Netzwerkeinrichtung in VM

Neon10 · 1. September 2017

Das Netzwerk Adapter meiner VM war auf NAT eingestellt. Jetzt habe ich erfahren, dass Schädlinge so, über das Netzwerk ausbrechen und über meinen PC auf meinen Router zugreifen und von dort aus andere Teilnehmer ausspionieren können.
Wie richte ich das Netzwerk in VMWare so ein, dass die VM nicht das Internet meines PCs benutzt, also nicht durch den Host geht?

HominiLupus · 1. September 2017

Entweder du willst kein Internet in der VM, dann entferne den Netzwerkadapter.
Oder du willst Internet, und dann ist es eben so.

Eine VM ist "für die Sicherheit" totaler Quatsch und völlig nutzlos. In beide Richtungen.

RalphS · 1. September 2017

Natürlich geht das.

Aber es erfordert einen dedizierten LAN-Port (RJ45) und eine dedizierte Leitung zum Switch (oder zur fritzbox).

Den bindet man dann an die VM.

HominiLupus · 2. September 2017

über meinen PC auf meinen Router zugreifen

Dagegen hilft keine exklusive Leitung zum Router...
Auch das NAT hat da keine Auswirkungen. Eine dedizierte Leitung mag den Durchsatz verbessern, aber sonst sehe ich keine wirklichen Vorteile irgendwelcher Art.

RalphS · 2. September 2017

Genau, über meinen PC auf den Router. So hatte ich das verstanden - möglicherweise aber miß, gut möglich.

Wenn man die VM dediziert an einen LAN-Port hängt (kein Sharing wie normal!) sodaß also dieser Port für den Host NICHT mehr verfügbar ist, dann KANN die VM nicht über den PC zugreifen, weil sie -zumindest über den Netzwerkstapel- nicht mehr an den Host rankommt.

Andersherum, ie. daß also die VM irgendwas über den Router an den PC "schickt", läßt sich so natürlich nicht umgehen, das stimmt. Da kann man aber mit einer gescheiten Firewallkonfiguration, soweit möglich am Router, ansonsten an den anderen Clients, nachhelfen.

Note: Dies unter der Annahme, daß der VM selbst nicht zu vertrauen ist. Sonst kann man natürlich einfach an der VM-Firewall zumachen.

HominiLupus · 2. September 2017

Wenn die VM nicht vertrauenswürdig ist, dann hilft gar nix. Weil die dann aus der VM auf den Host ausbricht, egal wie. Da ist die Netzwerkanbdinung egal.
Wenn sie via dem Router ausbrechen will, muss sie eine Schwachstelle des Routers ausnutzen: wieder egal wie sie da angebunden ist.
Einzig wenn der Fehler rein in der NAT Umsetzung der VM liegt und die "direkte" Verbindung keine Schwachstelle hat, ist da ein Gewinn an Sicherheit. Der ist aber so klein, den sieht man kaum.

VMs zur "Sicherheit" ist Schlangenöl.

0-8-15 User · 8. September 2017

Der Anteil an Schadsoftware, die darauf spezialisiert ist aus einer VM auszubrechen, ist verschwindend gering.

kwai · 8. September 2017

Neon10 schrieb:
Wie richte ich das Netzwerk in VMWare so ein, dass die VM nicht das Internet meines PCs benutzt, also nicht durch den Host geht?

In dem Fall einfach den Netzwerkadapter in den VM Einstellungen entfernen.
Falls Du Daten sharen möchtest kannst du das dann immer noch via USB Stick oder "Shared Folders" im Read Only Mode.

Menig · 12. September 2017

Die Frage ist natürlich auch immer.... Wo fängt Security auf und fängt Paranoia an ? ^^

andy_m4 · 15. September 2017

HominiLupus schrieb:
Wenn die VM nicht vertrauenswürdig ist, dann hilft gar nix. Weil die dann aus der VM auf den Host ausbricht, egal wie. Da ist die Netzwerkanbdinung egal.
Wenn sie via dem Router ausbrechen will, muss sie eine Schwachstelle des Routers ausnutzen: wieder egal wie sie da angebunden ist.
Einzig wenn der Fehler rein in der NAT Umsetzung der VM liegt und die "direkte" Verbindung keine Schwachstelle hat, ist da ein Gewinn an Sicherheit. Der ist aber so klein, den sieht man kaum.

VMs zur "Sicherheit" ist Schlangenöl.

Und wie soll man das ganze stattdessen absichern?

Unter Linux nimmt man zur Isolierung von potentiell nicht vertrauenswürdigen Prozessen gerne Secomp. Nur hast Du ja auch wie bei der VM ähnliche Probleme. Bei der VM bist Du darauf angewiesen, dass die VM-Software (Hypervisor etc.) sicher implementiert ist. Bei Secomp eben darauf, dass Secomp sicher implementiert ist und die Secomp-Filter korrekt konfiguriert sind.

Daher ist die Argumentation a-la nimm XYZ nicht, denn XYZ könnte unsicher sein irgendwie zu kurz gegriffen.
Außerdem kaum hilfreich, wenn man nicht alternative Vorgehensweisen nennt.

Suche

Netzwerkeinrichtung in VM

Neon10

Newbie

HominiLupus

Banned

RalphS

Gast

HominiLupus

Banned

RalphS

Gast

HominiLupus

Banned

0-8-15 User

Vice Admiral

kwai

Lieutenant

Menig

Cadet 1st Year

andy_m4

Vice Admiral

Ähnliche Themen