Sicurezza dell'hypervisor sulla flotta Azure

Il sistema di ipervisore Azure si basa su Windows Hyper-V. Il sistema hypervisor consente all'amministratore del computer di specificare partizioni guest che hanno spazi di indirizzamento separati. Gli spazi di indirizzamento separati permettono di caricare un sistema operativo e applicazioni che operano in parallelo al sistema operativo (host) che viene eseguito nella partizione root del computer. Il sistema operativo host (noto anche come partizione root privilegiata) ha accesso diretto a tutti i dispositivi fisici e le periferiche del sistema (controller di storage, adattamenti di rete). Il sistema operativo host permette alle partizioni ospiti di condividere l'uso di questi dispositivi fisici esponendo i "dispositivi virtuali" a ciascuna partizione ospite. Quindi, un sistema operativo che esegue in una partizione ospite ha accesso a dispositivi periferici virtualizzati forniti dai servizi di virtualizzazione che vengono eseguiti nella partizione radice.

L'hypervisor Azure è costruito con i seguenti obiettivi di sicurezza in mente:

Objective Source
Isolamento Una policy di sicurezza non impone il trasferimento di informazioni tra VM. Questo vincolo richiede capacità nel Virtual Machine Manager (VMM) e hardware per l'isolamento di memoria, dispositivi, rete e risorse gestite come i dati persistenti.
Integrità del VMM Per raggiungere l'integrità complessiva del sistema, viene stabilita e mantenuta l'integrità dei singoli componenti dell'hypervisor.
Integrità della piattaforma L'integrità dell'hypervisor dipende dall'integrità dell'hardware e del software su cui si basa. Sebbene l'hypervisor non abbia un controllo diretto sull'integrità della piattaforma, Azure si basa su meccanismi hardware e firmware come il chip Cerberus per proteggere e rilevare l'integrità della piattaforma sottostante. Azure impedisce all'esecuzione di VMM e degli ospiti se l'integrità della piattaforma è compromessa.
Accesso con restrizioni Solo gli amministratori autorizzati connessi tramite connessioni sicure esercitano funzioni di gestione. I meccanismi di controllo degli accessi basati sul ruolo di Azure (Azure RBAC) applicano il privilegio minimo.
Controllo Azure consente la capacità di audit per raccogliere e proteggere i dati su ciò che accade su un sistema, così da poterli ispezionare successivamente.

L'approccio di Microsoft per rafforzare l'hypervisor Azure e il sottosistema di virtualizzazione può essere suddiviso nelle seguenti tre categorie.

Confini di sicurezza fortemente definiti imposti dall'hypervisor

L'hypervisor Azure impone molteplici confini di sicurezza tra:

  • Partizioni "guest" virtualizzate e partizione privilegiata ("host")
  • Ospiti multipli
  • Sé stesso e l'ospite
  • Sé stesso e tutti gli ospiti

Riservatezza, integrità e disponibilità sono garantite per i confini di sicurezza dell'hypervisor. I confini difendono da una serie di attacchi, tra cui fughe di informazioni a canale laterale, negazione del servizio e elevazione del privilegio.

Il confine di sicurezza dell'hypervisor fornisce anche segmentazione tra i tenant per traffico di rete, dispositivi virtuali, storage, risorse di calcolo e tutte le altre risorse VM.

Mitigazioni degli exploit nella difesa stratificata

Nel caso improbabile in cui un confine di sicurezza presenti una vulnerabilità, l'hypervisor Azure include più livelli di mitigazioni tra cui:

  • Isolamento dei processi basati su host che ospitano componenti cross-VM
  • Sicurezza basata sulla virtualizzazione (VBS) per garantire l'integrità dei componenti in modalità utente e kernel da un mondo sicuro
  • Più livelli di mitigazione degli exploit. Le mitigazioni includono la randomizzazione del layout dello spazio degli indirizzi (ASLR), la prevenzione dell'esecuzione dei dati (DEP), la protezione dal codice arbitrario, l'integrità del flusso di controllo e la prevenzione della corruzione dei dati
  • Inizializzazione automatica delle variabili dello stack a livello di compilatore
  • API del kernel che inizializzano automaticamente a zero le allocazioni dell'heap del kernel eseguite da Hyper-V

Queste mitigazioni sono progettate per rendere inviabile lo sviluppo di un exploit per una vulnerabilità cross-VM.

Processi di garanzia della sicurezza

La superficie di attacco correlata all'hypervisor include reti software, dispositivi virtuali e tutte le superfici cross-VM. La superficie di attacco viene tracciata tramite integrazione automatica delle build, che attiva periodicamente revisioni di sicurezza.

Il Red Team di Microsoft esegue attività di threat modeling, revisioni del codice, fuzzing e test di tutte le superfici di attacco delle VM per individuare eventuali violazioni dei confini di sicurezza. Microsoft ha anche un programma di bug bounty che prevede un riconoscimento per le vulnerabilità rilevanti nelle versioni di prodotto idonee di Microsoft Hyper-V.

Note

Scopri di più sui processi di sicurezza solidi in Hyper-V.

Passaggi successivi

Per saperne di più sul lavoro di Microsoft per promuovere l'integrità e la sicurezza della piattaforma, vedi:

  • Last updated on