Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Le système d’hyperviseur Azure est basé sur Windows Hyper-V. Le système d’hyperviseur permet à l’administrateur informatique de spécifier des partitions invitées ayant des espaces d’adressage séparés. Les espaces d’adressage séparés permettent de charger un système d’exploitation et des applications fonctionnant en parallèle du système d’exploitation (hôte) qui s’exécute dans la partition racine de l’ordinateur. Le système d’exploitation hôte (également appelé partition racine privilégiée) a un accès direct à tous les appareils physiques et périphériques du système (contrôleurs de stockage, adaptations réseau). Le système d’exploitation hôte permet aux partitions invitées de partager l’utilisation de ces appareils physiques en exposant des « périphériques virtuels » à chaque partition invitée. Ainsi, un système d’exploitation exécutant dans une partition invitée a accès à des périphériques virtualisés fournis par des services de virtualisation s’exécutant dans la partition racine.
L’hyperviseur Azure est conçu en tenant compte des objectifs de sécurité suivants :
| Objectif | Source |
|---|---|
| Isolement | Une politique de sécurité interdit le transfert d’informations entre les VM. Cette contrainte nécessite des capacités dans le Gestionnaire de Machine Virtuelle (VMM) et du matériel pour l’isolement de la mémoire, des périphériques, du réseau et des ressources gérées telles que les données persistantes. |
| Intégrité du VMM | Pour garantir l’intégrité globale du système, l’intégrité de chaque composant de l’hyperviseur est établie et maintenue. |
| Intégrité de la plateforme | L’intégrité de l’hyperviseur dépend de l’intégrité du matériel et du logiciel sur lesquels il repose. Bien que l'hyperviseur n'ait pas un contrôle direct sur l'intégrité de la plateforme, Azure s'appuie sur des mécanismes matériels et de firmware, comme la puce Cerberus, pour protéger et détecter l'intégrité de la plateforme sous-jacente. Azure empêche la VMM et les machines virtuelles invitées de fonctionner si l’intégrité de la plateforme est compromise. |
| ACCÈS RESTREINT | Seuls les administrateurs autorisés connectés via des connexions sécurisées exercent des fonctions de gestion. Les mécanismes de contrôle d’accès basé sur le rôle Azure (Azure RBAC) imposent le moindre privilège. |
| Audit | Azure permet à l’audit de capturer et protéger les données sur ce qui se passe dans un système afin qu’elles puissent être ensuite inspectées. |
L’approche de Microsoft pour renforcer l’hyperviseur Azure et le sous-système de virtualisation peut être décomposée en trois catégories suivantes.
Limites de sécurité fortement définies et appliquées par l’hyperviseur
L’hyperviseur Azure impose plusieurs frontières de sécurité entre :
- Partitions « invitées » virtualisées et partition privilégiée (« hôte »)
- Plusieurs invités
- Lui-même et l’hôte
- Lui-même et tous les invités
La confidentialité, l’intégrité et la disponibilité sont garanties pour les limites de sécurité de l’hyperviseur. Les frontières protègent contre une série d’attaques, notamment les fuites d’informations par canal latéral, le déni de service et l’élévation du privilège.
La frontière de sécurité de l’hyperviseur assure également la segmentation entre les locataires pour le trafic réseau, les dispositifs virtuels, le stockage, les ressources de calcul et toutes les autres ressources VM.
Mesures d’atténuation des exploits par défense en profondeur
Dans le cas peu probable où une frontière de sécurité présente une vulnérabilité, l’hyperviseur Azure comprend plusieurs couches d’atténuations, notamment :
- Isolement des processus basés sur l’hôte hébergeant des composants cross-VM
- Sécurité basée sur la virtualisation (VBS) pour garantir l’intégrité des composants en mode utilisateur et noyau depuis un monde sécurisé
- Plusieurs niveaux d’atténuation des exploits. Les mesures d’atténuation incluent la randomisation de la disposition de l’espace d’adressage (ASLR), la prévention de l’exécution des données (DEP), la garde de code arbitraire, l’intégrité du flux de contrôle et la prévention de la corruption des données
- Initialisation automatique des variables de pile au niveau du compilateur
- API de noyau qui initialisent automatiquement les allocations de tas de noyau effectuées par Hyper-V
Ces mesures sont conçues pour rendre irréalisable le développement d’un exploit pour une vulnérabilité inter-VM.
Processus d’assurance de sécurité forts
La surface d’attaque liée à l’hyperviseur comprend les réseaux logiciels, les dispositifs virtuels et toutes les surfaces inter-VM. La surface d’attaque est suivie via l’intégration automatisée des builds, ce qui déclenche des revues de sécurité périodiques.
L’équipe Red Team de Microsoft modélise les menaces, effectue des revues de code, soumet toutes les surfaces d’attaque des machines virtuelles à des tests de fuzzing et les teste afin de détecter toute violation des frontières de sécurité. Microsoft dispose également d’un programme de prime contre les bugs qui récompense les vulnérabilités pertinentes dans les versions éligibles du produit pour Microsoft Hyper-V.
Note
En savoir plus sur les processus solides d’assurance sécurité dans Hyper-V.
Étapes suivantes
Pour en savoir plus sur le travail de Microsoft en faveur de l'intégrité et de la sécurité des plateformes, voir :