Nachdem wir uns im ersten Teil der Serie häuslich eingerichtet haben, werden wir jetzt wirklich ans Eingemachte gehen und das Basisplaybook, sowie die ersten Aktionen bauen. Weiterlesen
UPDATE: Nach einem Hinweis von Falco in den Kommentaren zu diesem Artikel muss ich meine Aussage zu den Hypervisorbreakouts revidieren. Nach genauerer Recherche aufgrund des Hinweises im VMware Advisory, muss konstatiert werden, dass es mittels der Variante aus CVE-2017-5715 sehr wohl möglich ist, den Speicher des Hypervisor auszulesen und damit Daten anderer, eigentlich nicht sichtbarer VMs auf dem gleichen System auszulesen!
Seit Ende letzten Jahres sind im Internet diverse Gerüchte über eine massive Sicherheitslücke aufgetaucht, die alle Systeme (Linux, macOS, Windows) und alle Prozessorarchitekturen (x86, x64, ARM, Power, …) betrifft. Seit heute haben wir Gewissheit, dass das nicht nur Gerüchte waren: mit der Veröffentlichung von Meltdown/Spectre haben wir eine der flächendeckendsten Schwachstellen in der IT-Infrastruktur seit langem und es handelt sich nicht um einen Software-Bug, sondern um einen Designfehler in den CPUs selbst. In diesem Artikel werde ich versuchen, den doch sehr komplexen Hintergrund der Angriffe auf einigermaßen verständliche Begriffe herunter zu brechen, damit sich jeder ein Bild von den Auswirkungen und der Gefährdung machen kann. Etwas technisches Interesse und Geduld vorausgesetzt, werde ich hier den Hintergrund (grob) darstellen und erklären, was da eigentlich schiefgeht.
UPDATE: Nach einem Hinweis von Falco in den Kommentaren zu dem anderen Artikel muss ich meine Aussage zu den Hypervisorbreakouts revidieren. Nach genauerer Recherche aufgrund des Hinweises im VMware Advisory, muss konstatiert werden, dass es mittels der Variante aus CVE-2017-5715 sehr wohl möglich ist, den Speicher des Hypervisor auszulesen und damit Daten anderer, eigentlich nicht sichtbarer VMs auf dem gleichen System auszulesen!
Mit Spectre/Meltdown hat uns heute eine ziemlich deftige Hiobsbotschaft erreicht. Zwei verwandte Fehler in den CPUs selbst ermöglichen es, die Speicherisolation zwischen Prozessen zu umgehen und somit ohne besondere Privilegien den gesamten Hauptspeicher auszulesen.
In einer beweglichen und agilen Cloud Umgebung wird es immer wichtiger, dass Server Systeme vollautomatisch ausgerollt werden, um den Erwartungen der Nutzer gerecht zu werden. Noch vor wenigen Jahren war es völlig normal, dass man auf einen neuen Server mehrere Wochen warten musste, aber in der heutigen Welt, wo man sich innerhalb von 5 Minuten einen virtuellen Server bei Amazon klicken kann, haben sich die Ansprüche verschoben. Selbst wenige Tage Wartezeit auf einen Server werden schon als inakzeptabel empfunden.
Daher möchte ich in dieser Serie meine Erfahrungen mit Ansible schildern und aufzeigen, welche Wege funktionieren und was man vielleicht vermeiden sollte. Alles hier Dargestellte beruht auf meinen Erfahrungen und stellt nicht „die absolute Wahrheit“ dar, sondern zeigt den Status Quo auf, an dem ich nach einigem Hin und Her angekommen bin. Wer alternative Ideen, Anmerkungen oder Verbesserungsvorschläge hat, ist herzlich eingeladen diese hier in den Kommentaren abzuladen!
Proact Deutschland GmbH
Südwestpark 43
90449 Nürnberg
Mail: info@proact.de
Tel.: 0911 309990