Rủi ro an ninh của ảo hóa
Ảo hóa (virtualization) cho phép chạy nhiều máy ảo (VM) trên một phần cứng vật lý. Tuy mang lại lợi ích về chi phí và quản lý, nhưng nó tạo ra lớp tấn công mới:
- Hypervisor escape: Mã độc thoát khỏi VM để kiểm soát host/hypervisor.
- VM sprawl: Quản lý kém dẫn đến VM bỏ quên, không vá lỗ hổng.
- Chia sẻ tài nguyên: Kéo theo rò rỉ dữ liệu qua side-channel (CPU cache, memory deduplication).
- Snapshot/Backup bị đánh cắp: Chứa dữ liệu nhạy cảm nếu không mã hóa.
Các kiểm soát bắt buộc (Required Controls)
- Bảo mật Hypervisor (Hypervisor Hardening):
- Cập nhật bản vá mới nhất (VMware ESXi, Hyper-V, KVM...).
- Tắt dịch vụ/cổng không dùng (CIM, SLP...).
- Chạy hypervisor với đặc quyền tối thiểu.
- Phân đoạn mạng ảo (Micro-segmentation):
- Sử dụng NSX, Cisco ACI, hoặc firewall phân tán (distributed firewall) để áp dụng chính sách Zero Trust giữa các VM.
- Cách ly mạng quản trị (management network) khỏi mạng dữ liệu (data network).
- Quản trị VM an toàn (Secure VM Lifecycle):
- Triển khai từ template/image đã cứng (hardened) – CIS Benchmark.
- Tắt thiết bị không cần thiết (floppy, serial, USB controller).
- Đặt resource limit (CPU, RAM) chống DoS do VM láng giềng.
- Mã hóa & Bảo vệ dữ liệu:
- Mã hóa ổ cứng ảo (vTPM, BitLocker, LUKS).
- Mã hóa lưu lượng giữa VM (IPsec, VXLAN+GENEVE encryption).
- Giám sát & Phát hiện xâm nhập (Monitoring/IDS):
- Agentless scanning (VMware vSphere API, Hyper-V WMI) quét lỗ hổng không cần agent.
- EDR/XDR bên trong VM quan trọng.
- Log hypervisor gửi SIEM (ESXi syslog, Hyper-V ETW).
- Quản trị truy cập đặc quyền (PAM):
- RBAC cho vCenter/SCVMM: admin chỉ thấy cluster/gói VM phụ trách.
- MFA bắt buộc cho console quản trị.
- Just-in-Time (JIT) access cho quyền root/esxi shell.
- An nih bảo vệ vùng chứa (Container Security) nếu dùng Kubernetes trên VM:
- Pod Security Standards (Restricted), Network Policies, Admission Controllers (OPA/Gatekeeper).
- Quét image trong CI/CD (Trivy, Syft, Cosign).
Khung tham chiếu
- NIST SP 800-125 (Guide to Security for Full Virtualization Technologies).
- CIS Benchmarks cho VMware, Hyper-V, KVM, Docker, Kubernetes.
- MITRE ATT&CK for Virtualization (T1580, T1609...).