Обзор защищенной структуры и экранированных виртуальных машин

Безопасность виртуализации — это основная область инвестиций в Hyper-V. Помимо защиты узлов или других виртуальных машин от ВМ с вредоносными программами необходимо также защитить их от скомпрометированного узла. Это основная опасность для каждой платформы виртуализации сегодня, будь то Hyper-V, VMware или любой другой. Если виртуальная машина выходит из организации (злонамеренно или случайно), эта виртуальная машина может быть запущена в любой другой системе. Защита ценных ресурсов, таких как контроллеры домена, конфиденциальные файловые серверы и системы отдела кадров, — самая приоритетная задача в организации.

Чтобы защититься от скомпрометированного структуры виртуализации, в Windows Server 2016 Hyper-V появились экранированные виртуальные машины. Экранированная виртуальная машина — это виртуальная машина поколения 2 (поддерживаемая в Windows Server 2012 и более поздних версиях), которая имеет виртуальный TPM, шифруется с помощью BitLocker и может работать только на работоспособных и утвержденных узлах в структуре. Благодаря экранированным виртуальным машинам и защищенной структуре поставщики облачных служб или администраторы корпоративного частного облака предоставляют более безопасную среду для клиентских виртуальных машин.

Защищенная структура состоит из:

• 1 Служба защиты узлов (HGS) (обычно кластер из 3 узлов).
• 1 или более защищенных узлов.
• набора экранированных виртуальных машин. На схеме ниже показано, как служба защиты узла использует аттестации, чтобы обеспечить запуск экранированных виртуальных машин только на известных допустимых узлах, и безопасное освобождение ключей для этих виртуальных машин.

Когда клиент создает экранированные виртуальные машины, запущенные в защищенной структуре, узлы Hyper-V и эти виртуальные машины защищаются с помощью службы HGS. HGS предоставляет две различные службы: аттестации и защиты ключей. Служба аттестации гарантирует, что экранированные виртуальные машины могут запускаться только на доверенных узлах Hyper-V, тогда как служба защиты ключей предоставляет ключи, с помощью которых можно включить виртуальные машины и выполнить их динамическую миграцию на другие защищенные узлы.

Дополнительные сведения см. в этом видеоролике: общие сведения о экранированных виртуальных машинах.

Режимы аттестации в решении защищенной структуры

HGS поддерживает различные режимы аттестации для защищенной структуры:

• Аттестация доверенного платформенного модуля (на основе оборудования)
• Аттестация ключей узла (на основе асимметричных пар ключей)

Рекомендуется использовать аттестацию по ключу доверенного платформенного модуля, так как она предоставляет более надежные гарантии, что описано в приведенной ниже таблице. Но в этом случае требуется, чтобы у узлов Hyper-V был доверенный платформенный модуль версии 2.0. Если в настоящее время нет TPM 2.0 или любого доверенного платформенного модуля, можно использовать аттестацию ключа узла. Если вы приобретете новое оборудование и захотите перейти на аттестацию по ключу доверенного платформенного модуля, смените режим аттестации в службе защиты узла без прерывания или с минимальным прерыванием работы структуры.

Другой режим аттестации с именем admin-trusted является устаревшим, начиная с Windows Server 2019. Этот режим основан на защищенном членстве узла в указанной группе безопасности служб домен Active Directory (AD DS). Аттестация ключей узла обеспечивает аналогичную идентификацию узла и упрощает настройку.

Гарантии, предоставляемые службой защиты узла

HGS, а также методы создания экранированных виртуальных машин обеспечивают следующие гарантии.

Что такое данные экранирования и зачем они нужны

Файл данных экранирования (также называемый файлом данных подготовки, или PDK-файлом) — это зашифрованный файл, который создает клиент или владелец виртуальной машины, чтобы защитить важную информацию о конфигурации виртуальной машины (пароль администратора, протокол удаленного рабочего стола и другие сертификаты с информацией об удостоверениях, учетные данные для присоединения домена и т. д.). Администратор структуры использует файл данных экранирования при создании экранированной виртуальной машины, но не может просматривать и использовать содержащиеся в нем сведения.

Среди прочего, экранирование файлов данных содержит такие секреты, как:

• Учетные данные администратора.
• Файл ответов (unattend.xml).
• Политика безопасности, которая определяет, настроены ли виртуальные машины, созданные с использованием этих данных экранирования, как экранированные или поддерживаемые шифрованием
  • Помните, что виртуальные машины, настроенные как экранированные, защищены от администраторов структуры, а поддерживаемые шифрование виртуальных машин не являются
• Сертификат протокола удаленного рабочего стола для безопасного взаимодействия с виртуальной машиной.
• Каталог подписей томов со списком доверенных подписанных шаблонов дисков, которые можно использовать для создания виртуальной машины.
• Предохранитель ключа, определяющий, в каких защищенных структурах может запускаться экранированная виртуальная машина.

Файл данных экранирования (PDK-файл) гарантирует, что виртуальная машина будет создана так, как предполагал клиент. Например, когда клиент помещает файл ответа (unattend.xml) в файл данных экранирования и передает его поставщику услуг размещения, поставщик размещения не может просматривать или вносить изменения в этот файл ответа. Аналогичным образом поставщик размещения не может заменить другой VHDX при создании экранированного виртуальной машины, так как файл данных экранирования содержит подписи доверенных дисков, из-за которые можно создать экранированные виртуальные машины.

На рисунке ниже показан файл данных экранирования и связанные с ним элементы конфигурации.

Типы виртуальных машин, которые могут выполняться в защищенной структуре

В защищенной структуре могут запускаться виртуальные машины одного из следующих типов:

1. Обычная виртуальная машина, которая не обеспечивает защиту, представленную только в предыдущих версиях Hyper-V.
2. Виртуальная машина с поддержкой шифрования, защиту которой может настроить администратор структуры.
3. Экранированная виртуальная машина, защита которой включена и не может быть отключена администратором структуры.

Виртуальные машины с поддержкой шифрования предназначены для случаев, когда есть полное доверие к администратору структуры. Например, предприятие может развернуть защищенную структуру, чтобы выполнять для дисков виртуальной машины шифрование неактивных данных с целью соответствия требованиям. Администраторы структуры по-прежнему могут использовать удобные средства управления, например подключения к консоли виртуальной машины, PowerShell Direct и другие повседневные средства управления и устранения неполадок.

Экранированные виртуальные машины предназначены для структур, где данные и состояние виртуальной машины должны быть защищены как от администраторов структуры, так и от ненадежного программного обеспечения, которое может выполняться на узлах Hyper-V. К примеру, экранированные виртуальные машины никогда не разрешат подключение к консоли виртуальной машины, тогда как для виртуальных машин с поддержкой шифрования администратор структуры может включить или отключить эту защиту.

В следующей таблице перечислены различия между поддерживаемыми шифрованием и экранированных виртуальными машинами.

¹ Традиционные отладчики, которые присоединяются непосредственно к процессу, например WinDbg.exe, блокируются для экранированных виртуальных машин, так как рабочий процесс виртуальной машины (VMWP.exe) является защищенным светом процесса (PPL). Альтернативные методы отладки, такие как те, которые используются LiveKd.exe, не блокируются. В отличие от экранированных виртуальных машин рабочий процесс для шифрования поддерживаемых виртуальных машин не выполняется как PPL, поэтому традиционные отладчики, такие как WinDbg.exe, будут продолжать работать нормально.

Как экранированные виртуальные машины, так и виртуальные машины с поддержкой шифрования продолжают поддерживать стандартные возможности управления структуры, в том числе динамическую миграцию, реплику Hyper-V, контрольные точки виртуальной машины и т. д.

Служба защиты узла в действии. Включение экранированной виртуальной машины

1. Включается виртуальная машина VM01. Прежде чем защищенный узел может использовать экранированную виртуальную машину, сначала необходимо подтвердить, что он работоспособна. Чтобы доказать работоспособность, он должен представить сертификат работоспособности в службе защиты ключей (KPS). Он передается в ходе аттестации.

2. Узел запрашивает аттестацию. Защищенный узел запрашивает аттестацию. Режим аттестации устанавливается службой защиты узла.

   • Аттестация доверенного платформенного модуля: узел Hyper-V отправляет сведения, которые включают:

     • сведения, определяющие доверенный платформенный модуль (ключ подтверждения);

     • сведения о процессах, запущенных в течение последней последовательности загрузки (журнал TCG);

     • Сведения о политике целостности кода (CI), применяемой на узле.

       Аттестация происходит при запуске узла, а затем каждые 8 часов. Если по какой-то причине узел не имеет сертификата аттестации при попытке запуска виртуальной машины, это также активирует аттестацию.

   • Аттестация ключа узла: узел Hyper-V отправляет общедоступную половину пары ключей. HGS проверяет, зарегистрирован ли ключ узла.

   • Аттестация по группе доверенного администратора. Узел Hyper-V отправляет билет Kerberos, который определяет группы безопасности, в которые входит узел. HGS проверяет, принадлежит ли узел к группе безопасности, которую ранее настроил доверенный администратор HGS.

3. Аттестация завершается успешно (или с ошибкой). Режим аттестации определяет, какие проверки необходимы для успешного подтверждения работоспособности узла. При аттестации доверенного доверенного платформенного модуля проверяется удостоверение доверенного платформенного модуля узла, измерения загрузки и политика целостности кода. При аттестации ключа узла проверяется только регистрация ключа узла.

4. Сертификат аттестации отправляется на узел. Если аттестация выполнена успешно, сертификат работоспособности отправляется на узел, а узел считается защищенным (авторизованным для запуска экранированных виртуальных машин). Узел использует сертификат работоспособности для авторизации службы защиты ключей, чтобы безопасно освободить ключи, необходимые для работы экранированных виртуальных машин.

5. Узел запрашивает ключ виртуальной машины. Защищенный узел не имеет ключей, необходимых для питания на экранированных виртуальных машинах (VM01 в этом случае). Чтобы получить необходимые ключи, защищенный узел должен предоставить службе защиты ключей следующее:

   • текущий сертификат работоспособности;
   • зашифрованный секрет (предохранитель ключа), содержащий необходимые для включения VM01 ключи. Секрет зашифрован с использованием других ключей, известных только службе защиты ключей.

6. Ключ освобождается. Служба защиты ключей проверяет сертификат работоспособности на допустимость. Сертификат не должен быть просрочен, и служба защиты ключей должна доверять службе аттестации, выдавшей его.

7. Ключ возвращается на узел. Если сертификат работоспособности действителен, KPS пытается расшифровать секрет и безопасно вернуть ключи, необходимые для работы с виртуальной машиной. Ключи шифруются для защищенных виртуальных машин узла.

8. Размещение в VM01.

Словарь терминов, касающихся защищенной структуры и экранированной виртуальной машины

Дополнительные справочники

• Защищенная структура и экранированные виртуальные машины
• Блог: Центр обработки данных и блог о частной облачной безопасности
• Видео: введение в экранированные Виртуальные машины
• Видео: обзор экранированных виртуальных машин с Windows Server 2016 Hyper-V