virtualization.info | NISTがGuide to Security for Full Virtualization Technologiesのドラフトを公開（20100722-3）

NISTがGuide to Security for Full Virtualization Technologiesのドラフトを公開（20100722-3）

Friday, July 23rd, 2010 | 原文はこちら (English)

米国立科学技術研究所（NIST）のコンピュータセキュリティ部門は先週、「Guide to Security for Full Virtualization Technologies」（フル仮想化技術のためのセキュリティガイド）というタイトルの新しい論文の初稿を公開した。

著者は、業界で「ハードウェア仮想化」と呼ばれるものの意味で「フル仮想化」を使用している。仮想マシン（VM）をホスティングするタイプ1（ベアメタルもしくはハイパーバイザー）もしくはタイプ2（ホステド）仮想マシンモニタ（VMM）ベースの仮想化プラットフォームだ。
同書ではほかにも、「サーバ集約用ハードウェア仮想化」の意味で「サーバ仮想化」を、そして「クライアント集約用のハードウェア仮想化」ではなく「消費者用デスクトップ上で実行されるハードウェア仮想化」の意味で「デスクトップ仮想化」を使用している。

35ページ構成の同書は3つのセクションに分かれており、1つめのセクションはフル仮想化とそのインプリメンテーションの概念を紹介している。2つめのセクションは仮想化コンポーネント向けのセキュリティアドバイスを提供し、3つめでは仮想化のプラニングと導入のセキュリティ確保について学ぶ。

セキュリティアドバイスは具体的なセクションに分かれており、ハイパーバイザー用、ゲストOS用、仮想インフラ用、そしてホステドデスクトップ仮想化プラットフォーム用などがある。

アドバイスはかなり一般的な内容で、ハイパーバイザーに関するものは以下のようになっている。

アップデートは、ベンダーからリリースされたらすべてハイパーバイザーにインストールする。大半のハイパーバイザーには、アップデートを自動的にチェックして見つけたらインストールするという機能がある。アップデート管理には一元管理対応のパッチ管理ソリューションを使うこともできる。
未使用物理ハードウェアはホストシステムとの接続を解除する。たとえば、リムーバブル・ディスクドライブはバックアップの目的で時々使うが、バックアップやリストアであまり利用していないときは接続を解除する。使用していないNICもネットワークとの接続を解除する。
ゲストOSおよびホストOS間のクリップボード／ファイル共有のようなハイパーバイザーサービスは必要でない限りすべて無効にする。これらのサービスすべてがアタックベクトルになる可能性を秘めている。ファイル共有も、1つ以上のゲストOSがホストOSと同じフォルダを共有するシステム上のアタックベクトルになり得る。
各ゲストOSのセキュリティ監視に内観機能の使用を検討する。ゲストOSが危険にさらされている場合、改ざんの兆候を抑えるようセキュリティコントロールを無効にしたり、設定し直すことができる。ハイパーバイザーにセキュリティサービスが搭載されていることで、ゲストOSに危害が加えられているときでもセキュリティ監視が可能になる。
ゲストOS間で発生している活動のセキュリティ監視にも内観機能の使用を検討する。これは、非仮想環境でネットワークをまたいでネットワークセキュリティコントロール（ネットワークファイアウォール、セキュリティアプライアンス、およびネットワークIDPSセンサなど）により監視されるコミュニケーションにとって特に重要だ。
危害を加える兆候がないかどうかハイパーバイザー自体を慎重に監視する。これには、一部ハイパーバイザーが提供する自己整合性監視機能の使用や、動作中に行うハイパーバイザーのログの監視や分析などが含まれる。

とはいえ、このガイドは仮想インフラの安全を確保するのに良い出発点となり、新しいVMware vSphere 4.0 Security Hardening Guide」（vSphere 4.0セキュリティハードニングガイド）など、仮想化ベンダー各社がリリースしている具体的なハードニングガイドと合わせて読みたい。

ラベル: NIST, Papers, Security

定期購読する

virtualization.info 日本語

NISTがGuide to Security for Full Virtualization Technologiesのドラフトを公開（20100722-3）

閲覧ランキングトップ5(2011年11月)

最新の記事