Laboratorio de elección del aislamiento: Firecracker, gVisor o Kata
Dada una carga de trabajo y su modelo de amenazas, elige contenedor, gVisor, Kata, una microVM Firecracker o una VM completa, y justifica la fuerza del aislamiento frente al coste.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
«Mételo en un contenedor y listo» es una decisión de seguridad, y a menudo la equivocada. Cada ronda empareja una carga de trabajo con un modelo de amenazas (código no fiable de inquilinos, un runner de CI para pull requests de forks, un proceso por lotes interno, una aplicación Windows heredada) y eliges entre cinco primitivas de aislamiento: un contenedor simple, gVisor, Kata Containers, una microVM Firecracker o una VM completa, además del motivo por el que encaja. El límite más fuerte no siempre es el correcto y un kernel compartido no siempre es un error. Se te puntúa por ajustar la fuerza del aislamiento a la amenaza real, con puntuación parcial para una alternativa defendible: aislar de más un código de confianza (una VM por servicio) es un desperdicio real de densidad y de latencia. Aprendes los hechos de diseño que deciden la elección: contenedores con kernel compartido frente a un límite de hardware, el coste de las llamadas al sistema y las carencias de compatibilidad de gVisor, el arranque en milisegundos de Firecracker con densidad de serverless y cuándo solo sirve una VM completa. Funciona por completo en el lado del cliente, sin subir ni enviar nada; tras cada ronda ves por qué la mejor opción es la mejor. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee la carga de trabajo y su modelo de amenazas.
- Elige la primitiva de aislamiento: contenedor, gVisor, Kata, microVM Firecracker o VM completa.
- Elige el motivo por el que encaja.
- Lee el análisis: por qué la mejor opción es la mejor y si tu alternativa era defendible.
Preguntas frecuentes
¿Qué es el laboratorio de elección del aislamiento?
Un ejercicio de decisión en el navegador. Cada ronda describe una carga de trabajo y su modelo de amenazas, y eliges entre cinco primitivas de aislamiento (un contenedor simple con el kernel del host compartido, gVisor, un kernel en espacio de usuario que intercepta las llamadas al sistema, Kata Containers, un contenedor OCI dentro de una VM ligera, una microVM Firecracker, una VM KVM mínima que arranca en milisegundos, o una VM completa) y después el motivo. Recibes comentarios inmediatos y un análisis final calificado.
Firecracker, gVisor o Kata: ¿cómo elijo?
Compensan la fuerza del aislamiento con el coste y la compatibilidad. gVisor ejecuta un kernel en espacio de usuario que intercepta las llamadas al sistema y reduce la superficie de ataque del kernel del host sin una VM, pero penaliza las cargas intensivas en llamadas al sistema y en E/S y no implementa todas las llamadas al sistema. Kata y Firecracker dan ambos un límite de hardware real (VT-x/AMD-V): Firecracker está optimizado para la densidad de serverless multiinquilino y el arranque en milisegundos, mientras que Kata mantiene el comportamiento OCI y nativo de Kubernetes completo y un kernel invitado entero. El laboratorio te hace aplicar estas compensaciones a escenarios concretos en lugar de memorizarlas.
¿Cuándo basta de verdad con un contenedor simple?
Cuando el código es de confianza y propio. Un contenedor comparte el kernel del host, así que un exploit del kernel se escapa de él, algo que importa muchísimo con código no fiable y nada cuando no hay ninguna parte hostil en la máquina. Para servicios internos, de confianza y sensibles a la latencia, un contenedor con kernel compartido es la compensación correcta; envolverlo en una VM gasta densidad y latencia en una amenaza que no existe. Ajustar el aislamiento a la amenaza real, en lugar de recurrir a la opción más fuerte, es justo lo que puntúa el laboratorio.
¿Ejecuta algún sandbox o necesita instalación?
No. No se ejecuta, se sube ni se instala nada. Los escenarios y las propiedades de cada primitiva están redactados a partir de hechos de diseño establecidos, y el laboratorio funciona por completo en tu navegador. Es un ejercicio de criterio para arquitectos e ingenieros de plataforma, no un benchmark.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.