Aceasta acoperă hypervizorii, sistemele gazdă, sistemele de operare guest, rețelele și stocarea virtuală, imaginile, snapshot-urile, migrația, passthrough-ul de dispozitive și interfețele de management. Preocuparea sa centrală este păstrarea izolării și a partajării controlate a resurselor între sarcinile de lucru și între guest-uri și gazdă.
Hypervizorul mediază accesul la procesor, memorie, dispozitive, stocare și rețea, făcând planul său de management extrem de privilegiat. O organizație poate opera aceste straturi sau poate moșteni controale de gazdă și hypervizor de la un furnizor; fiecare guest are în continuare nevoie de controale gestionate de client. Inventarele trebuie să includă mașini oprite, șabloane, snapshot-uri care conțin secrete, identități clonate și sarcini de lucru migrate.
Puncte esențiale
Planul de managementSeparați și autentificați puternic administrarea, aplicați privilegii minime, protejați automatizarea și imaginile, restricționați interfețele expuse, monitorizați modificările importante și mențineți recuperarea testată.
Izolare și resurseMinimizați accesul la dispozitive și gazdă, controlați rețelele virtuale, validați passthrough-ul și serviciile partajate și împiedicați o sarcină de lucru să epuizeze resursele necesare altora.
Ciclu de viațăIntăriți gazdele și guest-urile, mențineți software suportat, guvernați șabloanele, snapshot-urile, clonele, migrația, backup-ul și eliminarea și păstrați identități unice și controale actuale după restaurare.
Limitare importantăO mașină virtuală nu este o frontieră de securitate fizică. Compromiterea hypervizorului, firmware-ului, planului de management sau a gazdei poate afecta multe guest-uri, în timp ce software-ul guest vulnerabil și rețeaua virtuală nesigură rămân riscuri. Snapshot-urile și clonarea rapidă pot reproduce software învechit, credențiale, identificatori și configurații eronate.