Recursos de segurança de máquina virtual de 2ª geração do Hyper-V

As máquinas virtuais (VMs) Hyper-V geração 2 oferecem recursos de segurança robustos projetados para proteger dados confidenciais e impedir o acesso não autorizado ou a adulteração. Este artigo explora as configurações de segurança disponíveis no Hyper-V Manager para VMs de geração 2 e mostra como configurá-las. Saiba como esses recursos podem ajudar a proteger suas VMs contra ameaças e garantir a conformidade com as práticas recomendadas de segurança.

Os recursos de segurança disponíveis para VMs de geração 2 no Hyper-V incluem:

• Inicialização segura.
• Suporte à criptografia para o TPM (Trusted Platform Module), migração ao vivo e estado salvo.
• VMs blindadas.
• Serviço Guardião de Host (HGS).

Esses recursos de segurança foram desenvolvidos para ajudar a proteger os dados e o estado de uma máquina virtual. Você pode proteger as VMs contra inspeção, roubo e adulteração, tanto do malware que pode ser executado no host quanto dos administradores do datacenter. O nível de segurança obtido depende do hardware do host que você executa, da geração da máquina virtual e se você configurou o HGS (Serviço Guardião de Host) complementar, que autoriza os hosts a iniciar VMs protegidas.

O Serviço Guardião de Host foi introduzido pela primeira vez no Windows Server 2016. Ele identifica hosts Hyper-V legítimos e permite que eles executem um conjunto de VMs blindadas. Normalmente, você habilitaria o Serviço Guardião de Host para um datacenter, mas também pode criar uma VM protegida para executá-la localmente sem configurar o Serviço Guardião de Host. Posteriormente, você pode distribuir a máquina virtual protegida para o Serviço Guardião de Host.

Para saber como você pode tornar suas VMs mais seguras com o Host Guardian Service, consulte Malha protegida e VMs blindadas e Proteção da malha: proteção de segredos de locatário no Hyper-V (vídeo do Ignite).

Inicialização Segura

A inicialização segura é um recurso disponível nas VMs de geração 2 que ajuda a impedir que firmware, sistemas operacionais ou drivers UEFI (Unified Extensible Firmware Interface) não autorizados (também conhecidos como ROMs opcionais) sejam executados no momento da inicialização. A Inicialização Segura está habilitada por padrão. Você pode usar a inicialização segura com VMs de geração 2 que executam sistemas operacionais de distribuição Windows ou Linux.

Há três modelos diferentes disponíveis, dependendo do sistema operacional e da configuração da VM. A tabela a seguir lista cada um desses modelos e faz referência aos certificados necessários para verificar a integridade do processo de inicialização:

Suporte à criptografia

As máquinas virtuais Hyper-V Geração 2 oferecem recursos robustos de criptografia que proporcionam várias camadas de proteção para sua infraestrutura virtualizada. O suporte à criptografia abrange três áreas críticas: Funcionalidade do TPM (Trusted Platform Module), tráfego de rede de migração em tempo real e dados de estado salvos. Esses recursos de segurança trabalham juntos para criar uma defesa abrangente contra acesso não autorizado e violações de dados, garantindo que as informações confidenciais permaneçam protegidas tanto em repouso quanto em trânsito.

O recurso TPM virtualizado (vTPM) representa um avanço significativo na arquitetura de segurança da VM. Ao adicionar um vTPM à sua máquina virtual de Geração 2, você permite que o sistema operacional convidado use funções de segurança baseadas em hardware semelhantes às funções disponíveis em máquinas físicas. Esse chip de segurança virtualizado permite que o sistema operacional convidado criptografe todo o disco da máquina virtual usando o BitLocker Drive Encryption, criando uma camada extra de proteção contra acesso não autorizado. O vTPM também pode oferecer suporte a outras tecnologias de segurança que precisam de um TPM, o que o torna um componente essencial para ambientes corporativos que exigem conformidade rigorosa com padrões e normas de segurança.

Você pode migrar uma máquina virtual com o TPM virtual ativado para qualquer host que execute uma versão compatível do Windows Server ou do Windows. Se você o migrar para outro host, talvez não consiga iniciá-lo. Você deve atualizar o protetor de chave para essa máquina virtual para autorizar o novo host a executar a máquina virtual. Para obter mais informações, confira Malha Protegida e VMs Blindadas e Requisitos do sistema para o Hyper-V no Windows Server.

Política de Segurança no Gerenciador do Hyper-V

As máquinas virtuais protegidas representam o mais alto nível de segurança disponível para VMs Hyper-V Geração 2, fornecendo proteção abrangente contra ameaças externas e ataques de acesso privilegiado. Ao habilitar a proteção em uma máquina virtual, você cria um ambiente protegido que criptografa o estado da VM e o tráfego de migração, restringindo o acesso administrativo a funções de VM críticas. Essa proteção vai além das medidas de segurança tradicionais, impedindo que até mesmo os administradores do data center e o malware no nível do host acessem a memória, o estado salvo ou o tráfego de rede da VM durante as operações de migração em tempo real.

O recurso de proteção impõe automaticamente vários requisitos de segurança, incluindo Inicialização Segura, habilitação do TPM e criptografia de tráfego de estado e migração salvos. Além disso, as VMs blindadas desativam determinados recursos de gerenciamento, como conexões de console, PowerShell Direct e componentes de integração específicos que os invasores poderiam explorar. Essa abordagem cria um modelo de segurança de defesa em profundidade em que a máquina virtual se torna efetivamente opaca para o sistema host, garantindo que as cargas de trabalho confidenciais permaneçam protegidas mesmo em ambientes de hospedagem comprometidos. As organizações podem implementar VMs blindadas com o Serviço Guardião de Host para implementações em escala empresarial ou executá-las localmente para aumentar a segurança em implementações menores.

Você pode executar a máquina virtual blindada localmente sem configurar um Serviço Guardião de Host. Se você o migrar para outro host, talvez não consiga iniciá-lo. Você deve atualizar o protetor de chave para essa máquina virtual para autorizar o novo host a executar a máquina virtual. Para obter mais informações, confira Malha Protegida e VMs Blindadas.

Conteúdo relacionado

Para obter mais informações, consulte os seguintes artigos:

• Segurança e garantia no Windows Server 2016.
• Devo criar uma máquina virtual de geração 1 ou 2 no Hyper-V?
• Máquinas Virtuais do Linux e FreeBSD no Hyper-V