Laboratorio de riesgo de la virtualización anidada
Decide cuándo hace falta de verdad la virtualización anidada y la superficie de ataque que añade. Postura de denegación por defecto para VM dentro de VM, con puntuación.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Ejecutar una VM dentro de otra VM parece una comodidad gratuita. No lo es: la virtualización anidada expone al invitado la ruta de virtualización por hardware (VT-x/AMD-V, VMX) que el hipervisor L0 debe emular, una ruta de código grande y compleja que amplía la superficie para un escape de L1 a L0 que amenaza al host y a todos los coinquilinos. La postura correcta es denegar por defecto. En este laboratorio en el navegador, cada ronda es un escenario: decides si ese caso necesita de verdad la virtualización anidada y eliges el seguimiento correcto, ya sea la delimitación y el endurecimiento si la activas o la alternativa si no. Se te puntúa por mantener la denegación por defecto y a la vez reconocer las necesidades genuinas (CI de un hipervisor, VBS/Credential Guard de Windows, WSL2/Docker Desktop, sandboxes de malware, una capacidad de producto deliberada) sin concederla nunca por comodidad ni por una lista de verificación de un proveedor. «Por si acaso» nunca pasa el listón; una función de seguridad obligatoria sí puede. Todo se ejecuta en el cliente: no se ejecuta ningún hipervisor ni se sube nada, y tras cada ronda ves por qué la decisión y el seguimiento son los correctos. Es un laboratorio Pro.
- Lee el escenario: alguien quiere virtualización anidada y explica para qué.
- Decide si la activas o la deniegas (la opción por defecto).
- Elige el seguimiento: delimitarla a hosts dedicados y mantener parcheado el hipervisor L0, o denegarla y mantener esa superficie desactivada.
- Lee la explicación de cada ronda y revisa tu informe final con nota.
Preguntas frecuentes
¿Qué es el laboratorio de riesgo de la virtualización anidada?
Un ejercicio de decisiones en el navegador. Cada ronda presenta un escenario en el que alguien quiere virtualización anidada (ejecutar VM dentro de una VM) y tú decides: activarla o denegarla (la opción por defecto), y después elegir el seguimiento correcto, como delimitarla a hosts dedicados y parchear el hipervisor L0, o denegarla y mantener desactivada esa superficie de ataque. Recibes comentarios inmediatos y un informe final con nota.
¿Por qué la virtualización anidada añade superficie de ataque?
Para que un invitado L1 pueda ejecutar sus propias VM L2, el hipervisor del host (L0) debe exponer y emular para ese invitado las instrucciones de virtualización por hardware de la CPU (Intel VT-x / AMD-V, el conjunto de instrucciones VMX). Esa emulación es una ruta de código grande e intrincada, y sus fallos pueden dar a un invitado L1 malicioso una vía para escapar al hipervisor L0 y, desde ahí, al host y a cualquier coinquilino. La capacidad es útil, pero nunca sale gratis, por eso la postura es denegar por defecto.
¿Cuándo se necesita de verdad la virtualización anidada?
Entre las necesidades reales están: una CI que compila o prueba un producto basado en hipervisor (KVM anidado), la seguridad basada en virtualización (VBS) y Credential Guard de Windows (que ejecutan un hipervisor dentro del invitado), herramientas de desarrollo como WSL2 y Docker Desktop en VM de Windows en la nube, sandboxes de análisis de malware que detonan muestras en VM anidadas y productos en la nube que venden deliberadamente la virtualización anidada como función. En cada caso la activas delimitada a los hosts que la necesitan, mantienes parcheado el hipervisor L0 y evitas que invitados no fiables con virtualización anidada compartan host con otras cargas de trabajo.
¿Ejecuta un hipervisor o necesita instalación?
No. No se ejecuta, sube ni instala nada. Los escenarios se han escrito a partir de los hechos establecidos sobre cómo funciona la virtualización anidada y dónde añade riesgo, y el laboratorio se ejecuta por completo en tu navegador. Es un ejercicio de criterio para ingenieros de plataforma y de seguridad.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.