Защита виртуальных машин, размещенных в дата центре

[VladimirOrlov]

Что произойдет, если недоступен HGS сервер?

[MazayZaycev]

Если это происходит при попытке запуска экранированной ВМ, она не запуститься, так как не кому будет выдать ключи.

[VladimirOrlov]

А с кластерами работает? будет ли проходить миграция виртуалок между хостами?

[MazayZaycev]

Работает, все хосты кластера должны быть аттестованы HGS сервером. Миграция работать будет, при этом трафик будет шифроваться.

[MazayZaycev]

VSM не позволит это сделать, так как хостовая ОС сама запускается в виртуальном окружении.

[n1nj4p0w3r]

Что мешает сделать снапшот виртуальной хостовой ОС и ковыряться во всем что под ней запущено?

[VahMaster]

пару дней назад на хабре было большое обсуждение как быстро уничтожить SSD может правильный метод чем шифрование т.к. при физическом доступе к компьютеру шифрованный диск подвержен атаке Cold boot attack https://ru.wikipedia.org/wiki/Cold_boot_attack

[VladimirOrlov]

возможность шифрования виртуалок битлокером нормально работает и в 2012r2,

[MazayZaycev]

Не получится эксплуатировать этe уязвимость так как потребуется перезагрузка хоста или запуск приложения, чему будет препятствовать политика HGS. В случае ее нарушения ВМ не запуститься, так как не получит сеансовый ключ, который выдает HGS

[Ozerova]

а если сервер core режиме без установленного .Net и JVM?

[VahMaster]

Все это слишком сложно. Надо:
1. Найти хостинг, где стоят машины.
2. Подкупить сотрудника хостера или внедрить туда своего.
3. Взломать хостовую операционку (не сложно).
4. Попытаться поставить на работающий гипервизор программы для сбора дампов, так что бы клиент этого не заметил.
5. В случае, если эти уязвимости работают и не пропаченны 2 дня назад, скопировать дамп памяти.
6. Расшифровать дамп памяти, получить ключ.
7. Еще раз зайти на хост остановит гипервизор и взять VHD.

[SobolevaV]

на выделенном сервере (например хетцнер) такое можно реализовать?

[MazayZaycev]

ДА, если сервер поддерживает TPM. Проверьте:
PS C:\> Get-Tpm
TpmPresent : True

И разместите HGS на другом хосте, лучше в альтернативном датацентре, например, в небольшая ВМ в Azure