Làm cách nào để tắt tập tin hoán đổi trong ESXi?

Chúng tôi đang chạy một số máy ảo Solaris / Linux trên ESXi có chứa dữ liệu được mã hóa rất nhạy cảm, cuối cùng sẽ được giải mã theo yêu cầu trong bộ nhớ.

Mọi thứ đều ổn, ngoại trừ các tệp hoán đổi ESXi có khả năng lưu trữ một số dữ liệu được giải mã, anh đào trên đỉnh bánh là những tệp này sẽ không bị xóa trong trường hợp máy chủ bị sập.

Có cách nào để vô hiệu hóa hoàn toàn các tập tin này?

Chúng tôi đã thử bảo lưu toàn bộ RAM được phân bổ cho các máy ảo trên cơ sở từng máy ảo, nhưng các tệp vẫn được tạo.

Điều gì sẽ khiến ESXi hoán đổi hoàn toàn bị vô hiệu hóa cho toàn bộ máy chủ hoặc chỉ cho một số máy ảo?

Đây là một câu hỏi thú vị. Tôi chưa bao giờ nghĩ về bảo mật dữ liệu ở cấp độ ảo hóa ... thường là các chính sách bảo mật và tăng cường xoay quanh các tác vụ dành riêng cho hệ điều hành (giới hạn trình nền, cổng, vô hiệu hóa các tệp lõi, tùy chọn gắn kết hệ thống tệp, v.v.)

Nhưng sau một số nghiên cứu nhanh (và chạy stringsvới các tệp VMWare .vswp đang hoạt động) cho thấy rằng chắc chắn có thể trích xuất dữ liệu từ các tệp .vswp nằm trên kho dữ liệu VMWare. Liên kết này giúp giải thích vòng đời của các tệp như vậy.

Trong trường hợp của bạn, tôi nghĩ rằng cách tiếp cận của bạn sẽ được xác định chính sách và yêu cầu bảo mật. Theo kinh nghiệm của tôi về tài chính và xử lý kiểm toán, tôi nghĩ rằng cách tiếp cận được chấp nhận sẽ là hạn chế / truy cập an toàn vào máy chủ. Hãy nhớ lại rằng theo mặc định, máy chủ ESXi của bạn không kích hoạt quyền truy cập SSH hoặc bảng điều khiển. Việc kích hoạt các tính năng này sẽ ném một sự kiện / cảnh báo trong vCenter cần được ghi đè thủ công , vì vậy giả định rằng kiểm tra truy cập là cách tốt nhất để kiểm soát quyền truy cập vào thông tin này.

Nếu có lo ngại về việc ai có thể truy cập vào máy chủ, có thể không có giải pháp kỹ thuật cho vấn đề quản trị. Tuy nhiên, tôi sẽ kiểm tra một số nguồn khác để xem có cách nào để hạn chế sử dụng tệp .vswp không.

--biên tập--

Bạn có thể dự trữ tất cả RAM khách. Bạn không chỉ định phiên bản VMWare nào bạn đang sử dụng, nhưng trong bản cài đặt 5.1 của tôi, có một tùy chọn để Dự trữ tất cả bộ nhớ của khách . Bật tùy chọn này sẽ tạo tệp .vswp có độ dài bằng không , thay vì tệp bằng với kích thước RAM được phân bổ cho máy ảo. Không chú ý đến tệp vmx - *. Vswp. Điều đó mới đối với ESXi 5.x và nó không liên quan đến áp lực bộ nhớ của hệ điều hành khách (nó dành cho đống quá trình VMX, các thiết bị ngoại vi khách và các tác nhân quản lý). Ngoài ra, các tập tin vmx - *. Vswp có thể bị vô hiệu hóa bằng cách cài đặt sched.swap.vmxSwapEnabledthành FALSE.

Tôi nghĩ rằng điều này sẽ cung cấp cho bạn những gì bạn đang yêu cầu.

Không đặt trước bộ nhớ (mặc định):

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody  3221225472 Dec 23 13:31 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:31 vmx-Test_Bed-2907257217-1.vswp

Với bộ nhớ đặt trước bị khóa:

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody           0 Dec 23 13:38 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:38 vmx-Test_Bed-2907257217-1.vswp

Có vẻ như bạn đang cố gắng giải quyết vấn đề sai. Cố gắng ngừng trao đổi máy không đảm bảo rằng dữ liệu nhạy cảm sẽ không nhận được trên đĩa. Những gì về bãi lõi vv? Khi bạn có một thiết bị có thể ghi được trong một hệ thống chứa dữ liệu nhạy cảm, nó không nên được coi là 'sạch' và nên bị hủy khi sử dụng hết.

Nếu dữ liệu của bạn nhạy cảm thì bạn nên bảo mật hệ thống. Mọi người có nhu cầu truy cập hệ thống nên được xem xét một cách thích hợp và được ủy quyền cụ thể để làm như vậy. Các hoạt động của họ cần phải được ủy quyền, đăng nhập và giám sát, vv

Các kịch bản mà bạn mô tả có thể dễ dàng quản lý. Bạn nên có quy trình phá hủy các thiết bị chứa dữ liệu nhạy cảm tương xứng với độ nhạy của dữ liệu. Bạn chỉ đơn giản là không để thiết bị ra khỏi môi trường an toàn của mình trừ khi thiết bị được ký bởi một cơ quan thích hợp tại thời điểm nó không còn là vấn đề của bạn.

Nó phải đủ để mã hóa các tệp hoán đổi máy ảo mà ESXi tạo ra. Hãy thử đặt các tệp hoán đổi trên kho dữ liệu được mã hóa, chẳng hạn như SAN mã hóa hoặc đĩa tự mã hóa.