Consola de bastionado de hipervisores
Bastiona un host KVM/QEMU control a control (sVirt, seccomp, QEMU sin root, sin la disquetera de VENOM, KSM, L1TF/MDS, /dev/kvm) y obtén una puntuación.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un inquilino hostil comparte tu host KVM/QEMU. Bastiónalo. Confina el emulador con sVirt, un sandbox seccomp y un usuario sin root por VM; reduce la superficie de dispositivos quitando el controlador de disquete de VENOM y usando un modelo de máquina mínimo (q35/microvm); cierra los canales entre inquilinos desactivando KSM y activando las mitigaciones L1TF/MDS con disciplina de SMT; y restringe (no elimines) el acceso a /dev/kvm. La trampa: no todos los interruptores deben estar activados. En los niveles más difíciles, algunas medidas de «bloquearlo todo más» rompen el host o anulan un control más fuerte (desactivar virtio, bloquear /dev/kvm por completo o compartir un único usuario de QEMU), y el laboratorio te puntúa por saber distinguirlas. Cada VM empieza sin bastionar, así que aplicas cada control a propósito y ves la justificación exacta al calificar. Funciona por completo en tu navegador, sin instalación y sin enviar nada. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Parte de una VM sin bastionar en un host KVM/QEMU multiinquilino.
- Activa o desactiva cada control: confinamiento del proceso, modelo de dispositivos y de máquina, aislamiento entre inquilinos y parches y acceso.
- Cuidado con las trampas: algunas medidas de bloqueo rompen el host o anulan un control más fuerte.
- Califica tu configuración y lee la justificación de cada control.
Preguntas frecuentes
¿Qué es la consola de bastionado de hipervisores?
Un laboratorio en el navegador en el que bastionas un host KVM/QEMU activando o desactivando cada control de seguridad, y después se te puntúa frente a la postura bastionada que exige un host multiinquilino hostil. Los controles incluyen el confinamiento por VM con sVirt/SELinux, el sandbox de llamadas al sistema seccomp, ejecutar QEMU con un usuario sin root por VM, quitar el controlador de disquete heredado detrás de VENOM, usar un modelo de máquina mínimo q35/microvm, desactivar la deduplicación de memoria KSM, activar las mitigaciones L1TF/MDS y restringir el acceso a /dev/kvm.
¿Por qué no puedo activar todos los controles?
Porque bastionar significa reducir la superficie de ataque sin romper lo que estás bastionando. Varios controles son trampas: desactivar los controladores paravirtuales virtio obliga a una emulación de dispositivos heredados más lenta y más grande; bloquear /dev/kvm por completo impide que el host ejecute VM; ejecutar todas las VM con una única cuenta compartida hunde el aislamiento por VM que habías construido. El laboratorio penaliza caer en ellas, así que tienes que leer qué hace de verdad cada interruptor.
¿Es específico de KVM y QEMU?
Sí: los controles corresponden al bastionado real de KVM/QEMU/libvirt: etiquetas sVirt, -sandbox on, la propiedad dinámica de libvirt, quitar el dispositivo FDC, los tipos de máquina q35/microvm, KSM (/sys/kernel/mm/ksm), el grupo kvm sobre /dev/kvm y los indicadores de mitigación de CPU del host. Los conceptos (confinar el proceso, reducir la superficie de dispositivos, cerrar los canales entre inquilinos y parchear rápido) se trasladan a cualquier hipervisor de tipo 1 o de tipo 2.
¿Para quién es?
Para ingenieros de plataformas de virtualización y de cloud que gestionan hosts de hipervisor, ingenieros de seguridad que revisan una plataforma de virtualización y cualquiera que quiera el criterio para distinguir una mejora real de bastionado de un bloqueo que rompe el host. Funciona por completo en el lado del cliente.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.