Wie Host Guardian Windows Server 2016 Hyper-V-VMs schützt

Ein beständiges Problem für die IT besteht darin, Daten vor neugierigen Blicken zu schützen. Wie kann ein Unternehmen vertrauliche Daten vertraulich behandeln, wenn die IT-Abteilung Zugriff auf die Daten hat? Im Laufe der Jahre hat die Unternehmens-IT versucht, dieses Problem zu lösen, einschließlich des unterteilten Zugriffs und der Variation der rollenbasierten Zugriffskontrolle. Bedenken hinsichtlich dieser Art von Datenschutzproblemen werden immer wichtiger, wenn Unternehmen über die Cloud-Nutzung nachdenken. Wie können sie den Datenschutz gewährleisten, wenn sich diese Daten in einer öffentlichen Cloud befinden?

Zu diesem Zweck hat Microsoft eine neue Funktion für Windows Server 2016 Hyper-V namens Host Guardian entwickelt. Host Guardian ist eine Serverrolle, die den Datenschutz der virtuellen Maschine (VM) auf Hypervisor-Ebene gewährleistet. Host Guardian verwendet eine Kombination aus drei verschiedenen Funktionen, um diese Privatsphäre zu gewährleisten.

Host Guardian verwendet Ebenen für die Hyper-V-Sicherheit

Die erste dieser Funktionen ist die Verschlüsselung der virtuellen Festplatte. Seit geraumer Zeit bietet Microsoft die Möglichkeit, physische Festplatten über BitLocker zu verschlüsseln. Host Guardian verschlüsselt virtuelle Festplatten, die Hyper-V-VMs zugeordnet sind, indem BitLocker im Gastbetriebssystem aktiviert wird. So wie BitLocker einen physischen Server verwendet Trusted Platform Module (TPM) Chip kann eine BitLocker-verschlüsselte VM Verwenden Sie ein virtuelles TPM Chip.
Eine zweite Host Guardian-Funktion wird von Microsoft als bezeichnet Verschlüsselung im Flug. VMs sind nicht statisch. Eine Hyper-V-VM kann live von einem Hostserver auf einen anderen migriert werden. Mit dem Host Guardian-Dienst kann die VM während der Migration verschlüsselt werden.
Die dritte Funktion besteht darin, dass Host Guardian den Zugriff auf den Speicher einer VM blockiert. Dies sollte Angriffe verhindern, bei denen Speicherextraktionen auf Hostebene verwendet werden Zugriff auf VM-Daten.

Microsoft hofft, dass Host Guardian die Verwendung von Cloud-VMs vorantreiben wird

Obwohl diese Mechanismen eine Hyper-V-VM vor den neugierigen Blicken eines Administrators schützen können, wäre es kurzsichtig, Host Guardian nur als Datenschutzmechanismus auf Hypervisor-Ebene zu betrachten. Microsoft hat angegeben, dass Windows Server 2016 ein Cloud-First-Betriebssystem ist. Obwohl Host Guardian in der Lage ist, den Datenschutz für VMs zu gewährleisten, die im eigenen Rechenzentrum eines Unternehmens ausgeführt werden, bietet es auch Datenschutz für VMs, die in öffentlichen Clouds ausgeführt werden.
Wenn Sie das Ziel von Microsoft betrachten, Datenschutz für Cloud-basierte VMs bereitzustellen, wird deutlich, warum Microsoft Host Guardian so konzipiert hat, dass alle diese Sicherheitsfunktionen enthalten sind. Microsoft brauchte eine Möglichkeit, um den Datenschutz auf VM-Ebene zu gewährleisten, ohne den Betrieb auf Cloud- oder Rechenzentrumsebene zu beeinträchtigen. Unabhängig davon, wo eine VM physisch ausgeführt wird, muss ein Administrator bestimmte Aufgaben ausführen, um die Umgebung gesund zu halten. Beispielsweise muss der Administrator in der Lage sein, die VM nach Bedarf live zu migrieren. Der Administrator muss auch in der Lage sein, Sicherungen der VM zu erstellen. Microsoft hat Host Guardian für solche Aufgaben entwickelt, um den Datenschutz der VM zu gewährleisten, ohne aufdringlich zu sein.

Schutz hat seinen Preis

Host Guardian kann auf zwei Arten verwendet werden. Wenn ein Administrator Host Guardian einrichtet, muss er einen Bestätigungsmodus auswählen. Der Bescheinigungsmodus kann hardwarebasiert oder administrativ sein. es kann nicht beides sein.
Die hardwarebasierte Bescheinigung ist auf öffentliche Hosting-Umgebungen ausgerichtet. Hardware-basierte Bescheinigung ist die komplexere Art von Bescheinigung zu konfigurieren bietet aber auch die größte Sicherheit für den Datenschutz, da das Vertrauen in der Hardware verwurzelt ist. Für die hardwarebasierte Bescheinigung muss die Hardware ausgestattet sein TPM 2.0-Chips und Unified Extensible Firmware Interface 2.3.1 oder höher.
Die auf Administratoren basierende Bescheinigung eignet sich besser für die Unternehmens-IT. Die Konfiguration ist weniger komplex als die hardwarebasierte Bescheinigung, hängt jedoch von einer vertrauenswürdigen Active Directory-Umgebung ab.
Die Host Guardian-Rolle kann verwendet werden, um den Datenschutz für VM-Besitzer zu gewährleisten. Diese Privatsphäre ist jedoch mit Kosten verbunden. Der Verschlüsselungsprozess erhöht zweifellos den Overhead für Hyper-V-Hosts. Die Abschirmung von VMs kann auch bestimmte Arten von Upgrades oder Disaster Recovery-Vorgängen erschweren. Es ist auch erwähnenswert, dass nicht jede VM von Host Guardian abgeschirmt werden kann. Wenn eine VM abgeschirmt werden soll, muss Windows Server 2012 oder Windows 8 oder höher ausgeführt werden. Ebenso wird in einigen Microsoft-Dokumentationen angegeben, dass nur VMs der 2. Generation unterstützt werden.

Leave a Reply