別の有名なハッキング事件として、脆弱性が修正されていないWindows Server 2008 R2 Hyper-Vホストに対し、ゲストVMから仮想バスのチャネルを通じてサービス攻撃が仕掛けられたケースがある。Microsoftは更新プログラムの「MS10-102」でこの脆弱性を解決した。

Hyper-Vの重要な設定

　IT部門の多くは、サーバのパッチには極めて真剣な姿勢で臨む。だが仮想ホストにパッチを当てる作業には頭を抱えているようだ。全てのVMをオフラインにしたり、別のHyper-Vクラスタメンバーに移したりする作業には時間がかかる。そして私も経験したことだが、リソースが詰め込まれ過ぎている場合、こうした作業は不可能である。ハイパーバイザーをハードウェアとして扱えば短期的な安定は保てるが、現実には潜在的なセキュリティホールが発生する。従って、このレイヤーにパッチを当てることは不可欠だ。

　エクスプロイトや最新のパッチに留意しなければならないことは分かっていても、現時点でハイパーバイザーに対する真のコードエクスプロイトは比較的まれであり、それほど不安は感じないかもしれない。管理者は、VM管理における日々の負担を軽減するために、仮想環境における一定のセキュリティや隔離状態を過信し、警告やベストプラクティスを無視してしまうことがある。さらにその誤った判断をすぐに忘れてしまい、自分のシステムが攻撃されるまで過ちに気付かない。

　Hyper-Vに話を絞ると、攻撃経路を減らすために最初のセットアップ時にやっておくべき重要なことが幾つかある。

ポイント1：仮想ネットワークをセットアップする

　まず仮想ネットワークのセットアップだ。ハイパーバイザーは仮想イーサネットスイッチをホスティングしている。これはペアレントホストのネットワークカードを使ってさまざまな手段で物理層に接続するために利用できる。設定ミスが1つでもあれば、この仮想接続が幾つもの問題につながることもある。

　管理ネットワークをゲストVMと共有している場合、これが攻撃経路となってVMからHyper-Vの管理OSへのアクセスを許してしまう。正しいログイン情報さえ分かれば、Hyper-Vホストや設定、ほかのVMへのアクセスも可能だ。このオプションはデフォルトで無効になっているが、多数のマシンから管理がしやすかったり、ネットワークインタフェースカード（NIC）の数が限られているといった理由で、オプションを有効にしてしまう管理者があまりにも多い。この設定を有効にすれば、ホスティングされている全てのVMから管理OSを攻撃することが可能になり、セキュリティが脅かされる。従って、必ず物理ネットワークアダプターを専用の管理ネットワークに割り当て、これらのNICは決して通常のVMトラフィックと共有してはいけない。

ポイント2：同じ仮想ホストにセキュリティ要件が異なるサーバを混在させない

　Hyper-Vはまた、各種マシンのトラフィックを論理的に分類する目的で、VLANを認識することも可能だ。これはさまざまなサブネットを1台のマシンで組み合わせて、物理レイヤーの心配をせずにクラスタ化されたホストをサポートする手段としては素晴らしい。だがセキュリティの強化にはつながらない。表面上セキュリティが強化されているように見えるのは、別々のVLANにあるVMの場合、ネットワークレイヤーにアクセスして適切なルーティングをしなければ相互数のトラフィックが見えないからだ。だが実際には、これらは全て同じVMにあり、物理的な配線によってVLANハッキングが可能になる。つまり物理環境における鉄則は、仮想環境にも当てはまる。

　これは次のポイントにつながる。セキュリティ要件が異なるサーバを1つの仮想ホスト上で混在させないことだ。全てのサーバには、自社のIT部門が定めた何らかの基本的なセキュリティ水準があるはずである。例えばDMZのWebサーバのセキュリティは、社内ファイルサーバのセキュリティとは異なる。インターネットに接続するDMZのWebサーバは社内ファイルサーバよりも攻撃を受けるリスクが高いと判断するのなら、これらのサーバを同じ仮想ホスト上に共存させたり、この2つのネットワークを同じ仮想ホストに入れたりすべきではない。ここでも物理環境の鉄則が仮想環境に当てはまる。

ポイント3：Hyper-V以外のシステムを同じホストで実行しない

　Hyper-Vを実行している場合、Hyper-V以外のシステムを同じホストで実行してはいけない。物理サーバを追加利用するために、既存のサーバにHyper-Vをインストールする管理者があまりにも多い。アイデア自体は結構だが、そのホストに他のサーバ機能を存続させてはいけない。アプリケーションはVMに移すことだ。アプリケーションコードの脆弱性は発見、修正されにくいことが多い。これを悪用されればホストマシンにアクセスされ、ひいては全てのゲストVMへの不正アクセスを招きかねない。

ポイント4：VM管理用のアカウントを作成

　もう1つのアドバイスとして、仮想ホスト用とは別に、VM管理用のアカウントあるいはグループを1つ持っておくといい。もし攻撃を受けた場合でも、仮想世界への鍵は渡したくないはずだ。また、監査のための最善の備えとして、「Integration Services」がVM全てにインストールされていることを確認したい（Integration Serviceについては「管理者が知っておきたい、Hyper-VとVMwareの微妙な相違点」を参照）。

　Hyper-Vにはシステムを守るために、アドレス空間配置ランダム化（ASLR）など多数の機能が実装されている。ASLRは仮想プロセッサがユーザーモードで稼働し、各VMに仮想デバイスとVMバスを持たせるプロセスをいう。多くの場合、最大の懸念はハイパーバイザーそのものではなく、過度に特権が多い設定にアクセスされることや、他のアプリケーションの脆弱性を悪用されることにある。ベストプラクティスを活用して常に最新のパッチを導入し、ネットワークを分離して、仮想環境にとって重大な脅威となる攻撃を避けることだ。