Перевод NIST SP800-125. Руководство по защите технологии полной виртуализации

Очень поверхностно. Все существующие baremetall гипервизоры имеют управляющий домен, обслуживающий запросы на IO и сеть, а так же управление существованием «гостей». В этом смысле различие между «сначала гипервизор, а потом ядро» или «сначало ядро, а потом гипервизор» косметическое. Изоляция гипервизора «над» ОС позволяет защитить сам гипервизор от модифицкации, но совершенно не защищает от атаки на гостевой домен через dom0 (в терминологии xen).

В xen-devel давно тянется обсуждение (и даже что-то пишут) про driver domains, которые перенесут часть функционала из dom0 в отдельные домены. В теории, это может слегка улучшить ситуацию, но до продакта там ещё года 2-3 минимум.