Η άμβλυνση των τρωτών σημείων που σχετίζονται με τη δυνατότητα απομακρυσμένης KVM στον σταθμό NVIDIA DGX A100 περιλαμβάνει την αντιμετώπιση συγκεκριμένων ζητημάτων ασφάλειας στον ελεγκτή διαχείρισης του baseboard (BMC) και διασφαλίζοντας ότι το σύστημά σας ενημερώνεται με τα τελευταία patches ασφαλείας. Ακολουθούν ορισμένα βήματα και σκέψεις για να βοηθήσουν στην άμβλυνση αυτών των τρωτών σημείων:
1. Ενημέρωση υλικολογισμικού και λογισμικού **
Βεβαιωθείτε ότι ο σταθμός DGX A100 BMC ενημερώνεται στην τελευταία έκδοση υλικολογισμικού. Η NVIDIA κυκλοφόρησε ενημερώσεις για την αντιμετώπιση κρίσιμων τρωτών σημείων όπως το CVE-2023-31029, το CVE-2023-31030 και το CVE-2023-31024, που επηρεάζουν τον δαίμονα KVM στο BMC [1] [2] [4]. Αυτές οι ενημερώσεις είναι ζωτικής σημασίας για την πρόληψη της υπερχείλισης στοίβας και της διαφθοράς μνήμης που θα μπορούσαν να οδηγήσουν σε αυθαίρετη εκτέλεση κώδικα, άρνηση υπηρεσίας, αποκάλυψη πληροφοριών και παραβίαση δεδομένων.
2. Εφαρμογή τμηματοποίησης δικτύου **
Περιορίστε την πρόσβαση στο BMC εφαρμόζοντας την κατάτμηση του δικτύου. Αυτό συνεπάγεται την απομόνωση του δικτύου BMC από την υπόλοιπη υποδομή για τη μείωση της επιφάνειας επίθεσης. Βεβαιωθείτε ότι μόνο το απαραίτητο προσωπικό έχει πρόσβαση στο δίκτυο BMC και χρησιμοποιήστε τείχη προστασίας για να περιορίσετε την εισερχόμενη κυκλοφορία στο BMC [1] [4].
3. Χρησιμοποιήστε ασφαλή πρωτόκολλα **
Βεβαιωθείτε ότι όλη η απομακρυσμένη πρόσβαση στο KVM γίνεται χρησιμοποιώντας ασφαλή πρωτόκολλα. Αυτό περιλαμβάνει τη χρήση HTTPS για πρόσβαση στο Web και SSH για πρόσβαση γραμμής εντολών. Αποφύγετε τη χρήση ανασφαλών πρωτοκόλλων όπως HTTP ή Telnet, καθώς μπορούν να εκθέσουν ευαίσθητες πληροφορίες [7].
4. Παρακολούθηση για ύποπτη δραστηριότητα **
Παρακολουθεί τακτικά τα αρχεία καταγραφής του συστήματός σας για οποιαδήποτε ύποπτη δραστηριότητα. Αυτό περιλαμβάνει την παρακολούθηση των ασυνήθιστων προσπαθειών σύνδεσης, των ανωμαλιών του πακέτου δικτύου ή των απροσδόκητων αλλαγών στη συμπεριφορά του συστήματος. Η εφαρμογή ενός συστήματος ανίχνευσης εισβολών (IDS) μπορεί να βοηθήσει στην αναγνώριση πιθανών απειλών νωρίς [7].
5. Περιορίστε τα προνόμια **
Βεβαιωθείτε ότι οι χρήστες που έχουν πρόσβαση στη λειτουργία KVM έχουν τα λιγότερα προνόμια που είναι απαραίτητα για την εκτέλεση των καθηκόντων τους. Ο περιορισμός των προνομίων μπορεί να μειώσει τον αντίκτυπο μιας επιτυχημένης εκμετάλλευσης, εμποδίζοντας τους επιτιθέμενους να κλιμακώσουν τα προνόμια ή την πρόσβαση σε ευαίσθητα δεδομένα [7].
6. Εφαρμόστε πρόσθετα μέτρα ασφαλείας **
Εξετάστε την εφαρμογή πρόσθετων μέτρων ασφαλείας, όπως ο έλεγχος ταυτότητας δύο παραγόντων (2FA) για όλες τις απομακρυσμένες πρόσβαση στο BMC και το KVM. Αυτό προσθέτει ένα επιπλέον στρώμα ασφάλειας, καθιστώντας πιο δύσκολο για τους μη εξουσιοδοτημένους χρήστες να αποκτήσουν πρόσβαση [7].
7. Κανονικά επανεξέταση και ενημέρωση διαμορφώσεων ασφαλείας **
Ελέγξτε τακτικά τις διαμορφώσεις ασφαλείας σας για να διασφαλίσετε ότι είναι ενημερωμένες και ευθυγραμμισμένες με τις βέλτιστες πρακτικές. Αυτό περιλαμβάνει τον έλεγχο για οποιαδήποτε νέα ευπάθεια και την εφαρμογή των μπαλώματα αμέσως [4] [7].
Ακολουθώντας αυτά τα βήματα, μπορείτε να μειώσετε σημαντικά τον κίνδυνο που σχετίζεται με τα τρωτά σημεία της απομακρυσμένης λειτουργίας KVM στον σταθμό DGX A100. Πάντα να διασφαλίζετε ότι το σύστημά σας ενημερώνεται με τα τελευταία μπαλώματα ασφαλείας και ότι εφαρμόζετε ισχυρές πρακτικές ασφαλείας για να προστατεύσετε από πιθανές απειλές.
Αναφορές:
[1] https://nvidia.custhelp.com/app/answers/detail/a_id/5510/~/security-bulletin:-nvidia-dgx-a100--january-2024
[2] https://www.itnews.com.au/news/critical-bugs-patched-in-nvidia-ai-kit-604048
[3] https://www.redbooks.ibm.com/redpapers/pdfs/redp5688.pdf
[4] https://securityonline.info/urgent-firmware-alert-nvidia-tackles-critical-dgx-a100-h100-flaws/
[5] https://docs.nvidia.com/dgx/dgxa100-user-guide/quick-start.html
[6] https://cve.mitre.org/cgi-bin/cvekey.cgi
[7] https://ogma.in/cve-2023-25529-mitigating-vulnerabilities-in-nvidia-dgx-bmc-systems
[8] http://cdn.cnetcontent.com/2f/68/2f6888a0-063f-4d76-94e4-8666b7619dfd.pdf
[9] https://github.com/advisories/ghsa-xj8c-vcc9-5mfq
[10] https://nvidia.custhelp.com/app/answers/detail/a_id/5513/~/security-bulletin:-nvidia-dgx-station-a100-and-dgx-station-a800---february-2024