Protección de máquinas virtuales

Protección de máquinas virtuales

Recomendación:

Le recomendamos que utilice las mismas prácticas que utilizaría para proteger las máquinas virtuales que utilizaría para proteger un servidor físico: en muchos sentidos, sus necesidades de seguridad son comparables. Esto incluye realizar los mismos pasos para proteger el sistema operativo invitado que para proteger el sistema operativo en un equipo físico.

• Se recomienda habilitar todos los métodos estándar de protección en las máquinas virtuales, incluida la protección contra virus, spyware y malware, así como los firewalls de nivel del sistema operativo, si corresponde.

• Le recomendamos que compruebe que las máquinas virtuales que inicie después de un largo período de inactividad tengan las últimas actualizaciones de sus definiciones antivirus y que aplique los parches de seguridad pertinentes.

• Se recomienda deshabilitar los componentes del sistema innecesarios en el nivel de invitado, incluso en el sistema operativo que pueda proporcionar una superficie de ataque. Por ejemplo, siga el documento de instrucciones de seguridad del proveedor del sistema operativo.

• Para reducir el riesgo de omitir establecer una configuración segura, se recomienda usar plantillas con el sistema operativo invitado instalado y configurado con la configuración de seguridad cada vez que se crea una máquina virtual.

• Se recomienda crear una variedad de plantillas que incluyan no solo el sistema operativo protegido, sino también las aplicaciones que se implementan con frecuencia, como Citrix Virtual Apps and Desktops (si corresponde), que también tienen configurada la configuración de seguridad.

Herramientas de máquina virtual de XenServer

Recomendación:

Recomendamos que los clientes tengan la versión más reciente de XenServer VM Tools ejecutándose en sus máquinas virtuales invitadas para garantizar la mejor capacidad de administración. Sin embargo, dado que las herramientas se ejecutan en las máquinas virtuales invitadas y no en el dominio de control ni en el hipervisor, no representan una amenaza adicional para la instalación de XenServer. La información sobre cómo aplicar actualizaciones para XenServer VM Tools se puede encontrar en Actualización de XenServer VM Tools para Windows.

Arranque seguro

XenServer es compatible con el arranque seguro UEFI para máquinas virtuales Windows. Esto bloquea la ejecución de archivos binarios incorrectos dentro del invitado a medida que se carga el sistema operativo y, por lo tanto, ayuda a proteger la máquina virtual invitada.

Recomendación:

Se recomienda considerar la posibilidad de habilitar el arranque seguro para las máquinas virtuales más confidenciales, teniendo en cuenta si el sistema operativo de la máquina virtual es compatible con el arranque seguro.

Evitar el agotamiento de recursos durante una carga anormal del sistema

Los ataques de denegación de servicio (ataques DoS) son intentos de saturar los recursos de un sistema para suspender los servicios de un host conectado a Internet. A menudo, esto se hace intentando saturar el sistema de destino con solicitudes de comunicación externa en la medida en que el objetivo no pueda responder y deje de estar disponible. Los objetivos típicos pueden incluir sitios web asociados con transacciones financieras, incluidos bancos, tarjetas de crédito y sitios de comercio electrónico.

Recomendación:

• Se recomienda configurar suficientes recursos de CPU y memoria para admitir la carga esperada de máquinas virtuales críticas para la empresa. Hay dos principios clave a tener en cuenta:

  • Asegúrese de que una máquina virtual esté aprovisionada con suficientes recursos virtuales para llevar a cabo las cargas de trabajo esperadas.

  • Asegúrese de que una máquina virtual no esté sobreaprovisionada para que, en condiciones anormales, no sea capaz de consumir una proporción irrazonable de los recursos del host.

• Se recomienda no asignar tantos recursos a una máquina virtual que, con su carga máxima, impida la ejecución de otras máquinas virtuales críticas para la empresa.

• Se recomienda que la configuración sea suficiente para evitar el efecto “dominó” en el que la falta de disponibilidad de un host o máquina virtual supone una carga suficiente para otros que, a su vez, no respondan lo suficiente.

Puede asignar recursos de CPU y memoria inicial a la nueva máquina virtual durante la creación de la máquina virtual o después de instalar la nueva máquina virtual, si es necesario. En concreto, puede asignar un número de CPU virtuales a una máquina virtual y establecer una prioridad para el acceso de las máquinas virtuales a los recursos físicos de la CPU en el host.

Puede ajustar la asignación de memoria cuando se crea una máquina virtual en XenCenter Nueva máquina virtual asistente, cambiándolo desde el valor predeterminado, o después de que se cree la nueva máquina virtual en el archivo Memoria pestaña.

Nomenclatura y etiquetado de máquinas virtuales

Recomendación:

• Si su organización no tiene una directiva sobre la nomenclatura, se recomienda asignar un nombre claro a las máquinas virtuales con nombres significativos.

  Por ejemplo, indique las propiedades específicas de las máquinas virtuales significativas (por ejemplo, “-HR-server” o “- finance-server”).

• Se recomienda etiquetar las máquinas virtuales para agruparlas con características similares. Por ejemplo, las etiquetas “migrable” o “de misión crítica” se pueden utilizar en las búsquedas de XenCenter para reducir el riesgo de operar accidentalmente en la máquina virtual incorrecta.

Protección de grupos de recursos

Cuando se agrupan varios hosts en grupos de recursos, el grupo tiene un host coordinador de grupo que controla los demás hosts. Toda la comunicación de administración entre hosts agrupados se realiza a través de TLS; Los hosts se autentican mediante un secreto generado aleatoriamente que se crea al formar el grupo.

Recomendación:

Se recomienda aislar físicamente el tráfico de administración y segregarlo de otro tráfico que no sea de administración.

Sin embargo, si esto no es posible, se recomienda aislar lógicamente el tráfico de administración de otro tráfico que no sea de administración.

Un método para aislar lógicamente este tráfico de administración es el uso de VLAN. Puede configurar sus routers para etiquetar todo el tráfico de las interfaces de administración en el grupo con una etiqueta VLAN dedicada a este propósito.

Si decide configurar una VLAN para el tráfico de administración, tenga en cuenta que los clientes remotos, como XenCenter, deberán conectarse a la VLAN de la red de administración.

Creación de grupos

Tenga en cuenta los requisitos de seguridad de las cargas de trabajo que desea ejecutar en el grupo.

Recomendación:

Se recomienda que, si las cargas de trabajo se deben ejecutar en hosts que requieren un nivel específico de seguridad física, considere la posibilidad de crear grupos que contengan hosts en una sola ubicación física. Es decir, no diseñe un grupo que tenga hosts en una ubicación física que sea menos segura que otra ubicación física.

Uso de las funciones de migración en vivo

Al usar características de migración en vivo, como el equilibrio de carga de trabajo y la alta disponibilidad, es importante tener en cuenta la confidencialidad de los datos de las máquinas virtuales. La migración en vivo puede cambiar potencialmente:

• El host en el que reside una máquina virtual

• Las agrupaciones de máquinas virtuales en hosts

Por ejemplo, si habilita la automatización en Equilibrio de carga de trabajo para que aplique automáticamente las recomendaciones de optimización, es posible que una máquina virtual se mueva a un host sin que usted lo sepa. (De hecho, este es el comportamiento esperado y deseable de la característica).

Como resultado de la automatización, si los grupos contienen hosts en varias ubicaciones físicas, el equilibrio de carga de trabajo podría mover una máquina virtual que contenga datos altamente confidenciales a un host en una sala de servidores que no esté físicamente protegida al nivel requerido.

Recomendación:

• Se recomienda que, si desea habilitar cualquier característica de migración en vivo (por ejemplo, causada por el equilibrio de carga de trabajo, la alta disponibilidad o la actualización gradual del grupo) en el grupo, se asegure de que todas las cargas de trabajo se puedan ejecutar de forma segura en hosts en todas las ubicaciones físicas que abarca el grupo, incluida la seguridad física de las instalaciones en las que se encuentran los hosts. Véase también Uso de las funciones de migración en vivo.

  Además, tenga en cuenta que las características, como el equilibrio de carga de trabajo y la alta disponibilidad, pueden cambiar el host en el que reside una máquina virtual.

• Se recomienda usar cualquiera de las siguientes opciones para abordar los requisitos de migración en tiempo real:

  • Diseño de grupos de hosts que cumplan un nivel común de requisitos de seguridad lógica y física

  • No habilitar las funciones de automatización en el equilibrio de carga de trabajo

  • Habilitación de la automatización en el equilibrio de carga de trabajo, pero exclusión de hosts de la migración en vivo

• Se recomienda que, si desea habilitar cualquier característica de migración en vivo (equilibrio de carga de trabajo, alta disponibilidad) en el grupo, se asegure de que todas las cargas de trabajo se puedan ejecutar de forma segura en hosts en todas las ubicaciones físicas que abarca el grupo, incluida la seguridad física de la sala en la que se encuentran los hosts.

• Se recomienda, en algunos casos, excluir hosts específicos del equilibrio de carga de trabajo si desea asegurarse de que nunca se ejecuten cargas de trabajo específicas en el mismo sistema. Del mismo modo, puede ejecutar esas cargas de trabajo en diferentes grupos.

  Las características, como el equilibrio de carga de trabajo y la alta disponibilidad, pueden cambiar el host en el que reside una máquina virtual.