSH solo durante la duración del escaneo.
Restrinja el acceso SSH a la IP de origen del escáner mediante reglas de firewall.
Deshabilite SSH inmediatamente después de que finalice el escaneo.
Documente el acceso temporal en sus registros de cumplimiento.
Consulte Habilitar el acceso SSH del sistema para el procedimiento completo.
Orientación sobre parches y actualizaciones
Los nodos VergeOS se parchean a través del sistema de actualización integrado, no mediante la gestión tradicional de paquetes del sistema operativo. Esta es una distinción importante para los flujos de trabajo de cumplimiento y corrección de vulnerabilidades.
Vaya a Sistema > Actualizaciones para buscar actualizaciones disponibles.
Revise las notas de la versión para ver las correcciones de seguridad y las remediaciones de CVE incluidas en cada versión.
Siga la guía de actualización de VergeOS para conocer las mejores prácticas al aplicar actualizaciones.
Para entornos aislados de Internet, consulte Actualización de un sistema VergeOS con licencia Airgap para la aplicación de parches sin conexión.
Respuesta a CVE informadas por el escáner
Cuando un escáner marca una CVE en la interfaz de administración:
Consulte la las notas de la versión para determinar si la CVE ha sido corregida en la versión actual o en una versión más reciente de VergeOS.
Si hay una actualización disponible que corrige la CVE, aplíquela a través de Sistema > Actualizaciones.
Si la CVE no está corregida en ninguna versión disponible, contacte con Soporte de VergeOS para informar del hallazgo y solicitar orientación.
Ejemplo de redacción de cumplimiento
Al documentar la postura de seguridad de su hipervisor para los auditores, puede adaptar lo siguiente:
"VergeOS es un sistema operativo hiperconvergente endurecido y diseñado específicamente para este propósito, con un sistema de archivos overlay de solo lectura y una superficie externa de ataque mínima. La plataforma no utiliza la gestión tradicional de paquetes del sistema operativo; todos los parches de seguridad se entregan mediante actualizaciones gestionadas por el proveedor aplicadas a través del sistema de actualización integrado. La versión actual [X.Y.Z] se aplicó el [fecha]. Las notas de la versión que documentan las remediaciones de CVE para cada versión están disponibles en docs.verge.io/release-notes."
Resolución de problemas
Recursos adicionales
Nueva configuración del sistema — Configuración inicial de seguridad y fiabilidad para nuevos despliegues
Actualización de un sistema VergeOS con licencia Airgap — Aplicación de parches sin conexión para entornos aislados de Internet
Alarmas del sistema — Supervisión proactiva de configuraciones vulnerables
Autenticación multifactor — TOTP y 2FA basada en correo electrónico para el acceso administrativo
Microsegmentación de red — Aislamiento de red de confianza cero entre cargas de trabajo
Comentarios
Última actualización
¿Te fue útil?