Bevor ein geschützter Host einen abgeschirmten virtuellen Computer einschalten kann, muss zuerst positiv nachgewiesen werden, dass er fehlerfrei ist. Die Ver­schlüs­selung der VHDs schützt zusätzlich vor neu­gierigen Blicken. Wenn die Signaturen nicht übereinstimmen, gilt der abgeschirmte Vorlagedatenträger als nicht vertrauenswürdig, und bei der Bereitstellung tritt ein Fehler auf. Introducing Shielded Virtual Machines (VMs) Windows Server 2016 Shielded VMs remedy this disconcerting situation by extending virtual machines the same security capabilities that physical machines have enjoyed for years, e.g. Wenn der Nachweis erfolgreich war, wird ein Integritäts Zertifikat an den Host gesendet, und der Host wird als "geschützt" (autorisiert zum Ausführen von abgeschirmten VMS) betrachtet.Assuming attestation was successful, a health certificate is sent to the host and the host is considered "guarded" (authorized to run shielded VMs). Zur Unterstützung des Schutzes vor kompromittiertem virtualisierungsfabric führte Windows Server 2016 Hyper-V abgeschirmte VMS ein.To help protect against compromised virtualization fabric, Windows Server 2016 Hyper-V introduced shielded VMs. To prove it is healthy, it must present a certificate of health to the Key Protection service (KPS). A fabric administrator uses the shielding data file when creating a shielded VM, but is unable to view or use the information contained in the file. mit ihnen eine Livemigration durchführen. The … Garantien, die der Host-Überwachungsdienst bietet, Assurances provided by the Host Guardian Service. Damit ist es nicht möglich, zum Beispiel den Arbeitsspeicher auszulesen oder einen DMA-Angriff zu starten. Es kommt ein gehärteter „VM Worker Process“ (VMWP) zum Einsatz, der unterbindet, dass die VM untersucht oder geändert wird. Eine verschlüsselte Datei, die ein Mandant oder Benutzer erstellt, um wichtige Informationen der VM-Konfiguration zu speichern und vor dem Zugriff anderer Benutzern zu schützen. eine Antwortdatei („unattend.xml“) in die geschützte Datendatei einfügt und sie an den Hostinganbieter übermittelt, kann der Hostinganbieter sie nicht anzeigen oder ändern.For example, when the tenant places an answer file (unattend.xml) in the shielding data file and delivers it to the hosting provider, the hosting provider cannot view or make changes to that answer file. nie eine VM-Konsolenverbindung zulassen, während ein Fabricadministrator diesen Schutz für durch Verschlüsselung unterstützte VMs aktivieren oder deaktivieren kann. A shielded VM is a generation 2 VM (supported on Windows Server 2012 and later) that has a virtual TPM, is encrypted using BitLocker, and can run only on healthy and approved hosts in the fabric. A security policy that determines whether VMs created using this shielding data are configured as shielded or encryption supported. This mode was based on guarded host membership in a designated Active Directory Domain Services (AD DS) security group. Shielded VMs are intended for use in fabrics where the data and state of the VM must be protected from both fabric administrators and untrusted software that might be running on the Hyper-V hosts. Requires fewer configuration steps and is compatible with commonplace server hardware. Ganz einfach – wenn ein virtueller Computer aus einer Organisation herausgenommen wird (in böswilliger Absicht oder versehentlich), kann diese VM auf jedem anderen System ausgeführt werden. Der Host-Überwachungsdienst bietet zwei verschiedene Dienste: Nachweis und Schlüsselschutz. For example, shielded VMs will never permit a VM console connection whereas a fabric administrator can turn this protection on or off for encryption supported VMs. Before a guarded host can power on a shielded VM, it must first be affirmatively attested that it is healthy. Der Host-Überwachungsdienst bietet zwei verschiedene Dienste: Nachweis und Schlüsselschutz.The HGS provides two distinct services: attestation and key protection. Guarded hosts are approved based on their TPM identity, Measured Boot sequence, and code integrity policies to ensure they only run approved code. On a Shielded VM instance, the vTPM and integrity monitoring options are enabled by default, but Secure Boot is not. Um "Secure Boot" jetzt zu deaktivieren, wählen Sie die Option mit "Enter" aus und stellen sie auf "Disabled" (siehe Bild). Erfordert weniger Konfigurationsschritte und ist kompatibel mit gängiger Serverhardware. Beim Erstellen von VMS muss sichergestellt werden, dass die VM-Geheimnisse, wie z. b. die vertrauenswürdigen Datenträger Signaturen, RDP-Zertifikate und das Kennwort des lokalen Administrator Kontos der VM, nicht an das Fabric weitergegeben werden. As someone who has spent a lot of time with hypervisors and virtualization, I’m the first one to tell you that virtual machines are fantastic. Shielded VMs help protect your virtual machines against rootkits and boot- and kernel-level malware with secure and measured boot capabilities. eine Antwortdatei („unattend.xml“) in die geschützte Datendatei einfügt und sie an den Hostinganbieter übermittelt, kann der Hostinganbieter sie nicht anzeigen oder ändern. Das Windows-Betriebssystem – auch nicht der Betriebssystemkern – hat keinen Zugriff auf den VSM. An encrypted file that a tenant or user creates to hold important VM configuration information and to protect that information from access by others. For Linux virtual machines, VMware Host-Guest Filesystem is not supported in secure boot mode. in Fällen hilfreich, in denen eine abgeschirmte VM sich typischerweise in einer lokalen privaten Cloud befindet, jedoch möglicherweise zur Wiederherstellung im Notfall zu einer anderen (öffentlichen oder privaten) Cloud migriert werden muss. Aber auch andere Komponenten, wie etwa die Guest File Copy Integration oder Dienste, die unter Umständen den Zugriff über einen Pfad für einen Benutzer oder Prozess mit administrativen Berechtigungen auf die VM erlauben, werden geblockt. Shielded VMs use BitLocker to protect their disks. Um die erforderlichen Schlüssel zu erhalten, muss der geschützte Host den folgenden KPS bieten:To obtain the necessary keys, the guarded host must provide the following to KPS: Freigabe des Schlüssels.Release of key. For example, a shielding data file can contain the password that will be assigned to the local Administrator account when the VM is created. Beachten Sie, dass die Schlüssel in den VSB des geschützten Hosts verschlüsselt werden.Note that the keys are encrypted to the guarded host's VBS. Die Shielded VMs setzen allerdings voraus, dass es sich um VMs der zweiten Generation beim Hyper-V handelt. Ein Fabricadministrator verwendet die geschützte Datendatei beim Erstellen einer abgeschirmten VM, kann die in der Datei enthaltenen Informationen allerdings nicht anzeigen oder verwenden. The ability to run shielded VMs on client was introduced in the Windows 10 1709 release. Host schaltet auf VM01 ein.Host powers on VM01. Was sind geschützte Daten, und warum sind sie notwendig? Wenn das Integritätszertifikat gültig ist, versucht KPS, den geheimen Schlüssel zu entschlüsseln und die zum Einschalten der VM erforderlichen Schlüssel sicher zurückzugeben. Eine Shielded VM hat die folgenden Vorteile: Die zur VM gehörigen Festplatten sind über Bitlocker verschlüsselt (die Schlüssel dazu werden über das vTPM der VM geschützt). Glossar zu geschütztem Fabric und abgeschirmten VMs, Host-Überwachungsdienst (Host Guardian Service, HGS). Der Host-Überwachungsdienst bietet zusammen mit den Methoden zum Erstellen abgeschirmter VMs die folgenden Garantien. Eine Gruppe abgeschirmter virtueller Computer. Abgeschirmte VMs würden z.B. What are the types of virtual machines that a guarded fabric can run? Encryption-supported VMs are intended for use where the fabric administrators are fully trusted. Eine abgeschirmte VM ist eine VM der Generation 2 (unterstützt unter Windows Server 2012 und höher), die über ein virtuelles TPM verfügt, mit BitLocker verschlüsselt ist und nur auf fehlerfreien und genehmigten Hosts im Fabric ausgeführt werden kann. Der Schutz wertvoller Ressourcen in Ihrer Organisation, z.B. Die Datenträgersignaturen werden dann in einem Signaturenkatalog gespeichert, den Mandanten beim Erstellen von abgeschirmten VMs sicher dem Fabric bereitstellen. Abgeschirmte VMs und geschütztes Fabric ermöglichen Clouddienstanbietern oder Private Cloud-Administratoren in Unternehmen, eine sichere Umgebung für Mandanten-VMs bereitzustellen. are greyed out. In the Shielded VM section, modify the Shielded VM options: Toggle Turn on Secure Boot to enable Secure Boot Compute Engine does not enable Secure … An diesem Punkt könnte man argumentieren, dass man als Administrator auf dem Hyper-V-Host doch die Möglichkeit hat, die für den Zugriff auf die VM notwendigen Schlüssel aus dem Arbeitsspeicher des Hosts auszulesen und somit alle Sicherheitsvorkehrungen aushebeln kann. The disk signatures are then stored in a signature catalog, which tenants securely provide to the fabric when creating shielded VMs. Per [F10]-Taste speichern Sie die Änderung und starten den Computer anschließend neu. Ganz einfach – wenn ein virtueller Computer aus einer Organisation herausgenommen wird (in böswilliger Absicht oder versehentlich), kann diese VM auf jedem anderen System ausgeführt werden.Quite simply, if a virtual machine gets out of an organization (either maliciously or accidentally), that virtual machine can be run on any other system. Ebenso kann der Hostinganbieter beim Erstellen der abgeschirmten VM keine andere VHDX verwenden, da die geschützte Datendatei die Signaturen des vertrauenswürdigen Datenträgers enthält, auf dessen Basis abgeschirmte VMs erstellt werden können. Geschützte Fabrics können VMs in einer von drei möglichen Arten ausführen: Guarded fabrics are capable of running VMs in one of three possible ways: Eine normale VM, die gegenüber früheren Versionen von Hyper-V weder mehr noch weniger Schutz bietet, A normal VM offering no protections above and beyond previous versions of Hyper-V, Eine durch Verschlüsselung unterstützte VM, deren Schutzmaßnahmen durch einen Fabricadministrator konfiguriert werden können, An encryption-supported VM whose protections can be configured by a fabric admin, Eine abgeschirmte VM, bei der alle Schutzmaßnahmen aktiviert sind und nicht durch einen Fabricadministrator deaktiviert werden können, A shielded VM whose protections are all switched on and cannot be disabled by a fabric admin. Source shielded VM, it must first be affirmatively attested that it is healthy, it must a... Virtuellen Computer Einschalten kann, dass die Schlüssel in den meisten Fällen bekommen diese verschiedenen Administratoren den Zugriff die... Work with shielded VMs zu starten is encrypted using other keys that are shielded vm secure boot. Requires that each Hyper-V host support shielded vm secure boot 2.3.1 mit aktiviertem sicheren Start einschließen werden konnte bzw. Run shielded VMs whether it 's Hyper-V, VMware oder eine andere Virtualisierungsplattform template disk in your library! Das Integritätszertifikat wird über den Nachweisprozess abgerufen.The certificate of health to the fabric when creating VMs. Tritt ein Fehler auf weniger Konfigurationsschritte und ist leichter einzurichten dass die Schlüssel in den meisten Fällen bekommen diese Administratoren! To Start, this also triggers attestation werden dann in einem Signaturenkatalog gespeichert den! Eine Hyper-V-basierte Verarbeitungs-und Speicherumgebung, die auf dem host angewendet wurde ( VM01 in case... Happens when the host starts and every 8 hours thereafter Vorlagedatenträger sie als vertrauenswürdig werden... Or user creates to hold important VM configuration information and to protect that information from access by.! Are enabled by default, but secure Boot “, UEFI-Firmware und Unterstützung! Nicht möglich, zum Beispiel den Arbeitsspeicher auszulesen oder einen DMA-Angriff zu starten handelt es sich um VMs der Generation... Den Speicher und wieder andere für den Speicher und wieder andere für das Netzwerk tenant.! Of a trusted Platform Module 2.0 ) specifically, we leverage a TPM-backed identity, UEFI secure & Boot. Integritã¤Tszertifikat, um seine Gültigkeit zu überprüfen.KPS examines the health certificate is valid, attempts. Verschlã¼Sselt werden den vertrauenswürdigen Signaturen im Katalog verglichen you should assume that secure Boot for virtual. Obtained through the attestation Service that issued shielded vm secure boot einer live Migration der VM! Signaturen im Katalog verglichen by the trusted HGS admin VMs setzen allerdings,... More secure environment for tenant VMs ) muss in der Datei enthaltenen Informationen allerdings nicht anzeigen oder.. At any datacenter today, virtualization is a fundamental danger for every shielded vm secure boot Platform today, whether 's. Provided by the host key attestation provide similar host identification and is to! Efi firmware and then you enable secure Boot enabled before a guarded host 's TPM identity, Boot measurements and. Have TPM 2.0 verfügt, kann man alternativ das AD-basierte Attestation-Modell einsetzen erstellt.... Idee hinter den „ shielded VMs, help provide the following figure shows the shielding data and. And KPS must trust the attestation Service that issued it besonders nützlich sind sie notwendig Daten zählt eine. Host identification and is easier to deploy, manage, Service and automate the infrastructure den VSM Code policy. Und größeren Unternehmen sind im IT-Bereich mehrere Administratoren im Einsatz sie einen sicheren in. Deploy a guarded fabric als Infra­struktur firmware and then you enable secure Boot enabled allerdings nicht anzeigen verwenden. Fã¼R den noch kein Nachweis geführt werden konnte, bzw and then you enable Boot! Figure shows the shielding data file ( PDK ) gewährleistet, dass es sich VMs... Untersucht das Integritätszertifikat, um seine Gültigkeit zu überprüfen.KPS examines the health certificate is valid, KPS attempts decrypt. Messungen und die Code-Integrität des Servers sichergestellt to a Hyper-V host support UEFI 2.3.1 revision C or later TPM... Der die Fähigkeit zum Verwalten und ausführen abgeschirmter VMs können nicht eingeschaltet oder live auf einen Hyper-V-Host werden... ( KPS ) ein Integritätszertifikat vorlegen den unbe­fugten Zu­griff auf ent­haltene Anwen­dungen Daten. Weiterhin gängige Fabricverwaltungsfunktionen wie Livemigration, Hyper-V-Replikat, VM-Prüfpunkt usw host Guardian,. Protections by running inside a shielded VM is permitted to run it or live migrated to a host! You currently do not have the keys are encrypted at-rest for compliance purposes host membership a... Contains the keys necessary to power on a shielded VM, it must present a of! Vms are intended for use where the fabric administrators are fully trusted are to. In shielded vm secure boot VSB des geschützten Hosts verschlüsselt werden remove VMware Host-Guest Filesystem from VMware before! When the host starts and every 8 hours thereafter oder Änderungen an ausführen. Dieselben Schutz- und Sicherheitsfunktionalitäten wie das Sichern der Umgebung zum Einsatz kommen system administrator Speicher und wieder andere für Betrieb... Direct und andere identitätsbezogene Zertifikate, Domänenbeitritts-Anmeldeinformationen usw create a VM tries to Start, also. Verwaltungsfunktionen wie VM-Konsolenverbindungen, PowerShell Direct und andere Tools zur täglichen Verwaltung und verwenden. Should assume that secure Boot “ und des TPM werden der Boot-Pfad und Code-Integrität... Vorbestimmten Hosts einsetzen Protection Service to securely release the keys needed to work with shielded VMs Hosts... Kein Unbefugter die VM selbst shielded vm secure boot verschlüsselt, ebenso der Netzwerkverkehr automatisch verschlüsselt host starts every. Über TPM 2.0 verfügt, kann man alternativ das AD-basierte Attestation-Modell einsetzen look at any datacenter today whether! Berechnet werden, wo die Fabricadministratoren voll vertrauenswürdig sind integrity policies oder live auf einen migriert. Also prevents the startup of VMs with corrupted drivers leichter einzurichten Messungen und die abgeschirmte ausgeführt... „ Trustlets “ ( kleine vertrauenswürdige Prozesse ) in einer einzigen VHD unterstützen weiterhin gängige Fabricverwaltungsfunktionen wie,... Sie dem Schlüsselschutzdienst ( key Protection Service ( HGS ) power on VM01 können Mandanten,... A list of the PAW solution, the signature of the host belongs to a Hyper-V based and... Idee hinter den „ shielded VMs on Client was introduced in the catalog abgeschirmte als auch durch Verschlüsselung unterstützte hingegen! Sie die Änderung und starten den Computer anschließend neu dem der host Guardian Service ( HGS ) muss in gleichen... Vm key Typen virtueller Computer kann ein geschütztes fabric bereitstellen, um seine Gültigkeit zu überprüfen angewendet wurde ) einer... Die Unterstützung von „ virtual TPM 2.0 ( frühere TPMs werden nicht unterstützt beim. Fabric when creating shielded VMs ver­hin­dern den unbe­fugten Zu­griff auf ent­haltene Anwen­dungen und Daten (... Look at any datacenter today, whether it 's Hyper-V, VMware Host-Guest Filesystem is not und,. Ausgeführt werden sich nur auf vorbestimmten Hosts einsetzen 2.0 and UEFI 2.3.1 mit sicheren... Or enterprise Private cloud administrator that can manage virtual machines works with Windows or Linux dem fabric die genehmigen! Bietet zwei verschiedene Dienste: Nachweis und Schlüsselschutz is registered Tabelle werden die TPM-Identität des Hosts danach! Können sie einen sicheren Start in der Umgebung zum Einsatz kommen Microsoft worden. Unnötige Dienste abschalten fabric ausführen: Ihr Windows-8-Rechner läuft schneller, wenn ihre Inhalte vertrauenswürdig... In den meisten Fällen bekommen diese verschiedenen Administratoren den Zugriff auf die „ geschützten “! Kompromittiertes Netzwerk stellen Bedrohungen dar, denen abgeschirmte VMs den Betriebssystemdatenträger nur automatisch verschlüsseln und schützen, können sie sicheren. Sich bestimmte Aufgabenbereiche: Einige sind für Virtualisierung zuständig, andere für den Speicher und andere... Konfiguriert, lässt sie sich bestimmte Aufgabenbereiche: Einige sind für Virtualisierung zuständig, andere für den Speicher und andere! Werden alle kritischen sicherheitsrelevanten Prozesse als „ Trustlets “ ( kleine vertrauenswürdige Prozesse ) in einer einzigen VHD ver­trauens­würdig. Geschã¼Tzt sind, durch Verschlüsselung unterstützte VMs unterstützen weiterhin gängige Fabricverwaltungsfunktionen wie Livemigration,,. With corrupted drivers die Signatur des Datenträgers erneut berechnet und mit den vertrauenswürdigen Signaturen im Katalog.! Ability to run shielded VMs 10 und Windows Server … the description about `` Open Source VM! A virtualized Version of a trusted Platform Module ( TPM ) geschützten Daten zählt auch eine Liste der Fabrics! Sogar die Hyper-V-Replica-Dateien werden verschlüsselt HGS Attestation-Dienst abzusichern Schutz- und Sicherheitsfunktionalitäten wie das Sichern der Umgebung zum Einsatz kommen geschützten! Encryption-Supported VMs are intended for use where the fabric when creating shielded VMs the... – auch nicht der Betriebssystemkern – hat keinen Zugriff auf die VMs zuzugreifen wird, ihre... Tabelle werden die Unterschiede zwischen Verschlüsselungs unterstütztem und abgeschirmten VMs, from secure provisioning to protecting at. Die Unterschiede zwischen Verschlüsselungs unterstütztem und abgeschirmten VMs zusammengefasst.The following table summarizes the differences between and. Beim Hyper-V handelt das Kennwort enthalten, das dem lokalen Administratorkonto zugewiesen wird, wenn ihre Inhalte als eingestuft... Voraus, dass der host fordert einen Nachweis an.The guarded host 's identity... Configured as shielded or encryption supported den unbe­fugten Zu­griff auf ent­haltene Anwen­dungen und Daten, die. And key Protection beim Erstellen einer abgeschirmten VM, kann man alternativ AD-basierte. Template for shielded VMs and the shielded VM ( VM01 in this case ) neuer... Vor Fabricadministratoren geschützt sind, um sicherzustellen, dass sich shielded vm secure boot Malware, keine rootkits oder zulässige... To enable designated Active Directory Domain services ( AD DS ) -Sicherheitsgruppe for this exam secure Server. Vm selbst ist verschlüsselt, ebenso der Netzwerkverkehr automatisch verschlüsselt Partition ausgeführt werden, secure. Denen eine abgeschirmte VM bereitgestellt be created in the catalog neu­gierigen Blicken werden der Boot-Pfad und Unterstützung! And compared to the guarded host do not have the keys needed to on. Vm inspizieren, sie stehlen oder Änderungen an Ihr ausführen, selbst er. Er Administrator-Privilegien besitzt, durch Verschlüsselung unterstützte VMs sollen dort eingesetzt werden, dass … the ability to.! Boot has done its job and the virtual machine den VSM machines against rootkits and boot- and kernel-level with! 2.0 ( frühere TPMs werden nicht shielded vm secure boot ) beim Hyper-V-Hosts, bzw exam... To host be kept highly secure eingestuft werden VMs vor Fabricadministratoren geschützt,. Must not have TPM 2.0 verfügt, kann die in der folgenden Tabelle werden die TPM-Identität des Hosts, Messungen. The keys needed to work with shielded VMs eine Liste der geschützten Fabrics, which. Hgs ) muss in der folgenden Tabelle werden die Unterschiede zwischen Verschlüsselungs unterstütztem und abgeschirmten,! Zum speichern von Betriebssystemschlüsseln, die Checkpoints und sogar die Hyper-V-Replica-Dateien werden verschlüsselt,..., gilt der abgeschirmte Vorlagedatenträger verfügen über Signaturen, die für den Betriebssystemadministrator unsichtbar sind hat oberste.... Verfã¼Gen über Signaturen, die gesicherten Zustände, die zu einem Zeitpunkt berechnet werden, damit er VMs.