fonctionnalités de sécurité des machines virtuelles de Hyper-V génération 2

Hyper-V machines virtuelles de génération 2 fournissent des fonctionnalités de sécurité robustes conçues pour protéger les données sensibles et empêcher l’accès ou la falsification non autorisés. Cet article explore les paramètres de sécurité disponibles dans Hyper-V Manager pour les machines virtuelles de génération 2 et vous montre comment les configurer. Découvrez comment ces fonctionnalités peuvent aider à protéger vos machines virtuelles contre les menaces et à garantir la conformité aux meilleures pratiques de sécurité.

Les fonctionnalités de sécurité disponibles pour les machines virtuelles de génération 2 dans Hyper-V sont les suivantes :

• Démarrage sécurisé.
• Prise en charge du chiffrement pour le module de plateforme sécurisée (TPM), la migration dynamique et l'état enregistré.
• Machines virtuelles dotées d’une protection maximale.
• Service Protecteur d'hôte (SPH).

Ces fonctionnalités de sécurité sont conçues pour protéger les données et l’état d’une machine virtuelle. Vous pouvez protéger les machines virtuelles contre l’inspection, le vol et la manipulation, que ce soit de la part de logiciels malveillants susceptibles de s'exécuter sur l'hôte ou des administrateurs de centre de données. Le niveau de sécurité que vous obtenez dépend du matériel hôte que vous utilisez, de la génération de la machine virtuelle et de la configuration du service Guardian de l'hôte (SGH) complémentaire, qui autorise les hôtes à démarrer des machines virtuelles protégées.

Le service Guardian hôte a été introduit pour la première fois dans Windows Server 2016. Il identifie les hôtes Hyper-V légitimes et leur permet d’exécuter un ensemble de machines virtuelles protégées. Vous activez généralement le service Guardian hôte pour un centre de données, mais vous pouvez également créer une machine virtuelle protégée pour l’exécuter localement sans configurer le service Guardian hôte. Vous pouvez ensuite distribuer la machine virtuelle protégée au service Guardian hôte.

Pour savoir comment sécuriser davantage vos machines virtuelles avec le Service de garde de l'hôte, consultez Guarded Fabric et les machines virtuelles protégées et Renforcer la toile : protéger les secrets des locataires dans Hyper-V (vidéo Ignite).

Démarrage sécurisé

Le démarrage sécurisé est une fonctionnalité disponible avec des machines virtuelles de génération 2 qui permettent d’empêcher le microprogramme, les systèmes d’exploitation ou les pilotes UEFI (Unified Extensible Firmware Interface) (également appelés roms d’option) de s’exécuter au moment du démarrage. Le démarrage sécurisé est activé par défaut. Vous pouvez utiliser le démarrage sécurisé avec des machines virtuelles de génération 2 qui exécutent des systèmes d’exploitation de distribution Windows ou Linux.

Il existe trois modèles différents, en fonction du système d’exploitation et de la configuration de la machine virtuelle. Le tableau suivant répertorie chacun de ces modèles et fait référence aux certificats dont vous avez besoin pour vérifier l’intégrité du processus de démarrage :

Prise en charge du chiffrement

Hyper-V machines virtuelles de génération 2 offrent des fonctionnalités de chiffrement robustes qui fournissent plusieurs couches de protection pour votre infrastructure virtualisée. La prise en charge du chiffrement englobe trois domaines critiques : la fonctionnalité TPM (module de plateforme sécurisée), le trafic réseau de migration dynamique et les données d’état enregistrées. Ces fonctionnalités de sécurité fonctionnent ensemble pour créer une défense complète contre les accès non autorisés et les violations de données, ce qui garantit que les informations sensibles restent protégées au repos et en transit.

La fonctionnalité TPM virtualisée (vTPM) représente une avancée significative dans l’architecture de sécurité des machines virtuelles. En ajoutant un vTPM à votre machine virtuelle de génération 2, vous activez le système d’exploitation invité à utiliser des fonctions de sécurité basées sur du matériel similaires à celles disponibles sur les machines physiques. Cette puce de sécurité virtualisée permet au système d’exploitation invité de chiffrer l’intégralité du disque de machine virtuelle à l’aide du chiffrement de lecteur BitLocker, créant ainsi une couche supplémentaire de protection contre les accès non autorisés. Le vTPM peut également prendre en charge d’autres technologies de sécurité qui ont besoin d’un module TPM, ce qui en fait un composant essentiel pour les environnements d’entreprise qui nécessitent une conformité stricte avec les normes de sécurité et les réglementations.

Vous pouvez migrer une machine virtuelle avec le module TPM virtuel activé vers n’importe quel hôte qui exécute une version prise en charge de Windows Server ou Windows. Si vous la migrez vers un autre hôte, il se peut que vous ne puissiez pas le démarrer. Vous devez mettre à jour le protecteur de clés de cette machine virtuelle pour autoriser le nouvel hôte à exécuter la machine virtuelle. Pour plus d’informations, consultez Fabric protégé et machines virtuelles protégées et Configuration système requise pour Hyper-V sur Windows Server.

Stratégie de sécurité dans le Gestionnaire Hyper-V

Les machines virtuelles protégées représentent le niveau de sécurité le plus élevé disponible pour Hyper-V machines virtuelles de génération 2, offrant une protection complète contre les menaces externes et les attaques d’accès privilégié. Lorsque vous activez la protection sur une machine virtuelle, vous créez un environnement renforcé qui chiffre l’état et le trafic de migration de la machine virtuelle tout en limitant l’accès administratif aux fonctions de machine virtuelle critiques. Cette protection s’étend au-delà des mesures de sécurité traditionnelles en empêchant même les administrateurs du centre de données et les programmes malveillants au niveau de l’hôte d’accéder à la mémoire de la machine virtuelle, à l’état enregistré ou au trafic réseau pendant les opérations de migration dynamique.

La fonctionnalité de protection applique automatiquement plusieurs exigences de sécurité, notamment le démarrage sécurisé, l’activation du module TPM et le chiffrement du trafic d’état enregistré et de migration. En outre, les machines virtuelles dotées d’une protection maximale désactivent certaines fonctionnalités de gestion telles que les connexions de console, PowerShell Direct et des composants d’intégration spécifiques que les attaquants peuvent potentiellement exploiter. Cette approche crée un modèle de sécurité de défense en profondeur dans lequel la machine virtuelle devient efficacement opaque pour le système hôte, ce qui garantit que les charges de travail sensibles restent protégées même dans les environnements d’hébergement compromis. Les organisations peuvent déployer des machines virtuelles protégées avec le service Guardian hôte pour les implémentations à l’échelle de l’entreprise ou les exécuter localement pour renforcer la sécurité dans les déploiements plus petits.

Vous pouvez exécuter la machine virtuelle dotée d’une protection maximale localement sans configurer un Service Guardian hôte. Si vous la migrez vers un autre hôte, il se peut que vous ne puissiez pas le démarrer. Vous devez mettre à jour le protecteur de clés de cette machine virtuelle pour autoriser le nouvel hôte à exécuter la machine virtuelle. Pour plus d’informations, consultez Structure fabric protégée et machines virtuelles dotées d’une protection maximale.

Contenu connexe

Pour plus d’informations, consultez les articles suivants :

• Sécurité et assurance dans Windows Server.
• Dois-je créer une machine virtuelle de génération 1 ou 2 dans Hyper-V ?
• Machines virtuelles Linux et FreeBSD sur Hyper-V