VMware Cloud Foundation (VCF)-Kunden können VMware Compliance and Configuration Management nun unabhängig von VMware Advanced Cyber Compliance buchen. Die Salt-basierte Funktion soll Abweichungen in VM- und Container-Konfigurationen erkennen und automatisch korrigieren. Der entscheidende Punkt für den Betrieb: Eine automatische Korrektur ist nur dann hilfreich, wenn klar ist, welche Konfiguration gelten soll und welche Abweichungen beabsichtigt sind.
Die Funktion wechselt aus dem bisherigen Paket
Broadcom bietet die Compliance- und Konfigurationsverwaltung als Zusatzangebot für VMware Cloud Foundation an. Bislang gehörte VMware Salt zu VMware Advanced Cyber Compliance (ACC). Die neue Buchungsmöglichkeit trennt die Funktion damit vom bisherigen Gesamtpaket. Für Unternehmen, die genau diese Automatisierung benötigen, kann das die Auswahl vereinfachen: Sie müssen nicht allein dafür das gesamte ACC-Paket in Betracht ziehen.
Daraus folgt jedoch nicht automatisch, dass der Einsatz günstiger wird oder sich für jede VCF-Umgebung lohnt. Ein Preis ist in der vorliegenden Meldung nicht enthalten. Entscheidend sind daher zunächst der konkrete Betriebsbedarf und die Frage, ob die Funktion tatsächlich eine Lücke im vorhandenen Änderungs- und Prüfprozess schließt.
Was Salt überwachen und korrigieren soll
Die Software richtet sich an VM- und Container-Workloads. Sie überwacht deren Konfiguration, setzt definierte Sicherheitsvorgaben laufend durch und soll Abweichungen automatisiert beheben. Als Beispiele werden unerlaubte Dateiänderungen und offen zugängliche Ports genannt. Salt arbeitet dabei ereignisgesteuert: Eine Abweichung soll nicht erst bei einer späteren Prüfung auffallen, sondern zeitnah erkannt und bearbeitet werden.
Das verändert den Charakter der Kontrolle. Ein Prüfbericht zeigt, wo ein System von einer Vorgabe abweicht. Eine automatisierte Durchsetzung greift dagegen in den laufenden Zustand ein. Das kann die Zeit verkürzen, in der eine unerwünschte Konfiguration bestehen bleibt. Es erhöht aber zugleich die Bedeutung klarer Regeln: Ist eine Abweichung betrieblich gewollt, kann eine automatische Korrektur genau die Änderung rückgängig machen, die ein Team bewusst vorgenommen hat.
Richtlinien brauchen einen verantwortlichen Eigentümer
Die Funktion kann mit Sicherheits-Benchmarks wie denen von CIS und DISA arbeiten. Auch unternehmenseigene Vorgaben lassen sich laut der beschriebenen Produktübersicht für Prüfungen verwenden. Für den praktischen Einsatz sollte daher nicht zuerst die Frage lauten, wie viele Systeme sich anbinden lassen. Wichtiger ist, wer die jeweilige Richtlinie fachlich verantwortet und wie Ausnahmen dokumentiert werden.
Eine belastbare Einführung beginnt mit einer überschaubaren Auswahl an Workloads und klar abgegrenzten Regeln. Prüfen Sie zunächst, ob die Vorgaben zum tatsächlichen Betrieb passen. Legen Sie fest, welche Abweichungen automatisch korrigiert werden dürfen und welche zuerst eine Freigabe benötigen. Erst wenn die Ergebnisse nachvollziehbar sind und keine legitimen Betriebsänderungen zurückgesetzt werden, ist eine breitere Durchsetzung sinnvoll.
Zentrale Steuerung ist nicht dasselbe wie zentrale Verantwortung
Die Verwaltung erfolgt über den VMware Salt Server, der eine Bedienoberfläche und eine API bereitstellt. Dazu kommen rollenbasierte Zugriffsrechte und Berichte zu den verwalteten Workloads. Der Salt Master speichert Konfigurationen und Richtlinien und steuert deren Ausführung; Agenten verbinden die zentrale Steuerung mit den Workloads. Broadcom beschreibt die Architektur als für Tausende Workloads ausgelegt.
Für den Betrieb heißt das: Rollen und Zuständigkeiten müssen zur technischen Zentralisierung passen. Wer Richtlinien ändern darf, kann beeinflussen, welche Zustände auf vielen Systemen als zulässig gelten. Beschränken Sie deshalb den Zugriff auf Personen, die die Auswirkungen einer Regeländerung beurteilen können, und halten Sie fest, wer Ausnahmen genehmigt. Berichte sind nur dann nützlich, wenn jemand sie regelmäßig bewertet und daraus konkrete Entscheidungen ableitet.
Was vor einer Buchungsentscheidung zu klären ist
Ordnen Sie die Funktion nicht allein als zusätzliches Sicherheitsmerkmal ein. Sie ist vor allem ein Werkzeug zur Konfigurationsverwaltung und zur fortlaufenden Durchsetzung definierter Vorgaben. Das macht sie dann interessant, wenn Abweichungen bislang erst spät auffallen oder wenn Prüfregeln wiederholt manuell kontrolliert und umgesetzt werden müssen.
Klären Sie vor einer Entscheidung, welche Workloads einbezogen werden sollen, welche Benchmarks oder eigenen Regeln dafür gelten und wie mit notwendigen Ausnahmen umgegangen wird. Ebenso sollte feststehen, wer Änderungen an den Richtlinien kontrolliert und wer auf Berichte reagiert. Ohne diese Betriebsregeln verlagert Automatisierung die Arbeit nicht einfach weg: Sie kann neue Fehler schneller und umfassender ausrollen.
Mein Takeaway: Prüfen Sie zuerst Richtlinien, Ausnahmen und Zuständigkeiten; erst danach lässt sich beurteilen, ob die separat buchbare Salt-Funktion den Betrieb Ihrer VCF-Workloads sinnvoll ergänzt.
Quellen: heise — „VMware: Sicherheitskontrolle ohne großes Zusatzpaket“ (https://www.heise.de/news/VMware-Sicherheitskontrolle-ohne-grosses-Zusatzpaket-11513712.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag)