Construya su seguridad SDDC con tres componentes

Medidas de seguridad de las cuentas de usuario

Otra amenaza común para la seguridad de SDDC es una cuenta con privilegios, como la cuenta raíz de Unix o las cuentas de administrador de Windows. Estas cuentas pueden verse comprometidas y dar a un hacker reinado libre en sus sistemas. Una forma de evitar esto es imponiendo el uso seguro de contraseñas y requiriendo autenticación multifactor siempre que sea posible.

Hay dos formas principales en que puede ayudar a prevenir una cuenta comprometida.

Primero, cree un bosque dedicado de Active Directory que solo brinde servicios de autenticación para su infraestructura SDDC. Debería unir sus hipervisores, servidores de administración y cualquier otro componente de infraestructura de bajo nivel a un dominio de nivel de bosque para obtener ciertos permisos. El uso de la autenticación basada en Active Directory puede facilitar la auditoría del uso de cuentas privilegiadas en su SDDC.

En segundo lugar, use cuentas de servicio de un solo propósito en lugar de tener una cuenta de servicio para todo el SDDC. Cuando usa una cuenta de servicio para múltiples propósitos, la cuenta comienza a acumular más privilegios que los necesarios para cualquier tarea. Esto es peligroso porque si la cuenta está comprometida, el atacante tendrá a su disposición amplios privilegios de cuenta.

Este principio también se aplica a las cuentas administrativas. En lugar de otorgar al personal de TI acceso administrativo sin restricciones, use los controles de acceso basados ​​en roles para limitar el alcance de cada cuenta con privilegios. Si los miembros del personal de TI necesitan permisos administrativos de alto nivel, considere crear una serie de cuentas con menos privilegios en lugar de otorgar todos los privilegios necesarios a una sola cuenta.

Almacenamiento como un componente de seguridad SDDC

El acceso al almacenamiento también es una vulnerabilidad potencial para la seguridad del SDDC porque una capa de software administra los recursos de almacenamiento. Un atacante puede obtener acceso sin restricciones a su almacenamiento a pesar de otras medidas de seguridad que pueda haber implementado. Afortunadamente, puede mitigar este problema mediante la autenticación y el cifrado.

Además, asegúrese de requerir autenticación bidireccional si está usando almacenamiento iSCSI. El sistema debe requerir la autenticación del host antes de montar el objetivo iSCSI. Al mismo tiempo, los hosts deben requerir un Protocolo de autenticación por desafío mutuo (Challenge-Handshake) para evitar conexiones no autorizadas.

También debe incluir el cifrado para los datos en reposo y los datos en movimiento. La protección de datos en reposo significa cifrar el volumen de almacenamiento. Si el volumen contiene discos duros virtuales, debe cifrar el contenido de esos discos duros virtuales.

Utilice un segmento de red dedicado, una red de área local virtual o un cifrado IPsec para proteger los datos en movimiento.