Віртуальна машина (VM) — програмно реалізований комп’ютер із власною операційною системою та застосунками, який працює на спільному фізичному обладнанні ізольовано від хоста й інших віртуальних машин.
Як працюють віртуальні машини
Гіпервізор розподіляє процесор, пам’ять, сховище й мережу фізичного хоста між кількома гостьовими системами. Кожна VM бачить власне віртуальне обладнання і може працювати під Windows, Linux чи іншою ОС. Віртуальні машини зберігаються як файли образів дисків, тож їх можна копіювати, переносити між хостами та повертати до знімків (snapshots). Апаратні розширення Intel VT-x і AMD-V роблять віртуалізацію достатньо швидкою майже для будь-яких завдань: на віртуальних машинах працює більшість хмарних серверів і корпоративних дата-центрів.
Як віртуальні машини використовують у безпеці
- Аналіз шкідливого ПЗ — аналітики запускають підозрілі файли в ізольованих VM, а потім відновлюють чистий знімок; автоматичні пісочниці працюють так само.
- Ізоляція — ризиковані завдання, тестові системи та застаріле ПЗ можна запускати окремо від основної системи.
- Навчання й тестування — лабораторії для тестування на проникнення та кібернавчання будують на віртуальних машинах.
Ризики віртуальних машин
Шкідливе ПЗ часто перевіряє, чи не запущене воно у віртуальній машині, і причаюється, щоб уникнути аналізу (MITRE ATT&CK T1497, Virtualization/Sandbox Evasion). Найсерйозніша загроза — втеча з VM (VM escape), різновид виходу з пісочниці, коли код усередині гостьової системи виривається на хост. Відомий приклад — вразливість VENOM (CVE-2015-3456) в емуляції контролера дисковода QEMU. Угруповання вимагачів атакують і самі хости віртуалізації: зашифрувавши файли дисків VM на сервері VMware ESXi, одна атака виводить з ладу десятки систем водночас, як це сталося в кампанії шифрувальника ESXiArgs 2023 року.
Рекомендації
- Вчасно оновлювати гіпервізор і гостьові інструменти.
- Обмежити доступ до консолей керування віртуалізацією.
- Створювати резервні копії VM в окремому сховищі, яке хост не може перезаписати.
