Logical Domains Manager는 컨트롤 도메인에서 실행되고 하이퍼바이저를 구성하는 데 사용되며, 모든 도메인 및 해당 하드웨어 리소스를 만들고 구성합니다. Logical Domains Manager 사용은 기록 및 모니터링되어야 합니다.
공격자가 관리자의 사용자 ID를 도용하거나 다른 그룹의 관리자가 다른 시스템에 대해 허용되지 않은 액세스 권한을 얻을 수 있습니다.
적절한 ID 관리를 통해 관리자가 시스템에 대한 불필요한 액세스 권한을 보유하지 않도록 하십시오. 또한 엄격하고 세밀한 액세스 제어 및 기타 방법(두 사람 규칙 등)을 구현하십시오.
권한을 사용하여 Logical Domains Manager 및 기타 관리 도구에 대해 두 사람 규칙 구현을 고려하십시오. Enforcing a Two Man Rule Using Solaris 10 RBAC. 이 규칙은 소셜 엔지니어링 공격, 유출된 관리 계정 및 사람의 실수로부터 보호합니다.
ldm 명령에 대해 권한을 사용하면 세밀한 액세스 제어를 구현하고 완전한 추적 기능을 유지할 수 있습니다. 권한 구성에 대한 자세한 내용은 Oracle VM Server for SPARC 3.2 관리 설명서 를 참조하십시오. 권한을 사용하면 ldm 명령의 일부 기능을 모든 관리자가 사용할 수 없게 되므로 사람의 실수로부터 보호하는 데 도움이 됩니다.
불필요한 도메인 관리 서비스를 사용 안함으로 설정합니다. Logical Domains Manager는 도메인 액세스, 모니터링 및 마이그레이션을 위한 네트워크 서비스를 제공합니다. 네트워크 서비스를 사용 안함으로 설정하면 Logical Domains Manager의 공격 범위가 일반적으로 운영하는 데 필요한 최소 범위로 줄어듭니다. 이 시나리오를 통해 서비스 거부 공격 및 이러한 네트워크 서비스를 오용하려는 기타 시도에 대비할 수 있습니다.
다음 네트워크 서비스를 사용하지 않는 경우 사용 안함으로 설정합니다.
TCP 포트 8101의 마이그레이션 서비스
이 서비스를 사용 안함으로 설정하려면 ldmd(1M) 매뉴얼 페이지에서 ldmd/incoming_migration_enabled 및 ldmd/outgoing_migration_enabled 등록 정보에 대한 설명을 참조하십시오.
TCP 포트 6482의 XMPP(확장성 메시징 및 프레즌스 프로토콜) 지원
이 서비스를 사용 안함으로 설정하는 방법에 대한 자세한 내용은 Oracle VM Server for SPARC 3.2 관리 설명서 의 XML 전송을 참조하십시오.
XMPP를 사용 안함으로 설정하면 도메인 마이그레이션, 메모리 동적 재구성, ldm init-system 명령과 같은 주요 Oracle VM Server for SPARC 기능을 사용할 수 없습니다. 또한 XMPP를 사용 안함으로 설정하면 Oracle VM Manager 또는 Ops Center에서 시스템을 관리하지 못하게 됩니다.
UDP 포트 161의 SNMP(Simple Network Management Protocol)
Oracle VM Server for SPARC MIB(Management Information Base)를 사용하여 도메인을 관찰할지 여부를 확인합니다. 이 기능을 사용하려면 SNMP 서비스를 사용으로 설정해야 합니다. 선택 사항에 따라 다음 중 하나를 수행합니다.
SNMP 서비스가 Oracle VM Server for SPARC MIB를 사용하도록 설정합니다. Oracle VM Server for SPARC MIB를 안전하게 설치합니다. Oracle VM Server for SPARC 3.2 관리 설명서 의 Oracle VM Server for SPARC MIB 소프트웨어 패키지를 설치하는 방법 및 Oracle VM Server for SPARC 3.2 관리 설명서 의 보안 관리를 참조하십시오.
SNMP 서비스를 사용 안함으로 설정합니다. 이 서비스를 사용 안함으로 설정하는 방법에 대한 자세한 내용은 Oracle VM Server for SPARC 3.2 관리 설명서 의 Oracle VM Server for SPARC MIB 소프트웨어 패키지를 제거하는 방법을 참조하십시오.
멀티캐스트 주소 239.129.9.27 및 64535 포트의 검색 서비스
Logical Domains Manager 데몬 ldmd가 실행 중인 동안에는 이 서비스를 사용 안함으로 설정할 수 없습니다. 대신 Oracle Solaris의 IP 필터 기능을 사용하여 이 서비스에 대한 액세스를 차단합니다. 그러면 Logical Domains Manager의 공격 영역이 최소화됩니다. 액세스를 차단하면 유틸리티를 무단으로 사용할 수 없게 되어 결과적으로 서비스 거부 공격과 이러한 네트워크 서비스를 잘못 사용하려는 시도를 방어할 수 있습니다. Oracle Solaris Administration: IP Services 의 20 장, IP Filter in Oracle Solaris (Overview) 및 Oracle Solaris Administration: IP Services 의 Using IP Filter Rule Sets를 참조하십시오.
대처 방법: ILOM 보안도 참조하십시오.
Logical Domains Manager 보호는 전체 시스템의 보안에 매우 중요합니다. Oracle VM Server for SPARC 구성에 대한 모든 변경 사항은 악의적인 작업 추적을 위해 기록해야 합니다. 정기적으로 로그를 검사 및 감사하고 안전한 보관을 위해 별도의 시스템에 로그를 복사해 두십시오. 자세한 내용은 Oracle VM Server for SPARC 3.2 관리 설명서 의 2 장, Oracle VM Server for SPARC 보안을 참조하십시오.