¿Cómo deshabilitar los archivos de intercambio en ESXi?

Estamos ejecutando algunas máquinas virtuales Solaris / Linux en ESXi que contienen datos cifrados muy confidenciales que eventualmente se descifran según sea necesario en la memoria.

Todo está bien, excepto los archivos de intercambio de ESXi que podrían almacenar algunos de los datos descifrados, lo más importante es que estos archivos no se eliminarán en caso de un bloqueo del host.

¿Hay alguna forma de deshabilitar estos archivos por completo?

Ya intentamos reservar toda la RAM asignada a las máquinas virtuales por máquina virtual, pero los archivos aún se crean.

¿Qué se necesitaría para tener el intercambio de ESXi completamente deshabilitado para todo el host o solo para algunas máquinas virtuales?

Esta es una pregunta interesante. Nunca he pensado en la seguridad de los datos a nivel de hipervisor ... por lo general, las políticas de seguridad y el fortalecimiento giran en torno a tareas específicas del sistema operativo (limitación de demonios, puertos, desactivación de archivos principales, opciones de montaje del sistema de archivos, etc.)

Pero después de una investigación rápida (y ejecutar stringscontra archivos activos VMWare .vswp) muestra que definitivamente es posible extraer datos de archivos .vswp que residen en un almacén de datos VMWare. Este enlace ayuda a explicar el ciclo de vida de dichos archivos.

En su caso, creo que su enfoque estará determinado por la política y los requisitos de seguridad. En mi experiencia en finanzas y en el manejo de auditorías, creo que un enfoque aceptado sería limitar / asegurar el acceso al servidor host. Recuerde que, de manera predeterminada, su host ESXi no tiene SSH o acceso a la consola habilitado. Habilitar esas funciones genera un evento / alerta en vCenter que debe anularse manualmente , por lo que se supone que auditar el acceso es la mejor manera de controlar el acceso a esta información.

Si hay inquietudes acerca de quién puede tener acceso al servidor, puede que no haya una solución técnica a un problema administrativo. Sin embargo, comprobaré algunas otras fuentes para ver si hay una manera de limitar el uso de archivos .vswp.

--editar--

Puede reservar toda la RAM de invitado. No especifica qué versión de VMWare está utilizando, pero en mi instalación 5.1, hay una opción para reservar toda la memoria del invitado . Al habilitar esta opción, se crea un archivo .vswp de longitud cero, en lugar de uno igual al tamaño de RAM asignado a la máquina virtual. No preste atención al archivo vmx - *. Vswp. Eso es nuevo para ESXi 5.x , y está no relacionado con el funcionamiento de la memoria del sistema de presión de los huéspedes (que es para VMX montón de proceso, periféricos invitados y agentes de administración). Además, los archivos vmx - *. Vswp se pueden deshabilitar estableciendo sched.swap.vmxSwapEnableden FALSE.

Creo que esto te dará lo que estás pidiendo.

Sin reserva de memoria (predeterminado):

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody  3221225472 Dec 23 13:31 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:31 vmx-Test_Bed-2907257217-1.vswp

Con la reserva de memoria bloqueada:

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody           0 Dec 23 13:38 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:38 vmx-Test_Bed-2907257217-1.vswp

Parece que estás tratando de resolver el problema mal. Intentar detener el intercambio de la máquina no garantiza que los datos confidenciales no lleguen al disco. ¿Qué pasa con los volcados de núcleo, etc.? Una vez que tenga un dispositivo grabable que haya estado en un sistema que contenga datos confidenciales, no debe considerarse "limpio" y debe destruirse cuando finalice su uso.

Si sus datos son tan confidenciales, debe proteger físicamente el sistema. Toda persona que necesite acceder al sistema debe ser examinada de manera apropiada y autorizada específicamente para hacerlo. Sus actividades deben ser autorizadas, registradas y supervisadas, etc.

El escenario que describe se maneja fácilmente. Debe tener procedimientos para destruir los dispositivos que contienen datos confidenciales proporcionales a la sensibilidad de los datos. Simplemente no deje que el dispositivo salga de su entorno seguro a menos que esté firmado por una autoridad apropiada en cuyo punto deja de ser su problema.

Debería ser suficiente cifrar los archivos de intercambio de máquinas virtuales que crea ESXi. Intente colocar los archivos de intercambio en un almacén de datos que esté cifrado, como una SAN de cifrado o un disco de autocifrado.