Якщо я запускаю віртуальну машину Windows 7 на хості Windows 7 за допомогою VMWare або VirtualBox (або будь-чого іншого) і віртуальна машина повністю перевантажена вірусами та іншим шкідливим програмним забезпеченням, чи варто хвилюватися про свою хост-машину?
Якщо у мене на хост-машині є антивірусна програма, чи виявить це проблеми?
Відповіді:
Кожна відповідь пропущена дотепер - це те, що є більше векторів атаки, ніж просто мережеві з'єднання та обмін файлами, але з усіма іншими частинами віртуальної машини, особливо що стосується віртуалізації обладнання. Хороший приклад цього показано нижче (посилання 2), коли гостьова ОС може вирватися з контейнера VMware за допомогою емуляції віртуального порту COM.
Інший вектор атаки, який зазвичай включається, а іноді і використовується за замовчуванням, майже на всіх сучасних процесорах, - це віртуалізація x86 . Хоча ви можете стверджувати, що ввімкнення мереж у VM - це найбільший ризик безпеки (і справді це ризик, який потрібно враховувати), це лише перешкоджає вірусам передаватись, як вони передаються на будь-який інший комп'ютер - по мережі. Для цього використовується ваше антивірусне та брандмауер. Це сумно...
Там були спалахи вірусів , які на насправді можуть «вирватися» з віртуальних машин, які вже були задокументовані в минулому (посилання 1 і 2 нижче для деталей / прикладів). Хоча спірним рішенням є відключення віртуалізації x86 (і прийняття хіта на продуктивність під керуванням віртуальної машини), будь-яке сучасне (гідне) антивірусне програмне забезпечення повинне бути в змозі захистити вас від цих вірусів в обмеженій причині. Навіть DEPбуде забезпечувати захист певною мірою, але не більше того, коли вірус буде виконуватись у вашій фактичній ОС (а не в VM). Знову ж таки, відзначаючи наведені нижче посилання, існує багато інших способів, як зловмисне програмне забезпечення може вирватися з віртуальної машини, окрім мережевих адаптерів або віртуалізації / перекладу інструкцій (наприклад, віртуальні порти COM чи інші емуляційні драйвери обладнання).
Ще зовсім недавно - додавання MMU Virtualization до більшості нових процесорів, що дозволяє DMA . Комп'ютерному науковцю не потрібно бачити ризик дозволити віртуальній машині з прямою пам’яттю вірусом та апаратним доступом, окрім можливості безпосередньо запускати код на процесорі.
Я представляю цю відповідь просто тому, що всі інші змушують вас вважати, що вам просто потрібно захистити себе від файлів , але дозволяти вірусовому коду безпосередньо працювати на вашому процесорі - на мою думку, набагато більший ризик. Деякі материнські плати відключають ці функції за замовчуванням, а деякі ні. Найкращий спосіб пом'якшити ці ризики - відключити віртуалізацію, якщо вам це фактично не потрібно. Якщо ви не впевнені, вам це потрібно чи ні, відключіть його .
Незважаючи на те, що деякі віруси можуть орієнтуватися на вразливості у вашому програмному забезпеченні віртуальної машини, серйозність цих загроз різко зростає при врахуванні віртуалізації процесора або обладнання, особливо тих, що потребують додаткової емуляції на стороні хоста.
Як відновити віртуалізовані інструкції x86 від Themida (Zhenxiang Jim Wang, Microsoft)
Вихід з робочої станції VMware через COM1 (Костя Кортчинський, Команда з безпеки Google)
Якщо ви використовуєте загальнодоступні папки або маєте будь-яку мережеву взаємодію між VM та хостом, то у вас є про що може потурбуватися. Потенційно я маю на увазі, що це залежить від того, що насправді робить зловмисний код.
Якщо ви не використовуєте загальнодоступні папки і не маєте жодної роботи в мережі, вам слід добре.
Антивірус на вашій хост-машині не здійснюватиме будь-якого виду сканування у вашому VM, якщо ви не поділитеся речами.
Якщо VM заражений вірусом, націленим на використання програмного забезпечення VM, наприклад VMWare Tools, це могло б вийти, але я зараз не думаю, що все на це здатне. Він також може експлуатувати хост через мережу, якщо хост вразливий.
Антивірус у хост-системі не повинен бачити віруси у віртуальній машині, якщо вони не сидять у загальній папці.
Має бути добре, просто вимкніть доступ до спільного використання файлів і вбийте нік всередині VM після початкового періоду зараження.