Keamanan hypervisor pada armada Azure

Sistem hypervisor Azure didasarkan pada Windows Hyper-V. Sistem hypervisor memungkinkan administrator komputer untuk menentukan partisi tamu yang memiliki ruang alamat terpisah. Ruang alamat terpisah memungkinkan Anda memuat sistem operasi dan aplikasi yang beroperasi secara paralel dari sistem operasi (host) yang dijalankan di partisi root komputer. OS host (juga dikenal sebagai partisi root istimewa) memiliki akses langsung ke semua perangkat fisik dan periferal pada sistem (pengontrol penyimpanan, adaptasi jaringan). OS host memungkinkan partisi tamu untuk berbagi penggunaan perangkat fisik ini dengan mengekspos "perangkat virtual" ke setiap partisi tamu. Dengan demikian, sistem operasi yang dijalankan dalam partisi tamu memiliki akses ke perangkat periferal virtual yang disediakan oleh layanan virtualisasi yang dijalankan di partisi root.

Hypervisor Azure dibuat dengan mempertimbangkan tujuan keamanan berikut:

Objective Source
Isolasi Kebijakan keamanan mengamanatkan tidak ada transfer informasi antar VM. Batasan ini memerlukan kemampuan di Virtual Machine Manager (VMM) dan perangkat keras untuk isolasi memori, perangkat, jaringan, dan sumber daya terkelola seperti data yang dipertahankan.
Integritas VMM Untuk mencapai integritas sistem secara keseluruhan, integritas masing-masing komponen hypervisor ditetapkan dan dipertahankan.
Integritas platform Integritas hypervisor tergantung pada integritas perangkat keras dan perangkat lunak yang diandalkannya. Meskipun hypervisor tidak memiliki kontrol langsung atas integritas platform, Azure mengandalkan mekanisme perangkat keras dan firmware seperti chip Cerberus untuk melindungi dan mendeteksi integritas platform yang mendasarinya. Azure mencegah VMM dan VM tamu beroperasi jika integritas platform terganggu.
Akses terbatas Hanya administrator resmi yang terhubung melalui koneksi aman yang menjalankan fungsi manajemen. Mekanisme kontrol akses berbasis peran Azure (Azure RBAC) menerapkan hak istimewa paling sedikit.
Audit Azure memungkinkan kemampuan audit untuk menangkap dan melindungi data tentang apa yang terjadi pada sistem sehingga nantinya dapat diperiksa.

Pendekatan Microsoft untuk mengeraskan hypervisor Azure dan subsistem virtualisasi dapat dipecah menjadi tiga kategori berikut.

Batas keamanan yang didefinisikan dengan tegas dan ditegakkan oleh hipervisor

Hypervisor Azure memberlakukan beberapa batas keamanan antara:

  • Partisi "tamu" tervirtualisasi dan partisi dengan hak istimewa ("host")
  • Banyak tamu
  • Dirinya sendiri dan tuan rumah
  • Diri sendiri dan semua tamu

Kerahasiaan, integritas, dan ketersediaan dijamin untuk batas keamanan hypervisor. Batas-batas tersebut melindungi dari berbagai serangan termasuk kebocoran informasi saluran samping, penolakan layanan, dan peningkatan hak istimewa.

Batas keamanan hypervisor juga menyediakan segmentasi antara penyewa untuk lalu lintas jaringan, perangkat virtual, penyimpanan, sumber daya komputasi, dan semua sumber daya VM lainnya.

Mitigasi eksploitasi mendalam pertahanan

Jika batas keamanan tidak mungkin memiliki kerentanan, hypervisor Azure menyertakan beberapa lapisan mitigasi termasuk:

  • Isolasi proses berbasis host yang meng-host komponen lintas-VM
  • Keamanan berbasis virtualisasi (VBS) untuk memastikan integritas komponen mode pengguna dan kernel dari dunia yang aman
  • Beberapa tingkat mitigasi eksploitasi. Mitigasi termasuk pengacakan tata letak ruang alamat (ASLR), pencegahan eksekusi data (DEP), penjaga kode arbitrer, integritas alur kontrol, dan pencegahan kerusakan data
  • Inisialisasi otomatis variabel tumpukan di tingkat kompiler
  • API kernel yang secara otomatis menginisialisasi alokasi tumpukan kernel nol yang dibuat oleh Hyper-V

Mitigasi ini dirancang untuk membuat pembuatan eksploit terhadap kerentanan lintas-VM menjadi nyaris tidak mungkin.

Proses jaminan keamanan yang kuat

Permukaan serangan yang terkait dengan hypervisor mencakup jaringan perangkat lunak, perangkat virtual, dan semua permukaan lintas VM. Permukaan serangan dilacak melalui integrasi build otomatis, yang memicu tinjauan keamanan berkala.

Tim Merah Microsoft membuat model ancaman, meninjau kode, melakukan fuzzing, dan menguji semua permukaan serangan VM untuk mendeteksi pelanggaran batas keamanan. Microsoft juga memiliki program bug bounty yang membayar penghargaan untuk kerentanan yang relevan dalam versi produk yang memenuhi syarat untuk Microsoft Hyper-V.

Note

Pelajari selengkapnya tentang proses jaminan keamanan yang kuat di Hyper-V.

Langkah berikutnya

Untuk mempelajari selengkapnya tentang pekerjaan Microsoft untuk mendorong integritas dan keamanan platform, lihat:

  • Last updated on