VM 보호

가상 머신 보안

추천:

물리적 서버를 보호하는 데 사용하는 가상 컴퓨터를 보호하는 데 사용하는 것과 동일한 방법을 사용하는 것이 좋습니다. 즉, 여러 면에서 보안 요구 사항은 비슷합니다. 여기에는 물리적 컴퓨터에서 운영 체제를 보호하는 것과 동일한 단계를 수행하여 게스트 운영 체제를 보호하는 작업이 포함됩니다.

• 필요한 경우 가상 머신에서 바이러스, 스파이웨어 및 맬웨어 방지 및 운영 체제 수준 방화벽을 포함한 모든 표준 보호 방법을 사용하도록 설정하는 것이 좋습니다.

• 오랜 기간 휴면 상태를 유지한 후 시작하는 모든 가상 머신에 바이러스 백신 정의에 대한 최신 업데이트가 있는지 확인하고 관련 보안 패치를 적용하는 것이 좋습니다.

• 공격 노출 영역을 제공할 수 있는 운영 체제를 포함하여 게스트 수준에서 불필요한 시스템 구성 요소를 사용하지 않도록 설정하는 것이 좋습니다. 예를 들어 운영 체제 공급업체의 보안 지침 문서를 따릅니다.

• 보안 구성 설정을 생략할 위험을 줄이려면 VM을 만들 때마다 게스트 운영 체제가 설치되고 보안 설정으로 구성된 템플릿을 사용하는 것이 좋습니다.

• 보안 운영 체제뿐만 아니라 보안 설정이 구성된 Citrix Virtual Apps and Desktops(해당되는 경우)와 같이 자주 배포되는 응용 프로그램을 포함하는 다양한 템플릿을 만드는 것이 좋습니다.

XenServer VM 도구

추천:

최상의 관리 효율성을 보장하기 위해 게스트 가상 컴퓨터에서 최신 버전의 XenServer VM Tools를 실행하는 것이 좋습니다. 그러나 도구는 제어 도메인이나 하이퍼바이저가 아닌 게스트 가상 컴퓨터에서 실행되므로 XenServer 설치에 추가적인 위협이 되지는 않습니다. XenServer VM Tools에 대한 업데이트 적용에 대한 정보는 다음에서 확인할 수 있습니다. Windows용 XenServer VM Tools 업데이트.

보안 부팅

XenServer는 Windows VM에 대한 UEFI 보안 부팅을 지원합니다. 이렇게 하면 OS가 로드될 때 게스트 내에서 잘못된 이진 파일이 실행되는 것을 차단하므로 게스트 VM을 보호하는 데 도움이 됩니다.

추천:

VM OS가 보안 부팅을 지원하는지 여부를 고려하여 더 중요한 VM에 대해 보안 부팅을 사용하도록 설정하는 것이 좋습니다.

비정상적인 시스템 부하 중 리소스 고갈 방지

서비스 거부 공격(DoS 공격)은 인터넷에 연결된 호스트의 서비스를 일시 중단하기 위해 시스템 리소스를 포화시키려는 시도입니다. 종종 이것은 대상이 응답할 수 없고 사용할 수 없게 될 때까지 외부 통신 요청으로 대상 시스템을 포화시키려고 시도하여 수행됩니다. 일반적인 대상에는 은행, 신용 카드 및 전자 상거래 사이트를 포함하여 금융 거래와 관련된 웹 사이트가 포함될 수 있습니다.

추천:

• 중요 비즈니스용 VM의 예상 부하를 지원할 수 있도록 충분한 CPU 및 메모리 리소스를 구성하는 것이 좋습니다. 고려해야 할 두 가지 핵심 원칙이 있습니다.

  • VM에 예상 워크로드를 수행할 수 있는 충분한 가상 리소스가 프로비전되어 있는지 확인합니다.

  • 비정상적인 조건에서 호스트 리소스의 불합리한 비율을 소비할 수 없도록 VM이 과도하게 프로비저닝되지 않았는지 확인합니다.

• 최대 부하 미만으로 인해 다른 중요 비즈니스용 VM이 실행되지 않을 정도로 하나의 VM에 너무 많은 리소스를 할당하지 않는 것이 좋습니다.

• 한 호스트 또는 VM을 사용할 수 없게 되면 다른 호스트 또는 VM에 충분한 부하가 발생하여 다른 호스트 또는 VM이 충분히 응답하지 못하는 “도미노” 효과를 방지할 수 있도록 구성을 충분히 구성하는 것이 좋습니다.

필요한 경우 VM을 만드는 동안 또는 새 VM이 설치된 후에 CPU 및 초기 메모리 리소스를 새 VM에 할당할 수 있습니다. 특히 여러 가상 CPU를 VM에 할당하고 호스트의 물리적 CPU 리소스에 대한 VM 액세스의 우선 순위를 설정할 수 있습니다.

XenCenter에서 VM을 만들 때 메모리 할당을 조정할 수 있습니다 새 VM 마법사를 기본값에서 변경하거나 VM에서 새 VM을 만든 후 기억 탭.

VM 이름 지정 및 태그 지정

추천:

• 조직에 이름 지정에 대한 정책이 없는 경우 의미 있는 이름을 사용하여 VM 이름을 명확하게 지정하는 것이 좋습니다.

  예를 들어 중요한 VM의 특정 속성(예: “-HR-server” 또는 “-finance-server”)을 나타냅니다.

• 유사한 특성을 가진 VM을 그룹화하려면 VM에 태그를 지정하는 것이 좋습니다. 예를 들어 XenCenter 검색에 “migrateable” 또는 “missioncritical” 태그를 사용하여 실수로 잘못된 VM에서 작동할 위험을 줄일 수 있습니다.

리소스 풀 보안

여러 호스트가 리소스 풀에서 함께 그룹화되는 경우 풀에는 다른 호스트를 제어하는 풀 코디네이터 호스트가 있습니다. 풀링된 호스트 간의 모든 관리 통신은 TLS를 통해 수행됩니다. 호스트는 풀을 구성할 때 생성되는 임의로 생성된 시크릿을 사용하여 인증합니다.

추천:

관리 트래픽을 물리적으로 격리하고 다른 비관리 트래픽과 분리하는 것이 좋습니다.

그러나 이것이 가능하지 않은 경우 관리 트래픽을 다른 비관리 트래픽과 논리적으로 격리하는 것이 좋습니다.

이 관리 트래픽을 논리적으로 격리하는 한 가지 방법은 VLAN을 사용하는 것입니다. 이 용도 전용의 VLAN 태그를 사용하여 풀의 관리 인터페이스에서 모든 트래픽에 태그를 지정하도록 라우터를 구성할 수 있습니다.

관리 트래픽에 대해 VLAN을 구성하기로 결정한 경우 XenCenter와 같은 원격 클라이언트가 관리 네트워크 VLAN에 연결되어야 합니다.

풀 만들기

풀에서 실행하려는 워크로드의 보안 요구 사항을 고려합니다.

추천:

특정 수준의 물리적 보안이 필요한 호스트에서 워크로드를 실행해야 하는 경우 하나의 물리적 위치에만 호스트를 포함하는 풀을 만드는 것이 좋습니다. 즉, 다른 물리적 위치보다 덜 안전한 한 물리적 위치에 호스트가 있는 풀을 설계하지 마십시오.

실시간 마이그레이션 기능 사용

Workload Balancing 및 고가용성과 같은 실시간 마이그레이션 기능을 사용할 때는 가상 머신에 있는 데이터의 민감도를 인식하는 것이 중요합니다. 실시간 마이그레이션은 다음을 변경할 수 있습니다.

• VM이 상주하는 호스트

• 호스트의 VM 그룹

예를 들어 Workload Balancing에서 자동화를 활성화하여 최적화 권장 사항을 자동으로 적용하는 경우 사용자가 인식하지 못하는 사이에 VM이 호스트로 이동할 수 있습니다. (실제로 이것은 기능의 예상되고 바람직한 동작입니다.)

자동화의 결과로 풀에 여러 물리적 위치에 있는 호스트가 포함된 경우 Workload Balancing은 매우 민감한 데이터가 포함된 VM을 필요한 수준으로 물리적으로 보호되지 않은 서버룸의 호스트로 이동할 수 있습니다.

추천:

• 풀에서 실시간 마이그레이션(예: Workload Balancing, 고가용성 또는 롤링 풀 업그레이드로 인해 발생) 기능을 활성화하려면 호스트가 위치한 구내의 물리적 보안을 포함하여 풀이 포함된 모든 물리적 위치의 호스트에서 모든 워크로드를 안전하게 실행할 수 있는지 확인하는 것이 좋습니다. 참고 항목 실시간 마이그레이션 기능 사용.

  또한 Workload Balancing 및 고가용성과 같은 기능은 VM이 상주하는 호스트를 변경할 수 있습니다.

• 다음 중 하나를 사용하여 실시간 마이그레이션 요구 사항을 해결하는 것이 좋습니다.

  • 공통 수준의 논리적 및 물리적 보안 요구 사항을 충족하는 호스트에서 풀 설계

  • Workload Balancing에서 자동화 기능을 활성화하지 않음

  • Workload Balancing에서 자동화를 활성화하지만 실시간 마이그레이션에서 호스트 제외

• 풀에서 실시간 마이그레이션(Workload Balancing, 고가용성) 기능을 사용하도록 설정하려면 호스트가 있는 방의 물리적 보안을 포함하여 풀이 포함하는 모든 물리적 위치의 호스트에서 모든 워크로드를 안전하게 실행할 수 있는지 확인하는 것이 좋습니다.

• 경우에 따라 특정 워크로드가 동일한 시스템에서 실행되지 않도록 하려면 Workload Balancing에서 특정 호스트를 제외하는 것이 좋습니다. 마찬가지로 다른 풀에서 이러한 워크로드를 실행할 수 있습니다.

  Workload Balancing 및 고가용성과 같은 기능은 VM이 상주하는 호스트를 변경할 수 있습니다.