CentOS5.0でパッケージ版のXenをインストールしたのですが、ホストOS(ドメイン0)とゲストOS(ドメインU)を1つ稼動させているのですが、ホストOSへのアプリケーションのインストールをどうしようかと考えています。
ホストOSからゲストOSへは容易にコンソール移動ができるので、ホストOS上でXen以外のサーバアプリケーションをインストール・起動することはセキュリティ上好ましくないように思うのですが、この解釈はあっているでしょうか？それとも、シェルログインさえブロックしておけば、xendと(たとえば)httpdが同じマシン上で動作していても問題はないものなのでしょうか？
ホストOSにも固定IPアドレスを割り当てている(メンテナンスにSSHを用いる、IP制限あり)ため、できればそこも有効に利用したいとも思っているのですが、一緒に稼動しているサーバアプリケーションに脆弱性が見つかってサーバをのっとられた場合、すべてのゲストOSをのっとられることになると思うので、不安です。
これに関して「こうするのが一般的」というものがあれば教えて下さい。
No.2
4
0
46pt
コメントの「(3) xendの設定を変更し簡単にコンソール移動できないようにする」については、
xenconsoledを動作させないようにすれば、大丈夫ではないでしょうか？あ、でもそもそもxmが使えるとdestroyされたりしそうですね。。。
>ホストOSからゲストOSへは容易にコンソール移動ができるので、ホストOS上でXen以外のサーバアプリケーションをインストール・起動することはセキュリティ上好ましくないように思うのですが、この解釈はあっているでしょうか？
その通りだと思います。
>ホストOSにも固定IPアドレスを割り当てている(メンテナンスにSSHを用いる、IP制限あり)ため、できればそこも有効に利用したいとも思っているのですが、一緒に稼動しているサーバアプリケーションに脆弱性が見つかってサーバをのっとられた場合、すべてのゲストOSをのっとられることになると思うので、不安です。
個人的には、Domain-0は何もしないことが鉄則じゃないかと思います。
Domain-0はアップデートを定期的に当てるのは必須でしょうね。
がんばってください！
a_suenami
2008/10/13 18:58:26
1
1
zzz_1980
1
1
脆弱性をつぶしておけば問題ないということでしょうか…？
基本的にサーバアプリはRPMでインストールしていますので、cronで定期的にアップデートはしておりますが…それでも万が一ということもありますし、XSSなどでコンフィグ情報を漏洩してしまうリスクも完全にゼロにはできないので気になって質問したのです。