Laboratorio de superficie de ataque de la emulación de dispositivos
Reduce al mínimo la lista de dispositivos emulados de una VM sin romper la carga de trabajo. Disquetera de VENOM, NIC heredadas, virtio.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Cada dispositivo emulado de una VM es código que se ejecuta en el proceso del hipervisor del host, y un invitado hostil puede manejarlo. Por eso VENOM vivía en un controlador de disquete emulado que nadie usaba. En esta revisión del modelo de máquina en el navegador recibes la lista de dispositivos emulados de una VM: conserva los dispositivos paravirtuales virtio y los pocos que la carga de trabajo necesita de verdad, y quita el resto: el controlador de disquete, la NIC heredada redundante (e1000), la tarjeta de sonido, la pila gráfica de un servidor sin pantalla, la carpeta compartida con el host. El problema: si quitas algo del que depende el servidor (la consola serie, el balloon, el canal del agente de operaciones), lo rompes. El laboratorio sopesa la superficie de ataque que dejas frente a lo que rompes, y romper el servidor es lo que más penaliza. Los niveles más difíciles añaden las dos trampas que importan: dispositivos que parecen heredados pero son imprescindibles (consola serie, virtio-balloon, canal de gestión vsock) y dispositivos que parecen inofensivos pero son pura superficie. Encuentra el modelo de máquina más pequeño que siga funcionando. Se ejecuta por completo en tu navegador, sin instalación y sin enviar nada. Es un laboratorio Pro.
- Revisa la lista de dispositivos emulados de la VM y la carga de trabajo que debe ejecutar.
- Decide dispositivo a dispositivo si lo conservas o lo quitas.
- Cuidado con las trampas: dispositivos que parecen heredados pero son imprescindibles y otros que parecen inofensivos pero son pura superficie.
- Revisa tu puntuación: superficie de ataque eliminada frente a roturas de la carga de trabajo.
Preguntas frecuentes
¿Qué es el laboratorio de superficie de ataque de la emulación de dispositivos?
Un ejercicio en el navegador en el que revisas la lista de dispositivos emulados de una máquina virtual y decides, dispositivo a dispositivo, si lo conservas o lo quitas. El objetivo es minimizar la superficie de ataque de la VM (porque cada dispositivo emulado es código en el proceso del hipervisor del host) sin quitar un dispositivo que la carga de trabajo necesita de verdad. Se te puntúa según lo pequeño que dejes el modelo de máquina manteniendo la carga de trabajo en marcha.
¿Por qué un dispositivo emulado es superficie de ataque?
Porque el hipervisor emula cada dispositivo por software, en un proceso del host. Un invitado hostil maneja esos dispositivos, así que un fallo en el modelo de un dispositivo emulado puede alcanzarse desde dentro del invitado. VENOM fue una escritura fuera de límites en el controlador de disquete virtual de QEMU, alcanzable incluso sin ningún disquete conectado, y la emulación de NIC heredadas y de gráficos tiene su propio historial. Quitar los dispositivos que la carga de trabajo no usa elimina ese código y los fallos que contiene.
Entonces, ¿debo quitar todo lo que pueda?
No: esa es la trampa contra la que entrena el laboratorio. Algunos dispositivos parecen heredados pero son imprescindibles: la consola serie de un servidor sin pantalla es su verdadera consola de gestión, virtio-balloon es una palanca legítima de memoria y el canal vsock puede ser la vía por la que el agente de operaciones del host gestiona la VM. Quitar uno de ellos rompe la carga de trabajo, y el laboratorio lo penaliza más que dejar un poco de superficie de más. Gana el modelo más pequeño que siga funcionando.
¿Para quién es?
Para ingenieros de plataforma y virtualización que construyen imágenes de VM y modelos de máquina, revisores de seguridad que aprueban una compilación de virtualización y cualquiera que quiera desarrollar el instinto de una superficie de dispositivos mínima y defendible. Se ejecuta por completo en el cliente; con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.