ESXi'deki takas dosyaları nasıl devre dışı bırakılır?

ESXi'de, bellekte gerektiği gibi şifresi çözülen çok hassas şifrelenmiş veriler içeren birkaç Solaris / Linux VM'si çalıştırıyoruz.

Şifrelenmemiş verilerin bir kısmını potansiyel olarak depolayabilen ESXi takas dosyaları haricinde her şey yolunda, pastanın üstündeki kiraz, bu dosyaların bir ana bilgisayar çökmesi durumunda kaldırılmayacağıdır.

Bu dosyaları tamamen devre dışı bırakmanın bir yolu var mı?

Tahsis edilen RAM'in tamamını VM başına VM başına ayırmayı denedik, ancak dosyalar hala oluşturuluyor.

ESXi swapping'in tüm ana bilgisayar veya yalnızca bazı sanal makineler için tamamen devre dışı bırakılması ne kadar sürer?

Bu ilginç bir soru. Hiper yönetici düzeyinde veri güvenliğini hiç düşünmedim ... genellikle güvenlik politikaları ve sertleştirme, işletim sistemine özgü görevler etrafında döner (cinleri, bağlantı noktalarını sınırlamak, çekirdek dosyaları devre dışı bırakmak, dosya sistemi bağlama seçenekleri vb.)

Ancak bazı hızlı araştırmalardan sonra (ve stringsaktif VMWare .vswp dosyalarına karşı çalışarak), bir VMWare veri deposunda bulunan .vswp dosyalarından veri ayıklamanın kesinlikle mümkün olduğunu gösterir. Bu bağlantı , bu tür dosyaların yaşam döngüsünü açıklamaya yardımcı olur.

Sizin durumunuzda, yaklaşımınızın güvenlik politikası ve gereksinimleri belirleneceğini düşünüyorum. Finans ve denetimlerle ilgili deneyimlerime göre, kabul edilen bir yaklaşımın ana sunucuya erişimi sınırlamak / güvenli hale getirmek olacağını düşünüyorum. Varsayılan olarak, ESXi ana bilgisayarınızda SSH veya konsol erişiminin etkin olmadığını unutmayın. Bu özelliklerin etkinleştirilmesi, vCenter'da manuel olarak geçersiz kılınması gereken bir olay / uyarı atar , bu nedenle varsayım, erişimin denetlenmesi, bu bilgilere erişimi kontrol etmenin en iyi yoludur.

Sunucuya kimlerin erişebileceği konusunda endişeler varsa, idari bir soruna teknik bir çözüm olmayabilir. Yine de, .vswp dosyalarının kullanımını sınırlamanın bir yolu olup olmadığını görmek için başka kaynakları kontrol edeceğim.

--Düzenle--

Tüm konuk RAM'lerini rezerve edebilirsiniz. Hangi VMWare sürümünü kullandığınızı belirtmezsiniz, ancak 5.1 kurulumumda tüm konuk belleğini ayırma seçeneği vardır . Bu seçeneğin etkinleştirilmesi , sanal makineye ayrılan RAM boyutuna eşit olmak yerine sıfır uzunlukta bir .vswp dosyası oluşturur . Vmx - *. Vswp dosyasına dikkat etmeyin. Yani ESXi 5.x için yeni ve var olmayan ilişkin konukların işletim sistemi bellek baskısı (o VMX süreç yığın, misafir çevre birimleri ve yönetim aracıları için var). Buna ek olarak, VMX -. * Vswp dosyaları ayarlayarak devre dışı bırakılabilir sched.swap.vmxSwapEnablediçin FALSE.

Sanırım bu istediğini verecek.

Bellek rezervasyonu yok (varsayılan):

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody  3221225472 Dec 23 13:31 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:31 vmx-Test_Bed-2907257217-1.vswp

Bellek ayırma kilitliyken:

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody           0 Dec 23 13:38 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:38 vmx-Test_Bed-2907257217-1.vswp

Sorunu yanlış çözmeye çalıştığınız anlaşılıyor. Makine değiştirmeyi durdurmaya çalışmak hassas verilerin diske girmeyeceğinin garantisi değildir. Çekirdek dökümler vb. Hassas veriler içeren bir sistemde yazılabilir bir cihaza sahip olduğunuzda, 'temiz' olarak düşünülmemeli ve kullanımı sona erdiğinde imha edilmelidir.

Verileriniz o kadar hassassa, sistemi fiziksel olarak güvence altına almalısınız. Sisteme erişmesi gereken herkesin uygun şekilde denetlenmesi ve özel olarak yetkilendirilmesi gerekir. Faaliyetlerinin yetkilendirilmesi, kaydedilmesi ve denetlenmesi gerekir.

Açıkladığınız senaryo kolayca yönetilir. Verilerin hassasiyeti ile orantılı hassas veriler içeren cihazları imha etmek için prosedürleriniz olmalıdır. Sorununuzu ortadan kaldırmak için uygun bir makam tarafından imzalanmadığı sürece cihazın güvenli ortamınızdan çıkmasına izin vermezsiniz.

ESXi'nin oluşturduğu sanal makine değiş tokuş dosyalarını şifrelemek yeterli olmalıdır. Takas dosyalarını, şifreleme SAN veya kendi kendini şifreleme diski gibi şifreli bir veri deposuna koymayı deneyin .