Ho cercato se un host è al sicuro dal suo ospite e, in generale, si dice che, a parte i difetti di sicurezza del fornitore, un ospite infetto può infettare l'host su una rete condivisa.
Quindi, cosa succede se un firewall è impostato per bloccare tutto il traffico dal guest all'host? Non è necessario essere sulla rete per controllare l'ospite, per quanto ne so. Quindi ... poiché l'ospite non può accedere all'host attraverso la rete, l'host è sicuro?
Ci sono due modi principali con cui una VM guest danneggiata / malvagia può danneggiare il suo host:
parlando con l'host sulla rete; questo è simile ad avere una macchina malvagia sulla stessa LAN dell'host, sebbene ci possano essere dei dettagli, a seconda di come funziona la rete nella tua VM particolare.
"sfuggendo" al livello di virtualizzazione, un accesso di lettura / scrittura con esito positivo (ad esempio) al processo VM sull'host, o dirottamento dell'hypervisor o qualcosa dello stesso livello.
Il secondo modo è ciò che sono "difetti di sicurezza del fornitore". Se l'implementazione VM è sicura, allora dovrebbe impedire tali occorrenze.
I firewall agiscono sul lato della rete delle cose, quindi è rilevante solo per il primo modo. Tuttavia, se si sta lavorando con macchine virtuali potenzialmente ostili, è necessario, in effetti, fare qualcosa sugli attacchi basati sulla rete e questo potrebbe comportare il firewall.
In una tipica macchina virtuale , l'host fornisce servizi di rete al guest. Questi servizi sono configurabili. Ad esempio, se si guarda a ciò che fornisce Virtualbox , l'ospite può:
Nei primi due casi, la VM non può parlare con l'host e questo è definitivo. Nei casi 3 e 5, la VM può parlare con l'host tramite ciò che l'host vede come una scheda di rete (una nuova scheda basata sul software nel caso 3, la sua scheda fisica effettiva nel caso 5). Nel caso 4, il sistema operativo host non vede i pacchetti dal guest come pacchetti; sono array di byte nel processo del motore della macchina virtuale, ma tale processo li traduce come connessioni ad altre macchine, che possono essere l'host stesso.
I firewall non hanno nulla a che fare con i casi 1 e 2. Un firewall può funzionare con i casi 3 e 5, anche se su interfacce ethernet distinte; fai attenzione che in questi casi l'ospite ostile invia frame ethernet arbitrari, che potrebbero non essere necessariamente visualizzati sul link come rilevanti per l'indirizzo IP che ritieni debba essere utilizzato dall'ospite. Dovresti gestire queste situazioni nello stesso modo in cui faresti per una macchina ostile collegata alla LAN - se preferisci, supponi che il tuo host sia su un WiFi aperto in un fast food. Per il caso 4, i firewall sono irrilevanti, poiché qualsiasi connessione all'host o a qualsiasi altra macchina apparirà al sistema operativo host per venire dal processo stesso del motore della macchina virtuale.
Quanto sopra riguarda ciò che accade con Virtualbox; i dettagli possono variare con altre soluzioni di virtualizzazione.
Leggi altre domande sui tag virtualization firewalls