ESXi में स्वैप फ़ाइलों को अक्षम कैसे करें?

Question

हम ESXi पर कुछ सोलारिस / लिनक्स वीएम चला रहे हैं जिनमें बहुत संवेदनशील एन्क्रिप्टेड डेटा होते हैं जो अंततः मेमोरी में आवश्यकतानुसार डिक्रिप्ट हो जाते हैं।

सब कुछ ठीक है, सिवाय ESXi स्वैप फ़ाइलों के जो संभावित रूप से डिक्रिप्ट किए गए डेटा में से कुछ को संग्रहीत कर सकते हैं, केक के शीर्ष पर चेरी है कि इन फ़ाइलों को एक मेजबान दुर्घटना के मामले में हटाया नहीं जाएगा।

क्या इन फ़ाइलों को पूरी तरह से अक्षम करने का कोई तरीका है?

हमने पहले ही प्रति VM के आधार पर VM को संपूर्ण आबंटित RAM को संग्रहीत करने का प्रयास किया, लेकिन फाइलें अभी भी बनी हुई हैं।

ईएसएक्सआई स्वैपिंग को पूरे मेजबान के लिए पूरी तरह से अक्षम करने या केवल कुछ वीएम के लिए क्या करना होगा?

Comments

क्या आप केवल एक ऐसी स्थिति से चिंतित हैं जहाँ आपका ESXi होस्ट क्रैश होता है?

— ewwhite

क्यों? सर्वर तक किसकी पहुंच है?

— इविविट

मेरा अशिष्ट होने का मतलब नहीं है, लेकिन मैं प्रारंभिक प्रश्न पर ध्यान देना चाहता हूं।

— मैरियस बुर्ज

लेकिन @ewwhite हमारे अग्रणी VMware विशेषज्ञों में से एक है। वह निश्चित रूप से एक बहुत अच्छे कारण के लिए पूछ रहा है। आखिरकार, आपको एक अच्छा जवाब देने के लिए अपनी स्थिति की समग्रता को समझना महत्वपूर्ण है ।

— माइकल हैम्पटन

यह एक सुरक्षा ऑडिट था जिसने पूरी स्थिति को ट्रिगर कर दिया था, हम बस इतना अधिक सहज महसूस करेंगे कि कोई भी मेमोरी न हो जिसमें डिक्रिप्टेड डेटा डंप / एफएस को सीरियल किए गए हों।

— मारियस बुर्ज

Answer 1

यह एक दिलचस्प सवाल है। मैंने हाइपरविजर स्तर पर डेटा सुरक्षा के बारे में कभी नहीं सोचा है ... आमतौर पर सुरक्षा नीतियां और ओएस-विशिष्ट कार्यों (डैमों, बंदरगाहों को सीमित करना, कोर फ़ाइलों को अक्षम करना, फाइलसिस्टम माउंट विकल्प, आदि) के आसपास घूमती हैं।

लेकिन कुछ त्वरित शोध के बाद (और stringsसक्रिय VMWare .vswp फ़ाइलों के खिलाफ चल रहा है ) दिखाता है कि VMWare डेटास्टोर पर रहने वाली .vswp फ़ाइलों से डेटा निकालना निश्चित रूप से संभव है। यह लिंक ऐसी फ़ाइलों के जीवनचक्र को समझाने में मदद करता है।

आपके मामले में, मुझे लगता है कि आपका दृष्टिकोण सुरक्षा नीति और आवश्यकताओं को निर्धारित करने वाला है। वित्त में मेरे अनुभव और ऑडिट के साथ काम करने में, मुझे लगता है कि एक स्वीकृत दृष्टिकोण मेजबान सर्वर तक पहुंच / सुरक्षित करने के लिए होगा। याद रखें कि डिफ़ॉल्ट रूप से, आपके ESXi होस्ट में SSH या कंसोल एक्सेस सक्षम नहीं है। उन सुविधाओं को सक्षम करना vCenter में एक घटना / चेतावनी फेंकता है जिसे मैन्युअल रूप से ओवरराइड करने की आवश्यकता होती है , इसलिए धारणा यह है कि इस जानकारी तक पहुंच को नियंत्रित करने के लिए ऑडिटिंग एक्सेस सबसे अच्छा तरीका है।

यदि सर्वर के लिए कौन पहुंच सकता है, इस बारे में चिंताएं हैं, तो एक प्रशासनिक समस्या का तकनीकी समाधान नहीं हो सकता है। मैं यह देखने के लिए कुछ अन्य स्रोतों की जाँच करूँगा कि क्या .vswp फ़ाइलों के उपयोग को सीमित करने का कोई तरीका है, हालाँकि।

--edit--

आप सभी अतिथि RAM को आरक्षित कर सकते हैं। आप यह निर्दिष्ट नहीं करते हैं कि आप कौन सा VMWare का संस्करण उपयोग कर रहे हैं, लेकिन मेरी 5.1 स्थापना में, सभी अतिथि मेमोरी को आरक्षित करने का विकल्प है । इस विकल्प को सक्षम करने से वर्चुअल मशीन को आवंटित RAM के आकार के बराबर एक शून्य-लंबाई .vswp फ़ाइल बनती है। Vmx - *। Vswp फ़ाइल पर कोई ध्यान न दें। यही कारण है कि ESXi 5.x के लिए नया है , और यह है नहीं करने के लिए संबंधित अतिथि के ऑपरेटिंग सिस्टम स्मृति दबाव (यह वीएमएक्स प्रक्रिया ढेर, अतिथि बाह्य उपकरणों और प्रबंधन एजेंटों के लिए है)। इसके अलावा, vmx - *। Vswp फ़ाइलों को सेटिंग में अक्षम किया जा सकता sched.swap.vmxSwapEnabledहै FALSE।

मुझे लगता है कि इससे आपको वही मिलेगा जो आप पूछ रहे हैं।

---

कोई स्मृति आरक्षण (डिफ़ॉल्ट):

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody  3221225472 Dec 23 13:31 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:31 vmx-Test_Bed-2907257217-1.vswp

स्मृति आरक्षण लॉक-इन के साथ:

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody           0 Dec 23 13:38 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:38 vmx-Test_Bed-2907257217-1.vswp

Comments

एक सैद्धांतिक परिदृश्य में (हमेशा की तरह) घटनाओं की एक स्ट्रिंग शामिल होगी, एक होस्ट क्रैश का कहना है, HDDs प्रतिस्थापित हो जाते हैं, उन HDD में ऐसी स्वैप फ़ाइलों में डिक्रिप्टेड डेटा हो सकता है (अधिकांश के लिए अनजान), गलत हाथों में समाप्त होता है क्योंकि आपको लगता है कि डेटा उन पर वह संवेदनशील नहीं है (संवेदनशील डेटा अन्य HDDs पर एन्क्रिप्टेड है)।

— मारियस बुर्ज

@MariusBurz ऊपर संपादन देखें।

— 19

हम vmx - *। Vswp फ़ाइलों से छुटकारा नहीं पा सके, लेकिन अब आप कहते हैं कि वे वे नहीं हैं जो हमने सोचा था कि वे हैं, हमें पूरी चीज़ पर एक और नज़र डालनी होगी। मैं अपने 5.1 टेस्ट मशीन @ होम पर मानक vswp फ़ाइल 0kb के साथ बनाया गया है, इसकी पुष्टि कर सकता हूं।

— मेरियस बुर्ज

@MariusBurz vmx vswp फाइलें sched.swap.vmxSwapEnabledपैरामीटर द्वारा नियंत्रित की जाती हैं । उन्हें निष्क्रिय भी किया जा सकता है।

— 20

@Ewwhite की मदद करने के लिए बहुत-बहुत धन्यवाद। काश, मैं इसे बेहतर तरीके से समझा सकता था क्योंकि यह आया था कि अभी भी क्या फाइलें बनी हैं, तो आपके लिए यह पहचानना बहुत आसान होगा कि हमारी समस्या कहां पर है। हमने सोचा था कि फ़ाइल एक मानक स्वैप फ़ाइल थी जहाँ यह नहीं थी।

— मैरीस बुर्ज़

Answer 2

ऐसा लगता है कि समस्या को सुलझाने की आपकी कोशिश गलत है। मशीन स्वैपिंग को रोकने की कोशिश करना कोई गारंटी नहीं है कि संवेदनशील डेटा डिस्क पर नहीं मिलेगा। कोर डंप आदि के बारे में क्या? एक बार जब आपके पास एक लिखने योग्य उपकरण होता है जो एक ऐसी प्रणाली में होता है जिसमें संवेदनशील डेटा होता है, तो इसे 'साफ' नहीं माना जाना चाहिए और इसका उपयोग समाप्त होने पर इसे नष्ट कर दिया जाना चाहिए।

यदि आपका डेटा वह संवेदनशील है तो आपको सिस्टम को भौतिक रूप से सुरक्षित करना चाहिए। हर कोई जिसे सिस्टम तक पहुंचने की आवश्यकता है, को उचित रूप से वीटो किया जाना चाहिए और विशेष रूप से ऐसा करने के लिए अधिकृत होना चाहिए। उनकी गतिविधियों को अधिकृत, लॉग इन और पर्यवेक्षण आदि की आवश्यकता है।

परिदृश्य आप का वर्णन आसानी से किया जाता है। आपके पास उन उपकरणों को नष्ट करने की प्रक्रिया होनी चाहिए जिनमें संवेदनशील डेटा डेटा की संवेदनशीलता के साथ सम्‍मिलित है। आप बस डिवाइस को अपने सुरक्षित वातावरण से बाहर नहीं जाने देते हैं जब तक कि उस पर एक उचित प्राधिकरण द्वारा हस्ताक्षरित नहीं किया जाता है जिस बिंदु पर वह आपकी समस्या को समाप्त करता है।

Comments

हालांकि यह एक दिलचस्प तकनीकी सवाल है, मैं इससे पूरी तरह सहमत हूं।

— दान

Answer 3

यह उस वर्चुअल मशीन स्वैप को एन्क्रिप्ट करने के लिए पर्याप्त होना चाहिए जो ESXi बनाता है। स्वेप्टाइल को एक डास्टास्टोर पर डालने की कोशिश करें जो एन्क्रिप्ट किया गया है, जैसे कि एन्क्रिप्टिंग सैन या सेल्फ-एनक्रिप्टिंग डिस्क।

Comments

यह वास्तव में इस समस्या को हल करने का एक तरीका है, लेकिन यह अभी भी केवल एक समाधान है। मुझे लगता है कि सबसे सुरक्षित कुछ स्थानीय SEDs, किसी भी विचार का उपयोग किया जाएगा कि क्या / कैसे ESXi उन्हें समर्थन करता है?

— Marius Burz