WEBVTT

00:00.330 --> 00:01.350
Instrutor: Nesta lição,

00:01.350 --> 00:03.780
discutiremos os ataques a máquinas virtuais,

00:03.780 --> 00:07.410
incluindo fugas de VMs, saltos de VMs, fugas de sandboxes e outras questões

00:07.410 --> 00:09.360
relacionadas a VMs.

00:09.360 --> 00:12.680
Primeiro, temos os escapes de VM ou escapes de máquina virtual.

00:12.680 --> 00:14.940
Uma fuga de VM é um tipo de ataque em que um agente

00:14.940 --> 00:16.230
de ameaça tenta sair de uma

00:16.230 --> 00:18.120
máquina virtual isolada e, em seguida,

00:18.120 --> 00:19.380
enviar comandos diretamente

00:19.380 --> 00:21.270
para o hipervisor subjacente.

00:21.270 --> 00:23.820
Como cada máquina virtual deve ser isolada,

00:23.820 --> 00:25.350
deve ser muito difícil realizar

00:25.350 --> 00:27.300
uma fuga de VM.

00:27.300 --> 00:29.580
Afinal de contas, cada sistema operacional

00:29.580 --> 00:31.200
convidado nem deveria saber que

00:31.200 --> 00:32.910
faz parte de uma máquina virtual,

00:32.910 --> 00:34.710
pois ainda acha que tem acesso total

00:34.710 --> 00:36.330
à máquina física emulada que o hipervisor

00:36.330 --> 00:38.340
está fornecendo.

00:38.340 --> 00:40.260
Para que uma fuga de VM seja eficaz, o invasor

00:40.260 --> 00:42.780
precisa encontrar uma maneira de interagir diretamente

00:42.780 --> 00:44.880
com os recursos físicos subjacentes, como

00:44.880 --> 00:46.830
a memória, o disco rígido ou o processamento

00:46.830 --> 00:48.990
do servidor físico.

00:48.990 --> 00:51.210
Isso geralmente ocorre por meio da exploração de uma vulnerabilidade

00:51.210 --> 00:53.220
no próprio código do hipervisor.

00:53.220 --> 00:54.480
Houve alguns casos em que

00:54.480 --> 00:56.760
isso ocorreu e os fabricantes desenvolveram

00:56.760 --> 00:59.310
e lançaram correções assim que descobriram essas

00:59.310 --> 01:00.840
vulnerabilidades.

01:00.840 --> 01:04.080
O escape da VM é mais fácil de ser realizado em um hipervisor do tipo

01:04.080 --> 01:06.330
dois do que em um hipervisor do tipo um.

01:06.330 --> 01:08.940
Se você estiver usando um hipervisor do tipo dois ou post-it,

01:08.940 --> 01:10.650
o invasor poderá obter acesso ao sistema

01:10.650 --> 01:12.210
operacional subjacente que está realmente

01:12.210 --> 01:14.400
hospedando suas máquinas virtuais.

01:14.400 --> 01:16.170
Se conseguirem, poderão escalar

01:16.170 --> 01:17.370
seus privilégios e acessar

01:17.370 --> 01:19.620
outras máquinas virtuais hospedadas no

01:19.620 --> 01:21.203
mesmo dispositivo e, na prática,

01:21.203 --> 01:23.820
criar uma fuga de máquina virtual.

01:23.820 --> 01:25.620
Para evitar o escape de uma máquina virtual,

01:25.620 --> 01:26.910
é sempre importante garantir

01:26.910 --> 01:29.790
que o sistema operacional convidado, o sistema operacional

01:29.790 --> 01:33.270
host e o hipervisor permaneçam corrigidos e atualizados.

01:33.270 --> 01:36.750
Em segundo lugar, temos o VM hopping ou salto de máquina virtual.

01:36.750 --> 01:38.970
Agora, o VM hopping é um tipo de ataque em

01:38.970 --> 01:40.440
que o agente da ameaça tenta

01:40.440 --> 01:43.860
mudar de uma máquina virtual para outra no mesmo host.

01:43.860 --> 01:46.530
Um ataque de VM hopping se concentrará na exploração

01:46.530 --> 01:48.750
do hipervisor do software de virtualização

01:48.750 --> 01:51.360
ou em algum tipo de recurso para se mover entre as duas

01:51.360 --> 01:53.730
máquinas virtuais supostamente isoladas.

01:53.730 --> 01:56.340
Agora, o VM hopping parece semelhante a um escape de VM,

01:56.340 --> 01:57.960
mas há uma diferença fundamental:

01:57.960 --> 02:00.090
o VM hopping agora se concentra na movimentação

02:00.090 --> 02:02.340
entre uma máquina virtual e outra.

02:02.340 --> 02:03.818
Por outro lado, quando falamos

02:03.818 --> 02:06.720
sobre o escape da VM, o foco é atingir o hipervisor subjacente

02:06.720 --> 02:08.550
ou o sistema operacional do host.

02:08.550 --> 02:10.170
Para se proteger contra o VM hopping, você

02:10.170 --> 02:11.820
deve sempre garantir que seu hipervisor esteja

02:11.820 --> 02:13.603
atualizado e devidamente corrigido.

02:13.603 --> 02:15.843
Além disso, você precisa garantir que os sistemas operacionais

02:15.843 --> 02:18.750
convidados e o hipervisor estejam configurados com segurança usando

02:18.750 --> 02:20.910
um guia de configuração de práticas recomendadas para

02:20.910 --> 02:22.830
garantir que não haja conexões errôneas entre

02:22.830 --> 02:25.650
as máquinas virtuais que deveriam ter sido isoladas.

02:25.650 --> 02:27.930
Terceiro, temos um escape de sandbox.

02:27.930 --> 02:30.000
Agora, uma sandbox é um mecanismo de segurança

02:30.000 --> 02:31.710
usado para separar processos e programas

02:31.710 --> 02:34.620
em execução em um esforço para reduzir a propagação de falhas do sistema

02:34.620 --> 02:36.840
ou vulnerabilidades de software.

02:36.840 --> 02:39.960
Geralmente, as sandboxes são criadas usando máquinas virtuais

02:39.960 --> 02:41.370
ou conteinerização.

02:41.370 --> 02:44.070
Os navegadores da Web, por exemplo, costumam usar o conceito

02:44.070 --> 02:46.440
de sandboxing para separar o código da Web em execução

02:46.440 --> 02:48.030
do sistema operacional protegido

02:48.030 --> 02:49.950
ou de outro software no sistema.

02:49.950 --> 02:51.630
Agora, uma fuga da sandbox ocorrerá

02:51.630 --> 02:52.620
quando um invasor conseguir

02:52.620 --> 02:54.690
contornar as proteções da sandbox para obter

02:54.690 --> 02:57.057
acesso ao sistema operacional protegido para outros

02:57.057 --> 02:59.190
processos privilegiados.

02:59.190 --> 03:01.130
Para proteger seus sistemas contra uma fuga da

03:01.130 --> 03:02.880
sandbox, é importante garantir que seu software

03:02.880 --> 03:06.173
e seus sistemas operacionais permaneçam corrigidos e atualizados, além de garantir

03:06.173 --> 03:08.460
que você tenha um software robusto de proteção de endpoint

03:08.460 --> 03:11.640
instalado em seu cliente e que você limite as extensões ou complementos instalados

03:11.640 --> 03:14.490
em seus navegadores da Web, no caso de proteção contra fugas da sandbox

03:14.490 --> 03:16.920
do navegador da Web.

03:16.920 --> 03:19.530
Em quarto lugar, temos algumas preocupações sobre as quais também

03:19.530 --> 03:21.600
precisamos falar quando pensamos em máquinas virtuais

03:21.600 --> 03:23.160
e ambientes virtualizados.

03:23.160 --> 03:26.250
Isso inclui coisas como migrações e dados remanescentes.

03:26.250 --> 03:27.510
Agora, um dos principais benefícios

03:27.510 --> 03:28.890
de usar um ambiente virtual é que você

03:28.890 --> 03:30.570
pode migrar uma máquina virtual de um host

03:30.570 --> 03:33.270
para outro, mesmo enquanto ela estiver em execução.

03:33.270 --> 03:35.280
Isso é chamado de migração em tempo real.

03:35.280 --> 03:37.290
Agora, essa migração ocorre pela rede.

03:37.290 --> 03:38.700
Portanto, é importante sempre

03:38.700 --> 03:41.276
garantir que a migração ocorra somente em uma rede confiável

03:41.276 --> 03:43.678
ou que utilize a criptografia adequada entre o servidor

03:43.678 --> 03:46.020
que está configurando a máquina virtual e o servidor

03:46.020 --> 03:48.480
que está recebendo essa máquina virtual.

03:48.480 --> 03:49.830
No entanto, se a migração em tempo

03:49.830 --> 03:51.570
real ocorrer por meio de uma conexão não

03:51.570 --> 03:53.700
criptografada, haverá a possibilidade de que

03:53.700 --> 03:56.730
os dados contidos nessa máquina virtual sejam expostos a olhos curiosos

03:56.730 --> 03:58.674
ou tenham sua integridade comprometida por

03:58.674 --> 04:01.200
um invasor usando um ataque on path.

04:01.200 --> 04:03.150
Para evitar isso, as imagens de máquinas virtuais

04:03.150 --> 04:04.710
devem ser criptografadas antes de serem

04:04.710 --> 04:06.840
enviadas de um servidor para outro pela rede.

04:06.840 --> 04:09.810
Lembre-se de que os servidores não são mais apenas dispositivos físicos

04:09.810 --> 04:11.580
localizados dentro de nossos data centers,

04:11.580 --> 04:13.680
mas também são máquinas virtuais que são simplesmente

04:13.680 --> 04:16.410
um arquivo localizado em algum tipo de sistema de arquivos.

04:16.410 --> 04:18.930
E esses arquivos podem ser roubados por um invasor.

04:18.930 --> 04:21.300
Outra grande preocupação ao utilizar máquinas virtuais

04:21.300 --> 04:23.024
em um ambiente de nuvem são os restos de dados

04:23.024 --> 04:24.420
que podem ser deixados quando você

04:24.420 --> 04:27.150
desprovisiona o excesso de servidores virtuais.

04:27.150 --> 04:29.520
Muitos provedores de nuvem utilizam armazenamento em bloco

04:29.520 --> 04:31.323
que pode permitir que os dados que não são mais

04:31.323 --> 04:34.230
necessários sejam deixados em seus dispositivos de armazenamento.

04:34.230 --> 04:36.622
Se não forem apagados corretamente, esses dados poderão

04:36.622 --> 04:38.700
ser acessados por usuários não autorizados.

04:38.700 --> 04:40.620
Para atenuar essa ameaça de restos de dados, você

04:40.620 --> 04:42.270
deve sempre criptografar os locais de armazenamento

04:42.270 --> 04:43.680
da máquina virtual e garantir que a

04:43.680 --> 04:45.240
chave de criptografia seja destruída

04:45.240 --> 04:47.430
sempre que a máquina virtual não for mais necessária e

04:47.430 --> 04:49.020
for desprovisionada.

04:49.020 --> 04:50.160
A última coisa que precisamos

04:50.160 --> 04:52.650
abordar em termos de segurança é a expansão da VM, também

04:52.650 --> 04:54.990
conhecida como expansão da máquina virtual.

04:54.990 --> 04:57.720
Agora, a expansão da máquina virtual é a implantação descontrolada

04:57.720 --> 04:59.664
de uma ou mais máquinas virtuais.

04:59.664 --> 05:01.920
Essa é uma grande área de vulnerabilidade para

05:01.920 --> 05:03.540
você como organização, porque você

05:03.540 --> 05:05.340
tem essas VMs desonestas que estão sendo

05:05.340 --> 05:06.540
instaladas sem autorização

05:07.403 --> 05:09.030
em toda a sua rede.

05:09.030 --> 05:11.730
Isso significa que o gerenciamento do sistema não está sendo feito

05:11.730 --> 05:14.460
para essas máquinas, porque você não sabe que elas existem.

05:14.460 --> 05:15.990
E como você não sabe o que existe,

05:15.990 --> 05:17.610
não está aplicando os patches de

05:17.610 --> 05:20.370
segurança, atualizando e colocando soluções antimalware

05:20.370 --> 05:23.130
ou antivírus para proteger essas máquinas.

05:23.130 --> 05:25.845
Por isso, essas VMs se tornam muito suscetíveis

05:25.845 --> 05:27.300
a um ataque.

05:27.300 --> 05:29.310
E se um invasor conseguir encontrar uma

05:29.310 --> 05:30.843
dessas VMs desonestas causadas

05:30.843 --> 05:33.330
pela expansão de VMs, ele poderá atacá-la e obtê-la

05:33.330 --> 05:36.480
como um ponto de articulação para o restante da rede e, em seguida,

05:36.480 --> 05:39.000
tentar escapar da VM ou saltar da VM para outras

05:39.000 --> 05:40.860
áreas da rede.

05:40.860 --> 05:42.270
Portanto, tenha isso em mente,

05:42.270 --> 05:45.240
pois a expansão da VM é um grande problema, especialmente se você

05:45.240 --> 05:46.725
tiver muitos prestadores de serviços

05:46.725 --> 05:49.470
e desenvolvedores trabalhando na sua rede e eles não fizerem

05:49.470 --> 05:51.120
parte da sua equipe normal e não seguirem

05:51.120 --> 05:52.290
os processos normais de controle

05:52.290 --> 05:54.000
de alterações.

05:54.000 --> 05:56.880
Portanto, mais uma vez, nesta lição, falamos sobre alguns dos

05:56.880 --> 05:59.045
requisitos de segurança nos quais você deve pensar

05:59.045 --> 06:00.810
e algumas das vulnerabilidades que podem

06:00.810 --> 06:03.360
ir contra esses requisitos de segurança.

06:03.360 --> 06:06.330
Isso inclui coisas como fugas de VMs, saltos de VMs, fugas

06:06.330 --> 06:09.303
de sandboxes e expansão de máquinas virtuais.