Broadcom kondigt VMware HyperArmor aan, een softwaremodule voor de ESX-hypervisor binnen VMware Cloud Foundation. De module combineert virtuele patching, een basislijn van toegestane processen op de host en meervoudige authenticatie voor SSH-toegang. Volgens Broadcom zijn daarvoor geen downtime, software-upgrades of agents in virtuele machines nodig.
HyperArmor is bedoeld voor VMware Cloud Foundation-omgevingen en ondersteunt ESX vanaf versie 8.x. Broadcom verwijst bij de introductie naar onderzoek waaruit volgens het bedrijf blijkt dat aanvallen op hypervisors vaak teruggaan op twee oorzaken: buitgemaakte root-inloggegevens en beveiligingsupdates die niet tijdig worden geïnstalleerd. De functies van HyperArmor sluiten aan op die twee aanvalsroutes. Als aanleiding noemt het bedrijf daarnaast het toenemende gebruik van AI door aanvallers, waardoor dreigingen volgens Broadcom sneller en op grotere schaal opduiken.
Virtuele patching op de host
Het eerste onderdeel is virtuele patching op de ESX-host. Binnen VMware Cloud Foundation verzorgt VMware vDefend al virtuele patching op de netwerklaag, HyperArmor richt zich op de hosts zelf. Volgens Broadcom detecteert en blokkeert de software kwaadaardige acties voordat een kwetsbaarheid kan worden uitgebuit. Omdat daarvoor geen herstart van de host of directe software-upgrade nodig is, kunnen IT-teams de periode waarin een systeem kwetsbaar is verkorten en de reguliere update op een zelfgekozen moment inplannen, stelt het bedrijf.
Basislijn van vertrouwde processen
Daarnaast past HyperArmor een zogeheten ‘positive security’-model toe op de infrastructuurlaag. Een ESX-host voert in de basis een vast en beperkt aantal processen uit. HyperArmor stelt op basis daarvan een basislijn op van bekende processen en blokkeert uitvoerbare bestanden of scripts die daar niet in voorkomen. Bestaande scripts op de host worden bij de inventarisatie geaccepteerd, nieuwe scripts moet je als beheerder handmatig goedkeuren. Ook hiervoor zijn volgens Broadcom geen agents in de afzonderlijke virtuele machines nodig.
Meervoudige authenticatie voor SSH
Het derde onderdeel richt zich op gestolen inloggegevens. HyperArmor voegt meervoudige authenticatie toe aan het SSH-inlogpad van de ESX-host. Wie via SSH inlogt, moet naast het wachtwoord een tijdgebonden eenmalige code invoeren die gekoppeld is aan een afzonderlijk identiteitssysteem. Bemachtigt een aanvaller het root-wachtwoord via phishing of een datalek, dan blijft de toegang tot de opdrachtregel daarmee afgeschermd, meldt Broadcom.
Marktanalist IDC stelt dat organisaties hun verdediging moeten doortrekken tot de hypervisor, die de basis vormt van de private cloud. Volgens de analisten verdienen preventieve maatregelen die de periode van kwetsbaarheid verkleinen zonder de productie te verstoren de voorkeur boven maatregelen die pas na een incident in actie komen.
Onderdeel van VMware Cloud Foundation
HyperArmor maakt deel uit van de beveiligingsarchitectuur van VMware Cloud Foundation. Dat platform bevat al gecentraliseerd identiteitsbeheer, encryptie van data in rust en in transit en VMware vSphere live patching, waarmee je de hypervisor bijwerkt zonder workloads te onderbreken. Daarnaast zijn er VMware vDefend voor netwerksegmentatie en dreigingsdetectie en VMware Avi Load Balancer voor de beveiliging van webapplicaties en API-verkeer. Broadcom positioneert HyperArmor als extra beschermingslaag naast deze componenten. De aankondiging bevat geen informatie over prijs of licentievorm.
