Seguridad de Hyper-V en Windows Server 2016
Las cuentas de administrador funcionan de manera diferente en entornos virtualizados que en entornos físicos. En particular, en un entorno físico, las funciones administrativas, como administrador de almacenamiento, administrador de red, operador de respaldo y administrador de host de virtualización, tienen derechos limitados o aislados. Por el contrario, en una infraestructura virtual, cada uno de estos roles con permisos para administrar la infraestructura física podría tener un nivel inadecuado de acceso a la infraestructura virtual.
Puede mitigar este riesgo utilizando una tela protegida. Estructura protegida es un término colectivo utilizado para describir una estructura de hosts Microsoft Hyper-V y su Host Guardian Service (HGS) que puede administrar y ejecutar máquinas virtuales (VM) protegidas.
Tela guardada
En Windows Server 2016, Microsoft introdujo un modelo de seguridad Hyper-V mejorado diseñado para ayudar a proteger los hosts y sus máquinas virtuales del software malicioso que podría estar dentro de ellos. Debido a que una máquina virtual es solo un archivo, debe protegerla de ataques desde el sistema de almacenamiento o la red mientras se realiza la copia de seguridad.
Los tejidos protegidos pueden ejecutar tres tipos de máquinas virtuales:
- Una máquina virtual normal que no ofrece protección superior a la de versiones anteriores de Hyper-V.
- Una máquina virtual compatible con cifrado cuyas protecciones puede configurar un administrador de tejido
- Una máquina virtual protegida cuyas protecciones están activadas y un administrador de tejido no puede desactivarlas.
Servicio de tutor de anfitrión
HGS es la pieza central de la solución de tejido protegido. Es responsable de garantizar que el proveedor de alojamiento o la empresa conozca los hosts Hyper-V en la estructura y ejecuten software confiable.
Específicamente, HGS es una nueva función de servidor introducida en Windows Server 2016 que proporciona el servicio de atestación y el servicio de protección de claves (KPS) que permiten a Hyper-V ejecutar máquinas virtuales protegidas. Un host Hyper-V se convierte en un host protegido tan pronto como el Servicio de atestación valida afirmativamente su identidad y configuración. KPS proporciona la clave de transporte necesaria para desbloquear y ejecutar máquinas virtuales protegidas.
HGS admite dos modos de certificación diferentes para un tejido protegido:
- Certificación de confianza del administrador (basada en Active Directory). La atestación de confianza del administrador está diseñada para admitir hardware de host existente donde TPM 2.0 no está disponible. Requiere relativamente pocos pasos de configuración y es compatible con hardware de servidor común.
- Atestación de confianza de TPM (basada en hardware). La atestación de confianza de TPM ofrece la protección más sólida posible, pero también requiere más pasos de configuración. El hardware y el firmware del host deben incluir TPM 2.0 y UEFI 2.3.1 con arranque seguro habilitado.
Máquinas virtuales blindadas
Para ayudar a proteger una estructura contra riesgos, Windows Server 2016 con Hyper-V introdujo máquinas virtuales blindadas. Una máquina virtual protegida es una máquina virtual de generación 2 que tiene un TPM virtual, está cifrada mediante BitLocker Drive Encryption y solo puede ejecutarse en hosts aprobados y en buen estado en el tejido.
HGS administra las claves utilizadas para iniciar máquinas virtuales protegidas. Sin HGS, un host Hyper-V no puede encender una máquina virtual protegida porque no puede descifrarla. HGS no proporcionará las claves a un host Hyper-V hasta que ese host haya sido medido y se considere en buen estado.
A continuación se muestran tres ejemplos que ilustran cómo las máquinas virtuales protegidas ayudan a proteger contra ataques:
- Hay menos riesgo si un empleado malintencionado roba los archivos .vhd de una máquina virtual protegida porque esos archivos están cifrados.
- HGS no entregará claves a hosts con depuradores adjuntos.
- Un empleado malintencionado que intente mover una máquina virtual protegida a un host que no sea de confianza descubrirá que el nuevo host no será reconocido. Los hosts confiables se agregan a HGS mediante identificadores exclusivos de sus TPM y están protegidos incluso si se trasladan a otro HGS.
¿Qué tecnología utiliza para proteger su infraestructura de virtualización?
