วิธีป้องกัน ESXi จากการล็อคบัญชีรูท

ฉันมีอินสแตนซ์ VMWare ESXi ใช้เวอร์ชัน 6.0.0 พนักงานของเราถูกปิดกั้นจากไคลเอนต์หนา ESXi (แอปพลิเคชัน Windows "vSphere Client") เป็นจำนวนมากในเวลานี้ เราได้รับข้อความแสดงข้อผิดพลาด "ชื่อผู้ใช้หรือรหัสผ่านไม่ถูกต้อง" เมื่อพยายามเข้าสู่ระบบหลังจากการวิจัยบางอย่างเราพบว่าเราถูกล็อคออกจากโฮสต์ ESXi ของเราเนื่องจากคุณสมบัติการล็อครูทของ v6.0 ซึ่งล็อคบัญชีสำหรับ กำหนดจำนวนเวลา (ค่าเริ่มต้น: 2 นาที) หลังจากพยายามรหัสผ่านล้มเหลว 3 ครั้งติดต่อกัน ดูเหมือนว่าผู้โจมตียังคงดำเนินต่อไปอีกหลายชั่วโมงจนกระทั่งในที่สุดก็ยอมจำนน ณ จุดนั้นเราสามารถเข้าสู่ระบบด้วยตัวเองโดยใช้บัญชีรูท

เราสับสนเล็กน้อยเกี่ยวกับสาเหตุที่อาจเกิดขึ้นได้ เซิร์ฟเวอร์โฮสต์ในดาต้าเซ็นเตอร์ขนาดใหญ่และมีชื่อเสียงและเป็นอินสแตนซ์เฉพาะที่แท้จริง อย่างไรก็ตามสิ่งอำนวยความสะดวกกล่าวว่าต้องการเรียกเก็บอัตราค่อนข้างมากเกินไปที่จะทำให้เซิร์ฟเวอร์ VM นี้อยู่หลังไฟร์วอลล์ฮาร์ดแวร์ ดังนั้นเราจึงพึ่งพาไฟร์วอลล์ในตัวของ ESXi

ในส่วนการกำหนดค่า -> โปรไฟล์การรักษาความปลอดภัย -> ไฟร์วอลล์เรามีบริการต่อไปนี้ (ซึ่งถูกกำหนดโดยค่าเริ่มต้น) ให้ จำกัด IP เพื่ออนุญาต IP สำนักงานของเราเท่านั้น:

• เซิร์ฟเวอร์ SSH
• การเข้าถึงเว็บ vSphere
• vSphere เว็บไคลเอ็นต์
• vsanvp
• vMotion

อย่างไรก็ตามเรื่องนี้ดูเหมือนว่าผู้โจมตีจะยังคงสามารถผ่านได้อย่างน้อยและเกิดข้อผิดพลาด 'รหัสผ่านผิดพลาด' เนื่องจากบันทึกเหตุการณ์ ESXi ของเซิร์ฟเวอร์แสดงบรรทัดจำนวนมากเช่นนี้:

Remote access for ESXi local user account 'root' has been locked for 120 seconds after 563 failed login attempts.

นี่คือข้อเท็จจริงที่ว่า IP สำนักงานของเราเท่านั้นที่ได้รับอนุญาตและเรารู้ว่าไม่มีใครที่นี่กำลังเริ่มต้นสิ่งนี้

เรากำลังทำอะไรผิด

a) คุณไม่ควรใช้ไคลเอนต์. net / Windows มันจะหายไปทั้งหมดด้วย 6.5 ซึ่งใกล้เข้ามาและ VMware ได้กระตุ้นให้ผู้ใช้ย้ายออกไปจากนี้เป็นเวลาหลายปี

b) ฉันไม่ชัดเจนคุณทุกคนเข้าสู่ระบบโฮสต์โดยตรงเช่นไม่มี vCenter และถ้าเป็นเช่นนั้นคุณเข้าสู่ระบบในฐานะที่เป็นราก?

c) ดูเหมือนว่าคุณไม่ได้ใส่โฮสต์เข้าสู่โหมด lockdown อย่างเข้มงวด - ฉันจะปิดการใช้งาน SSH ด้วยเช่นกันเป็นบริการและในไฟร์วอลล์

ฉันอ่าน "ปิดการใช้งาน SSH" หรือ "การใช้งานที่เป็นอันตรายต่อสัตว์เดรัจฉาน" ... ถ้า ESXi ของคุณไม่ได้ถูกเปิดเผยบนอินเทอร์เน็ต (ไม่น่าไว้วางใจ) และหากปิดการใช้งาน SSH นี่อาจเป็นสาเหตุของการล็อคของคุณ

ฉันมีโฮสต์ ESXi ทั้งหมดถูกล็อคอย่างสม่ำเสมอในแบบเดียวกัน

หลังจากบันทึกการตรวจสอบดูเหมือนว่าเกิดจากสคริปต์ผู้จำหน่าย (Lenovo = IBM):

/etc/cim/lenovo/refresh.sh

ฉันแก้ไขปัญหาโดย:

1. การลบการเรียกไปยัง scrip จาก crontab (/ var / spool / cron / crontab / root)
2. การลบสคริปต์ไดเรกทอรีผู้จัดจำหน่าย (/ etc / cim / lenovo /)
3. การลบส่วนขยายของ Lenovo ( https://support.lenovo.com/au/en/solutions/ht502599 )

Note1: การลบเฉพาะส่วนขยาย (3. ) ไม่สามารถแก้ไขปัญหาของฉันได้

Note2: ผู้จำหน่ายของคุณอาจแตกต่างจากของฉัน (Dell, HP) ดังนั้นไดเรกทอรีจะแตกต่างกันตรวจสอบไฟล์ cron

สาเหตุหลักของปัญหาคือ:ฉันย้ายจากอิมเมจผู้ขาย ( https://my.vmware.com/web/vmware/details?productId=352&downloadGroup=OEM-ESXI55U3A-LENOVO ) ไปยังอิมเมจ ESXi ทั่วไป 6.5 ในส่วนขยายกระบวนการและสคริปต์ไม่ได้รับการทำความสะอาดโดย VMware Update Manager