Hypervisorbeveiliging in de Azure-infrastructuur

Het Azure hypervisorsysteem is gebaseerd op Windows Hyper-V. Het hypervisorsysteem stelt de computerbeheerder in staat gastpartities te specificeren die aparte adresruimtes hebben. De aparte adresruimtes stellen je in staat een besturingssysteem en applicaties te laden die parallel draaien aan het (host)besturingssysteem dat in de root-partitie van de computer wordt uitgevoerd. Het host-OS (ook bekend als bevoorrechte rootpartitie) heeft directe toegang tot alle fysieke apparaten en randapparatuur op het systeem (opslagcontrollers, netwerkaanpassingen). Het host-besturingssysteem staat gastpartities toe om het gebruik van deze fysieke apparaten te delen door "virtuele apparaten" aan elke gastpartitie bloot te stellen. Dus een besturingssysteem dat in een gastpartitie draait, heeft toegang tot gevirtualiseerde randapparatuur die worden geleverd door virtualisatieservices die in de rootpartitie draaien.

De Azure hypervisor is gebouwd met de volgende beveiligingsdoelstellingen in gedachten:

Objective Source
Isolatie Een beveiligingsbeleid vereist geen informatieoverdracht tussen VM's. Deze beperking vereist mogelijkheden in de Virtual Machine Manager (VMM) en hardware voor isolatie van geheugen, apparaten, het netwerk en beheerde bronnen zoals opgeslagen data.
VMM-integriteit Om algehele systeemintegriteit te bereiken, wordt de integriteit van individuele hypervisorcomponenten vastgesteld en onderhouden.
Platformintegriteit De integriteit van de hypervisor hangt af van de integriteit van de hardware en software waarop hij steunt. Hoewel de hypervisor geen directe controle heeft over de integriteit van het platform, vertrouwt Azure op hardware- en firmwaremechanismen zoals de Cerberus-chip om de onderliggende integriteit van het platform te beschermen en te detecteren. Azure voorkomt dat de VMM en gasten kunnen draaien als de integriteit van het platform wordt aangetast.
Beperkte toegang Alleen bevoegde beheerders die via beveiligde verbindingen zijn verbonden, oefenen beheersfuncties uit. Azure role-based access control-mechanismen (Azure RBAC) dwingen minimale bevoegdheden af.
Audit Azure maakt auditmogelijkheden mogelijk om gegevens over wat er op een systeem gebeurt vast te leggen en te beschermen, zodat deze later kunnen worden geïnspecteerd.

Microsoft's aanpak om de Azure-hypervisor en het virtualisatiesubsysteem te versterken, kan worden onderverdeeld in de volgende drie categorieën.

Sterk gedefinieerde beveiligingsgrenzen die door de hypervisor worden gehandhaafd

De Azure-hypervisor handhaaft meerdere beveiligingsgrenzen tussen:

  • Gevirtualiseerde "gast"-partities en bevoorrechte partitie ("host")
  • Meerdere gasten
  • Zichzelf en de gastheer
  • Zichzelf en alle gasten

Vertrouwelijkheid, integriteit en beschikbaarheid zijn gegarandeerd binnen de beveiligingsgrenzen van de hypervisor. De grenzen beschermen tegen een reeks aanvallen, waaronder informatielekken via zijkanalen, denial-of-service en verhoging van privileges.

De hypervisor-beveiligingsgrens biedt ook segmentatie tussen tenants voor netwerkverkeer, virtuele apparaten, opslag, rekenkrachten en alle andere VM-bronnen.

Maatregelen tegen exploits voor gelaagde beveiliging

In het onwaarschijnlijke geval dat een beveiligingsgrens een kwetsbaarheid heeft, bevat de Azure-hypervisor meerdere lagen van mitigaties, waaronder:

  • Isolatie van hostgebaseerde processen die cross-VM-componenten hosten
  • Virtualisatie-gebaseerde beveiliging (VBS) om de integriteit van gebruikers- en kernelmoduscomponenten vanuit een veilige wereld te waarborgen
  • Meerdere niveaus van exploit-mitigaties. Maatregelen omvatten willekeurige indeling van de adresruimte (ASLR), preventie van gegevensuitvoering (DEP), beveiliging tegen willekeurige code, integriteit van de besturingsstroom en voorkoming van gegevenscorruptie
  • Automatische initialisatie van stackvariabelen op compilerniveau
  • kernel-API’s die toewijzingen op de kernel-heap die door Hyper-V worden gedaan automatisch op nul initialiseren

Deze mitigaties zijn bedoeld om het ontwikkelen van een exploit voor een cross-VM-kwetsbaarheid onhaalbaar te maken.

Sterke processen voor beveiligingscontrole

Het aanvalsoppervlak dat gerelateerd is aan de hypervisor omvat softwarenetwerken, virtuele apparaten en alle cross-VM-oppervlakken. Het aanvalsoppervlak wordt gevolgd via geautomatiseerde build-integratie, wat periodieke beveiligingscontroles activeert.

Het Red Team van Microsoft maakt dreigingsmodellen, voert codereviews uit, fuzzet en test alle aanvalsoppervlakken van VM's op schendingen van beveiligingsgrenzen. Microsoft heeft ook een bug bounty-programma dat een beloning uitbetaalt voor relevante kwetsbaarheden in in aanmerking komende productversies voor Microsoft Hyper-V.

Opmerking

Lees meer over sterke security assurance-processen in Hyper-V.

Volgende stappen 

Voor meer informatie over Microsoft's werk om platformintegriteit en -beveiliging te bevorderen, zie:

  • Last updated on