Proxmox VE 9 richtig absichern — warum privilegierte Container das größte Risiko bleiben

Wer Proxmox VE 9 im Standardsetup installiert, hat eine solide Basis, aber noch keine gehärtete Umgebung. Das klingt nach Erbsenzählerei – ist es aber nicht: Gerade bei Containern verläuft die Grenze zwischen bequemer Konfiguration und einer offenen Tür zum Host-Kernel fließend, und diese Grenze zieht der Administrator, nicht die Software von sich aus.

Proxmox VE ist Open Source und wird von vielen kleinen und mittleren Unternehmen als Alternative zu VMware oder Hyper-V betrieben, oft ergänzt um den kostenpflichtigen Enterprise-Support für produktive Umgebungen. Genau in diesem Umfeld, wachsende Container-Landschaften, mehrköpfige Cluster, tägliche Backups, entscheiden ein paar grundlegende Einstellungen darüber, ob ein einzelner kompromittierter Dienst eine Randnotiz bleibt oder der gesamte Host fällt.

Container-Isolation: Privilegiert ist bequem, unprivilegiert ist sicher

LXC-Container lassen sich in Proxmox VE privilegiert oder unprivilegiert betreiben. Bei einem privilegierten Container läuft der Root-Nutzer im Container mit derselben UID wie Root auf dem Host, der Kernel wird geteilt. Gelingt einem Angreifer aus einem solchen Container auszubrechen, etwa über eine Schwachstelle im geteilten Kernel, landet er direkt mit Host-Rechten. Unprivilegierte Container mappen die UIDs über einen User-Namespace auf einen unkritischen Bereich, sodass Root im Container eben nicht Root auf dem Host ist.

In aktuellen Proxmox-Versionen ist die Vorauswahl im Assistenten unprivilegiert, und dabei sollte es in den allermeisten Fällen bleiben. Ein typisches Beispiel aus der Praxis: Eine ältere Anwendung benötigt vermeintlich privilegierten Zugriff, weil ein Kernel-Modul geladen werden soll. Wer für solche Einzelfälle doch privilegierte Container braucht, sollte das als bewusste, dokumentierte Ausnahme behandeln, mit klarer Begründung, nicht als bequeme Vorgabe für die ganze Umgebung.

Cluster ohne Redundanz ist kein Cluster

Proxmox-Cluster nutzen Corosync für die Kommunikation und ein Quorum, um zu entscheiden, welcher Teil des Clusters im Fall einer Netzwerktrennung weiterarbeiten darf. Mit nur zwei Knoten gibt es rechnerisch kein echtes Mehrheitsquorum. Ein Netzwerkproblem kann dann beide Seiten glauben lassen, sie seien die gültige Hälfte, mit dem Risiko widersprüchlicher Schreibzugriffe. Das lässt sich mit einem dritten, leichtgewichtigen QDevice als Schiedsrichter entschärfen, ohne dass dafür ein vollwertiger dritter Hypervisor-Knoten nötig wäre.

Wer produktive Workloads auf einem Zwei-Knoten-Setup ohne QDevice betreibt, hat im Ernstfall keine Redundanz, sondern nur die Illusion davon.

Backup ist die letzte Verteidigungslinie, nicht die erste

Der Proxmox Backup Server, ebenfalls Open Source mit optionalem Enterprise-Abo, verschlüsselt Backups clientseitig, bevor sie den Quell-Host verlassen. Damit bleibt der Inhalt selbst dann geschützt, wenn der Backup-Speicher kompromittiert wird. Entscheidend ist zusätzlich eine Kopie, die getrennt vom Cluster liegt: Ransomware, die produktive VMs verschlüsselt, zielt zunehmend auch auf erreichbare Backup-Repositories im selben Netz.

Eine Verschlüsselung, die nie getestet wurde, ist im Ernstfall nur eine Vermutung. Ein regelmäßiger Restore-Test gehört ebenso zur Absicherung wie die Verschlüsselung selbst, denn ein Backup, das sich nicht zurückspielen lässt, hilft niemandem.

Was das für Ihren Betrieb bedeutet

Drei Prüfpunkte lassen sich ohne größeren Aufwand umsetzen: Kontrollieren Sie, welche Container in Ihrer Umgebung privilegiert laufen, und ob das jeweils begründet ist. Prüfen Sie, ob Ihr Cluster mit einer geraden Knotenzahl ohne QDevice arbeitet. Und verifizieren Sie, dass Ihre Backups tatsächlich verschlüsselt sind und sich aus einer Kopie wiederherstellen lassen, die getrennt vom produktiven Cluster liegt. Keiner dieser Punkte erfordert eine neue Lizenz, nur die Bereitschaft, Standardeinstellungen zu hinterfragen.

Quellen: Security-Insider — „Container, Cluster und Backup in Proxmox VE 9 richtig absichern" (https://www.security-insider.de/proxmox-ve-9-container-cluster-backup-haerten-a-11479e7e061d44e2b07df02bda8fa932/)