Планирование безопасности Hyper-V

Обновлено: Февраль 2009 г.

Назначение: Windows Server 2008, Windows Server 2008 R2

Необходимо защитить сервер виртуализации, используя те же меры, которые предпринимаются для защиты сервера, где выполняется ОС Windows Server 2008. Кроме того, необходимо использовать дополнительные меры для защиты виртуальных машин, файлов конфигурации и данных. Дополнительные сведения о способах защиты нагрузок Windows Server 2008 см. в руководстве по безопасности Windows Server 2008 (руководство может быть на английском языке) (http://go.microsoft.com/fwlink/?LinkId=134200).

Кроме того, см. следующие связанные с безопасностью разделы данного руководства.

Следует защитить виртуальные машины, выполняющиеся на сервере виртуализации, в соответствии с процедурами защиты этого вида сервера или нагрузки. Не существует никаких специальных или особых мер для защиты виртуальной машины только потому, что это виртуальная машина. Например, если для политик или процедур требуется выполнение антивирусной программы, просто запустите ее на виртуальной машине. Если имеется требование политики о назначении физического сервера определенному сегменту сети, в виртуальной машине необходимо так же следовать этой политике.

Рекомендуются следующие меры для увеличения безопасности серверов, где выполняется Hyper-V.

noteПримечание
Для защиты виртуальных машин и данных можно использовать шифрование диска BitLocker, но для этого требуется тщательное планирование развертывания и восстановления. Дополнительные сведения см. в руководствах по проектированию и развертыванию шифрования диска Windows BitLocker (руководства могут быть на английском языке) (http://go.microsoft.com/fwlink/?LinkId=134201).

Рекомендации по безопасности Hyper-V

  • В качестве управляющей операционной системы испольуйте вариант установки Server Core для ОС Windows Server 2008. Установка Server Core обеспечивает наименьшую поверхность атаки и уменьшает количество исправлений, обновлений и перезапусков, требуемых для обслуживания. Подробные сведения и руководства по установке см. в пошаговом руководстве по варианту установки Server Core операционной системы Windows Server 2008 (руководство может быть на английском языке) (http://go.microsoft.com/fwlink/?LinkId=134202).

    Дополнительные сведения о включении роли Hyper-V на сервере, где выполняется установка Server Core, см. в разделе Установка роли Hyper-V в ОС Windows Server 2008 в варианте установки Server Core.

    noteПримечание
    Невозможно обновить вариант установки Server Core до полной установки ОС Windows Server 2008. Если требуется пользовательский интерфейс Windows или серверная роль, не поддерживаемая в установке Server Core, выполните полную установку Windows Server 2008.

    Для удаленного управления Hyper-V на установке Server Core используются средства управления Hyper-V для Windows Server 2008 и Windows Vista с пакетом обновления 1 (SP1). Дополнительные сведения см. в статье 950050 (http://go.microsoft.com/fwlink/?prd=12079) и в статье 952627 (http://go.microsoft.com/fwlink/?LinkID=122189) базы знаний корпорации Microsoft (статьи могут быть на английском языке). Дополнительные сведения о настройке средств удаленного управления Hyper-V см. в разделе Установка и настройка средств Hyper-V для удаленного администрирования.

  • Не запускайте приложения в управляющей операционной системе - все приложения должны выполняться в виртуальных машинах. Благодаря тому, что в управляющей операционной системе не выполняются приложения, и благодаря установке Server Core для ОС Windows Server 2008 требуется меньшее число обновлений управляющей операционной системы, поскольку обновления не требуются ни для какого программного обеспечения, за исключением установки Server Core, компонентов служб Hyper-V и гипервизора.

    noteПримечание
    При выполнении программ в управляющей операционной системе необходимо запустить в ней антивирусное решение и добавить в исключения антивирусной программы следующие ресурсы.

    • Каталог файлов конфигурации виртуальных машин. По умолчанию это C:\ProgramData\Microsoft\Windows\Hyper-V.

    • Каталог файлов виртуальных жестких дисков виртуальных машин. По умолчанию это C:\Users\Public\Documents\Hyper-V\Virtual Hard Disks.

    • Каталог файлов моментальных снимков. По умолчанию это %systemdrive%\ProgramData\Microsoft\Windows\Hyper-V\Snapshots.

    • Vmms.exe

    • Vmwp.exe

    Если необходимо использовать полную версию операционной системы Windows Server 2008 и выполнять приложения в управляющей операционной системе, в ней следует запустить антивирусную программу.

  • Для определения уровня безопасности управляющей операционной системы используйте уровень безопасности виртуальных машин. Виртуальные машины следует развертывать на серверах виртуализации, имеющих такие же требования безопасности. Например, предположим, что производится классификация уровня риска и усилий по защите серверов на три категории: «защищенный», «более защищенный» и «наиболее защищенный». Для наиболее защищенных серверов потребуется приложить больше усилий по обеспечению соответствия и необходимо больше процедур управления, чем для защищенных серверов. Это справедливо, независимо от того, является сервер физическим или выполняется в виртуальной машине. При развертывании и защищенных, и наиболее защищенных виртуальных машин в управляющей операционной системе для сервера виртуализации необходимо установить уровень защиты как для «наиболее защищенного» сервера. Развертывание виртуальных машин с одинаковым уровнем безопасности на сервере виртуализации может облегчить управление и перемещение виртуальных машин.

  • Не предоставляйте администраторам виртуальных машин разрешения в управляющей операционной системе. Согласно принципу предоставления наименьших привилегий, администраторам виртуальных машин (иногда называемым администраторами отделов или делегированными администраторами) необходимо предоставлять минимально необходимые разрешения. Управление требуемыми разрешениями на всех объектах, связанных с виртуальной машиной, может быть сложным и при неверном использовании может вести к возможным проблемам безопасности. Управление доступом на основе ролей дает возможность задавать управление доступом в терминах организационной структуры компании, то есть путем создания нового объекта, называемого ролью. Пользователь назначается роли для выполнения своих должностных обязанностей. Hyper-V использует политики диспетчера авторизации для управления доступом на основе ролей.

  • Перед развертываем виртуальных машин в производственной среде необходимо обеспечить их полное обновление. Поскольку перемещение виртуальных машин производится гораздо легче, а их развертывание гораздо быстрее, чем при использовании физических машин, имеется большой риск развертывания не полностью обновленной или исправленной виртуальной машины. Для эффективного управления этим риском используются те же методы и процедуры обновления виртуальных машин, что и для обновления физических серверов. Например, если разрешается выполнение автоматических обновлений с помощью Центра обновления Windows, Microsoft System Center Configuration Manager или иного метода распространения программного обеспечения, следует обеспечить обновление и/или исправление виртуальных машин перед развертываем.

    Для этого можно использовать узлы обслуживания и быструю миграцию в Hyper-V. Узлом обслуживания является компьютер, который может быть предназначен для исправления хранимых ресурсов и для промежуточного хранения виртуальных машин перед их переносом в производственную среду. Дополнительные сведения об узлах обслуживания см. в статье о планировании для узлов (статья может быть на английском языке) (http://go.microsoft.com/fwlink/?LinkId=134482). Сведения об использовании быстрой миграции для перемещения виртуальных машин на узел обслуживания см. в пошаговом руководстве по Hyper-V: «Тестирование Hyper-V и отказоустойчивости кластеров» (руководство может быть на английском языке) (http://go.microsoft.com/fwlink/?LinkId=134481).

  • Обеспечьте установку служб интеграции на виртуальных машинах. Точность отметок времени и записей журнала аудита важна для компьютерной криминалистики и для обеспечения соответствия. Службы интеграции обеспечивают синхронизацию времени между виртуальными машинами и управляющей операционной системой. Такая синхронизация гарантирует, что время согласовано с физическим расположением виртуальной машины, в случае, когда виртуальные машины переносятся между центрами данных в разных часовых поясах или когда виртуальные машины восстанавливаются из предыдущих мгновенных снимков.

  • Для управляющих операционных систем сервера виртуализации используйте выделенный сетевой адаптер. По умолчанию для управляющей операционной системы виртуальная сеть не настраивается. Для управления сервером, где выполняется Hyper-V, используйте выделенный сетевой адаптер и не делайте этот сервер открытым для сетевого трафика без доверия. Не позволяйте виртуальным машинам использовать этот сетевой адаптер. Для сети виртуальных машин используйте один или несколько различных выделенных сетевых адаптеров. Это позволяет применять разные уровни политики безопасности сети и конфигурации виртуальных машин. Например, можно настроить сеть так, чтобы доступ к сети для виртуальных машин, отличался от доступа к сети для управляющей операционной системы, включая использование виртуальных локальных сетей, IP-безопасность (IPSec), защиту доступа к сети (NAP) и шлюз управления угрозами Microsoft Forefront Threat Management Gateway. Дополнительные сведения о настройке сети см. в разделе Настройка виртуальных сетей.

    Дополнительные сведения о NAP см. по ссылке (страница может быть на английском языке) http://go.microsoft.com/fwlink/?LinkID=117804. Дополнительные сведения о шлюзе управления угрозами Microsoft Forefront Threat Management Gateway и о Microsoft Forefront Stirling см. по ссылке (страница может быть на английском языке) http://go.microsoft.com/fwlink/?LinkId=134452.

  • Используйте шифрование диска BitLocker для защиты ресурсов. Шифрование диска BitLocker использует компоненты оборудования и с микропрограммы сервера для обеспечения безопасной загрузки операционной системы и шифрования диска, даже если на сервер не подается электропитание. Это позволяет защитить данные, если диск будет украден и смонтирован на другой компьютер для интеллектуального анализа данных. Шифрование диска BitLocker также помогает защитить данные, если злоумышленник использует другую операционную систему или выполняет программное средство несанкционированного доступа к диску.

    Потеря физического диска представляет наибольшую угрозу в сценариях для небольших и средних предприятий, а также для удаленных офисов, где физическая защита сервера может быть не такой строгой, как в производственных центрах данных. Однако использовать шифрование диска BitLocker имеет смысл для всех компьютеров. Шифрование диска BitLocker должно также использоваться на всех томах, на которых хранятся файлы виртуальной машины. К ним относятся виртуальные жесткие диски, файлы конфигурации, моментальные снимки и любые ресурсы виртуальной машины, такие как образы ISO и виртуальные гибкие диски. Для защиты более высокого уровня, которая включает безопасную загрузку, шифрованию файлов BitLocker требуется оборудование доверенного платформенного модуля (TPM). Дополнительные сведения об управлении TPM см. в пошаговом руководстве по управлению доверенным платформенным модулем Windows (руководство может быть на английском языке) (http://go.microsoft.com/fwlink/?LinkId=134227).

    Дополнительные сведения о настройке шифрования диска BitLocker для защиты сервера и выполняющихся на нем виртуальных машин см. в статье «Windows Server 2008 Hyper-V и шифрование диска BitLocker» (статья может быть на английском языке) (http://go.microsoft.com/fwlink/?LinkID=123534).

    См. также часто задаваемые вопросы о шифровании диска Windows BitLocker (http://go.microsoft.com/fwlink/?LinkId=134228) и описание средства восстановления BitLocker (http://go.microsoft.com/fwlink/?LinkId=134229) (страницы могут быть на английском языке).

    ImportantВажно
    Шифрование диска BitLocker используется в управляющей операционной системе Hyper-V и для защиты томов, которые содержат файлы конфигурации, виртуальные жесткие диски и моментальные снимки. Не запускайте шифрование диска BitLocker в виртуальной машине. Шифрование диска BitLocker не поддерживается в виртуальной машине.

  • Отключите настройки виртуализации BIOS, если они не требуются. Если сервер больше не используется для виртуализации, например в сценарии тестирования или разработки, необходимо отключить настройки BIOS аппаратной виртуализации, которые требовались для Hyper-V. Инструкции об отключении этих настроек запросите у производителя оборудования.

Дополнительные ресурсы

Теги :


Page view tracker