谷歌发布虚拟机安全防御内置技术(Shielded VMs)细节

面对日益严峻的云安全环境,一些主要的云供应商正试图通过一系列举措,来减少对虚拟机和云应用容器的威胁,例如,通过强化虚拟机的操作系统镜像,以及使用“机密计算”模型防止底层机器操作系统提供访问权限等等。

QQ截图20180815103750

但是,目前来说,这些方式都需要对应用程序或者容器进行特别构建,以便其能够在“可信任”的环境中运行,而且它们在保护所有的云应用程序中并不能发挥实际的作用。

为了更好地应对这一系列挑战,近日,谷歌推出了一款名为“Shielded VMs”的Beta版专用虚拟机,用于确保虚拟机不会被篡改来运行脆弱的代码,以供用户监视虚拟机状态基线或其当前运行时状态中的任何修改,并及时作出响应。

现在,该公司正在发布有关该Shielded VMs如何保护云免受攻击媒介侵扰的详细信息,这些攻击媒介包括guest系统固件,通过恶意guest-VM内核或用户模式漏洞的guest操作系统,以及恶意客户内部人员篡改guest-VM映像等。当受感染的VM启动时,在其中安装的固件rootkits或其它顽固恶意软件等威胁通常将无法检测到。

谷歌云高级产品经理Nelly Porter和Google云安全技术项目经理Sergey Simakov,在近日发布的博客文章中解释称,Shielded VMs具有安全功能,能够保护云中的代码。据悉,Shielded VMs使用了基于固件的UEFI Secure Boot(UEFI安全启动),且该固件是基于UEFI 2.3.1的,取代了传统的BIOS子系统。

Shielded VMs还使用了虚拟可信任平台模块(virtual Trusted Platform Module,简称vTPM),这一模块能够验证guest VM预启动的完整性,并生成和存储加密秘钥。这些秘钥能够用于安全启动,保证虚拟机只能运行经过认证的软件,以及允许guest操作系统创建和保护密钥及敏感数据。此外,vTPM还需要启动Measured Boot(测量启动)来检查之前的虚拟机配置基线,以便在启动虚拟机之前对虚拟机的完整性进行更好地控制。

vTPM服务的目标,是为guest VM实例提供兼容TPM2.0和FIPS 140-2 L1认证的TPM功能。

而谷歌软件工程师Josh Zimmerman在另一篇文章中又进一步扩展了vTPM的安全功能:vTPM的工作方式类似于TPM(可信任平台模块),它使用平台配置寄存器(PCR)来记录系统状态。通过使用TPM的密钥,vTPM可以提供一个PCR值的“引用(quote)”,以便远程服务器可以验证系统的状态。而且TPM可以保护敏感数据 – 例如,驱动解密密钥,因此只有在系统状态有效时才能访问它们。

总结来说,Secure Boot(安全启动)和Measured Boot(测量启动)有助于防止guest操作系统在启动过程中运行rootkits,以及运行内核级别的恶意软件。此外,这两者还能确保用户的VM启动的是“已知的”固件和内核软件堆栈。其中,“安全启动”可以确保系统运行合法软件;而“测量启动”则能够验证系统软件和VM启动过程的完整性。

最后,用户可以通过StackDriver访问Shielded VM的完整性报告;如果报告指出他们的VM不符合其安全标准,他们也可以制定自己的策略,甚至自定义操作。

上一篇:Fortinet WAF将机器学习应用于高级行为威胁检测

下一篇:事件响应失败的4大原因剖析