Laboratorio de triaje de escapes de máquina virtual
Haz el triaje de incidentes de hipervisor: nombra la capa que falló de verdad y la primera medida de contención correcta. VENOM, L1TF, MDS, Spectre, XSA de Xen.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
«Escape de máquina virtual» suena a una sola cosa; en la práctica son cinco. Haz el triaje de 6 a 12 incidentes de virtualización, cada uno con señales del anfitrión y del invitado (volcados de fallos, líneas de dmesg, la redacción de un aviso, el radio de impacto), y en cada uno nombra la capa en la que vive de verdad el problema: un compromiso solo del invitado que nunca cruzó el límite, un fallo en un dispositivo emulado (el controlador de disquete de VENOM, un adaptador de pantalla emulado, una tarjeta de red heredada), un fallo del kernel del anfitrión o de KVM alcanzable desde un invitado, un fallo raro en el propio núcleo del hipervisor o un canal lateral microarquitectónico (L1TF, MDS, Spectre) que filtra datos entre máquinas virtuales sin llegar a escapar del control. Después elige la primera medida de contención correcta. Se te puntúa por acertar a la vez la capa y la contención, con penalizaciones extra por sobrerreaccionar ante un incidente contenido en el invitado o por descartar como «solo del invitado» un escape real, y la nota va de D a S. El laboratorio existe para corregir un instinto: la mayoría de los escapes son del kernel del anfitrión o de la emulación de dispositivos; el núcleo del hipervisor es la minoría. Es gratuito, funciona por completo en tu navegador, no requiere cuenta y no envía nada a ninguna parte.
- Lee las señales del anfitrión y del invitado de cada incidente.
- Nombra la capa: solo del invitado, emulación de dispositivos, kernel del anfitrión/KVM, núcleo del hipervisor o canal lateral.
- Elige la primera medida de contención que corresponde a esa capa.
- Lee la explicación de cada incidente tras la corrección y revisa tu nota final, de D a S.
Preguntas frecuentes
¿Qué es el laboratorio de triaje de escapes de máquina virtual?
Un ejercicio gratuito en el navegador en el que haces el triaje de incidentes de virtualización. En cada ronda recibes señales del lado del anfitrión y del invitado (volcados de fallos, líneas de dmesg, la redacción de un aviso, el radio de impacto) y decides en qué capa está de verdad el problema (solo del invitado, dispositivo emulado, kernel del anfitrión/KVM, núcleo del hipervisor o un canal lateral de la CPU) y cuál es la primera medida de contención correcta. Se te puntúa por cuántas veces aciertas ambas cosas.
¿Por qué importa tanto la capa?
Porque la contención depende de ella. Un fallo en un dispositivo emulado (como VENOM en el controlador de disquete virtual de QEMU) se corrige parcheando QEMU y quitando el dispositivo; un fallo del kernel del anfitrión o de KVM exige vaciar los invitados y parchear el anfitrión; un fallo del núcleo del hipervisor exige el aviso del proveedor del VMM; un canal lateral como L1TF o MDS necesita microcódigo y disciplina con SMT y la planificación por núcleos, no solo un parche de software. Equivocarse de capa significa equivocarse de primera medida.
¿Se basa en vulnerabilidades reales?
Sí. Los incidentes se construyen sobre clases y sucesos reales y conocidos: VENOM (la escritura fuera de límites en el controlador de disquete virtual de QEMU), un escape de invitado a anfitrión al estilo de Cloudburst a través de un adaptador de pantalla emulado, L1TF/Foreshadow, MDS/ZombieLoad, la inyección de destino de rama de Spectre entre máquinas virtuales, los avisos de hiperllamadas de Xen (XSA) y un fallo de la ruta de red del kernel del anfitrión de tipo 2026 descrito por su clase. No se ejecuta ni se analiza telemetría en directo: las señales son instantáneas redactadas y deterministas, para que el ejercicio sea estable.
¿Para quién es?
Para ingenieros de virtualización y de nube, los equipos de respuesta a incidentes que gestionan anfitriones de hipervisores y los responsables de seguridad que necesitan una intuición de dónde se concentra de verdad el riesgo de escape de máquina virtual. Es gratuito, funciona por completo en tu navegador, no requiere cuenta y no envía nada a ninguna parte.