Windows Server 2016 Hyper-V Shielded Virtual Machines

Shielded Virtual Machine Nedir?

Kuruluşların birçoğunda Hyper-V yöneticileri tüm sanal makinelere tam erişime sahiptir. Ayrıca bazı sanal makinelere erişimi olan uygulama yöneticileri de olabilir.

Hyper-V sunucu yöneticilerinin tüm sanal sistemlere erişimleri vardır. Bu, sanal makinelerin içeriğine yetkisiz bir Hyper-V yöneticisi veya Hyper-V ana sunucuna erişim sağlayan biri tarafından erişebilme riskini oluşturur.

Sanal makinelerin güvenliğini artırmak için Windows Server 2016 ile birlikte gelen Shielded Virtual Machines özelliği kullanılabilir. Korumalı sanal makine, sanal diske doğrudan erişilmesi durumunda verileri korumak için BitLocker ile sanal makineyi şifreleyen (Encryption) bir özelliktir. Sanal diskin şifresini çözmek için (Decryption) gereken anahtarlar bir Host Guardian Service tarafından kontrol edilir.

Korumalı bir sanal makine, Sanal TPM içeren 2. Nesil sanal makine olmalıdır. Sanal TPM yazılım tabanlıdır ve sunucu üzerinde donanım tabanlı TPM olmasını gerektirmez.  BitLocker ile sanal makine şifrelenebilir.

Bir sanal makine BitLocker ile şifrelendiğinde, sanal makine kapatıldığında içindeki veriler korunur. Kötü niyetli herhangi biri sanal makineye ait sanal diski kopyalayıp, kurum dışına çıkarsa bile içeriğine erişemez. Hyper-V yöneticileri, Hyper-V sunucusu üzerindeki gerekli bakımları yapmaya devam edebilirler ancak sanal makine içindeki verilere erişemezler.

Shielded Virtual Machine’i uygulamak için Windows Server Cluster üzerinde çalışan bir Host Guardian Sevice’e ihtiyaç duyulur. Host Guardian Service, korumalı sanal makinelerin başlatılmasına izin veren anahtarlara erişimi denetler. Korumalı bir sanal makineyi sadece yetkilendirilmiş Host Guardian Service başlatabilir.

Host Guardian Service’in Hyper-V hostlarını yetkilendirmek için kullanabileceği iki onaylama modu bulunur.

• Admin-Trusted Attestation. Active Directory üzerinde oluşturulan bir security grup ve bu gruba eklenen güvenilir Hyper-V ana sunucuları ile yönetilen moddur.
• TPM-Trusted Attestation. Güvenilir Hyper-V ana sunucularının kendi üzerlerinde bulunan TPM 2.0 kimliklerine göre yönetildiği moddur. Yapılandırması biraz daha karışıktır ama daha yüksek bir güvenlik düzeyi sağlar. Ayrıca UEFI 2.3.1 ile secure boot aktifleştirilmiş olmalıdır.

Üzerlerinde TPM 2.0 bulunmayan Hyper-V sunucular için Admin-Trusted Attestation modu ile onaylama yapılması gerekir, TPM 2.0’a sahip Hyper-V sunucular kurulduğunda onaylama modu TPM-Trusted Attestation olarak değiştirilebilir.