Dominio di servizio
Un dominio di servizio fornisce alcuni servizi virtuali ai domini guest nel sistema. Tali servizi possono includere servizi di switch virtuale, disco virtuale o console virtuale.
La Figure 1–6 mostra un esempio di dominio di servizio che offre servizi di console. Il dominio di controllo spesso ospita i servizi di console, assumendo in tal modo la funzionalità di un dominio di servizio. I domini dell'ambiente di esecuzione spesso combinano le funzioni di un dominio di controllo, un dominio I/O e un dominio di servizio in uno o due domini.
Minaccia: manipolazione di un dominio di servizio
Un intruso che assume il controllo di un dominio di servizio può manipolare i dati o intercettare qualsiasi comunicazione eseguita tramite i servizi offerti. Questo controllo può includere l'accesso della console ai domini guest, l'accesso ai servizi di rete o l'accesso ai servizi su disco.
Valutazione: manipolazione di un dominio di servizio
Sebbene le strategie di attacco siano le stesse di un attacco al dominio di controllo, i danni possibili sono inferiori in quanto l'intruso non può modificare la configurazione del sistema. Il danno risultante potrebbe includere il furto o la manipolazione di dati offerti dal dominio di servizio, ma non la manipolazione di alcuna sorgente di dati. A seconda del servizio, è possibile che un intruso debba scambiare i moduli kernel.
Figura 1-6 Esempio di dominio di servizio
Contromisura: isolamento dei domini di servizio tramite granularità
Se possibile, fare in modo che ciascun dominio di servizio offra solo un servizio ai client. Questa configurazione garantisce che, in caso di violazione di un dominio di servizio, venga compromesso un solo servizio. Accertarsi tuttavia di valutare l'importanza di questo tipo di configurazione a fronte della complessità aggiuntiva. Tenere presente che la presenza di domini I/O ridondanti è altamente consigliata.
Contromisura: isolamento dei domini di servizio e dei domini guest
Accertarsi che il dominio di servizio e il dominio guest non condividano la stessa porta di rete. Evitare inoltre di attivare (plumb) qualsiasi interfaccia dello switch virtuale nel dominio di servizio. Per i domini di servizio di Oracle Solaris 11, evitare di attivare (plumb) qualsiasi VNIC sulle porte fisiche utilizzate per gli switch virtuali.
Qualora sia necessario utilizzare la stessa porta di rete sia per il SO Oracle Solaris 10 che per Oracle Solaris 11, situare il traffico del dominio I/O in una VLAN non utilizzata dai domini guest.
Qualora non sia possibile implementare alcuna delle soluzioni precedenti, evitare di attivare (plumb) lo switch virtuale nel SO Oracle Solaris 10 e applicare i filtri IP nel SO Oracle Solaris 11.
È possibile isolare i domini di servizio sia di Oracle Solaris 10 che di Oracle Solaris 11 rispetto ai domini guest. Le soluzioni riportate di seguito sono elencate nell'ordine di implementazione preferito.
Contromisura: limitazione dell'accesso alle console virtuali
Accertarsi che l'accesso alle singole console virtuali sia limitato solo agli utenti che hanno necessità di accedervi. Questa configurazione garantisce che nessun singolo amministratore possa accedere a tutte le console e impedire in tal modo l'accesso a tutte le console non assegnate a un account compromesso. Vedere How to Create Default Services in Oracle VM Server for SPARC 3.2 Administration Guide .