2. Базова конфігурація ESXi
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Базова конфігурація ESXi».
Рекомендацій: 11
VMware ESXi 8.0 v1.4.0
2.1 Хост повинен запускати програмне забезпечення, яке не досягло статусу “Кінець загальної підтримки” (Вручну)
Статус «Кінець загальної підтримки» (EOGS) вказує на наявність версії програмного забезпечення перевищив свій основний життєвий цикл підтримки, протягом якого VMware забезпечує нову безпеку патчі, виправлення помилок і технічна допомога. Коли продукт досягає цього статусу, VMware більше не випускає оновлення безпеки для цієї версії для клієнтів за межами подовжений договір підтримки. Таким чином, системи, які все ще працюють на програмному забезпеченні після його EOGS, є потенційно піддається невиправленим уразливостям та іншим ризикам безпеки.
Запуск програмного забезпечення поза його EOGS може поставити під загрозу цілісність, доступність і конфіденційність віртуальних середовищ. Зберігання версій програмного забезпечення VMware ESXi період підтримки гарантує, що організації мають доступ до найновішої системи безпеки виправлення, критичні оновлення та підтримка постачальників.
Нездатність оновлювати та підтримувати версії програмного забезпечення протягом періоду підтримки може призвести до можливі порушення безпеки, втрати даних і зниження ефективності роботи, як програмне забезпечення може стати несумісним із новішими технологіями та не підтримуватися нові загрози безпеці.
Перевірте налаштування в графічному веб-інтерфейсі:
- Виконайте vmware -vl або esxcli system version get
- Запишіть версію/збірку ESXi.
- Порівняйте встановлену версію з поточною матрицею життєвого циклу/підтримки Broadcom. Хост сумісний лише тоді, коли встановлений випуск ESXi залишається в загальній підтримці.
Щоб виправити цю рекомендацію, оновіть хост до випуску/збірки ESXi, яка все ще знаходиться в загальній підтримці Broadcom. Використовуйте vSphere Lifecycle Manager або підтримуваний постачальником образ, спочатку перевірте апаратну сумісність, переведіть хост у режим обслуговування, виправте/оновіть, перезавантажте та перевірте нову збірку. Сторінка 45 Тільки для внутрішнього використання – Загальні
📋 CIS Controls & Нормативні посилання
- https://knowledge.broadcom.com/external/article/322186
- https://knowledge.broadcom.com/external/article/308161
IG 1, 2, 3
IG 1, 2, 3
Page 46 Internal Only – General
2.2 На хості повинні бути встановлені всі оновлення програмного забезпечення (Вручну)
Сприяє своєчасне застосування оновлень відповідно до серйозності проблем значною мірою для стійкості навколишнього середовища. При застосуванні оновлень рекомендується спочатку оновити vCenter Server, якщо оновлення доступне, а потім продовжити оновлення ESXi. Ця послідовність забезпечує оновлення рівня керування перед оновленням хости ESXi. VMware публікує поради щодо вразливостей безпеки; для проактивних повідомлень підпишіться на список розсилки за адресою https://www.vmware.com/security/advisories.html
Проблеми в програмному забезпеченні, які впливають на конфіденційність, цілісність і/або доступність, можуть бути лише видалено за допомогою виправлення до версії, яка вирішує проблему. Експлуатують актори загрози відомі вразливості під час спроби отримати неавторизований доступ або підвищити привілеї на хості ESXi.
Щоб застосувати виправлення, сервери ESXi мають бути в режимі обслуговування. Це означає, що всі віртуальні машини повинні бути переміщено або вимкнено на сервері ESXi, тому процес виправлення може виникнути короткі відключення. Хости ESXi, які сумісні з Quick Boot, можуть мати значну здібність мінімізувати час перезапуску хоста. Випуски оновлення VMware vSphere додають і змінюють функціональність системи, тоді як Patch випуски лише вирішують проблеми.
Переконайтеся, що виправлення актуальні. Наступний фрагмент PowerCLI надасть список усіх встановлених патчів: Foreach ($VMHost in Get-VMHost ) { $EsxCli = Get-EsxCli -VMHost $VMHost -V2 $EsxCli.software.vib.list.invoke() | Select-Object @{N=”VMHost”;E={$VMHost}},* } Ви також можете керувати оновленнями за допомогою VMware Lifecycle Manager, розташованого в меню, Lifecycle Manager. Сторінка 47 Тільки для внутрішнього використання – Загальне
Використовуйте VMware Lifecycle Manager для оновлення та оновлення хостів, коли ESXi керується через VMware vCenter. Для автономних хостів використовуйте esxcli або методи, керовані API, для застосування оновлень. Використовуйте процес, щоб підтримувати хости ESXi в актуальному стані за допомогою виправлень відповідно до галузевих стандартів і внутрішніх інструкцій. Використовуйте VMware Lifecycle Manager, щоб тестувати та застосовувати виправлення, щойно вони стануть доступними.
📋 CIS Controls & Нормативні посилання
- https://docs.vmware.com/en/VMware-vSphere/8.0/vsphere-lifecycle-
- manager/GUID-74295A37-E8BB-4EB9-BFBA-47B78F0C570D.html
- https://kb.vmware.com/s/article/52477
IG 1, 2, 3
IG 1, 2, 3
Page 48 Internal Only – General
2.3 Хост повинен увімкнути безпечне завантаження (Вручну)
Увімкнення безпечного завантаження гарантує, що хост завантажує лише драйвери UEFI та програми з дійсними цифровими підписами, як частина стандарту мікропрограми UEFI. Це вимагає підтримки з боку BIOS сервера та завантажувача гіпервізора, і це вимагає усі модулі ядра ESXi, драйвери та VIB мають бути підписані VMware або довіреним партнером підлеглий.
Організації повинні ввімкнути безпечне завантаження, щоб підвищити безпеку своїх віртуальні середовища. Вимагання дійсних цифрових підписів для драйверів і програм UEFI зменшує ризик офлайн-атак, коли зловмисник може перенести інсталяцію ESXi перейдіть на хост незахищеного завантаження та завантажте його без виявлення. Цей контроль встановлює a довірений процес завантаження, що зменшує ризик неавторизованого доступу та підтримує цілісність хоста ESXi.
Якщо не ввімкнути Secure Boot Enforcement, хост ESXi піддається потенційній безпеці порушення. Без цього контролю зловмисник може скомпрометувати хост ESXi шляхом завантаження на хості незахищеного завантаження, минаючи засоби захисту ESXi. Це може призвести до несанкціонований доступ, витік даних і компрометація віртуального середовища цілісність. Увімкнення безпечного завантаження має вирішальне значення для підтримки безпеки та надійний хост ESXi, пом’якшуючи потенційний негативний вплив і захищаючи віртуальну інфраструктура.
Перевірте налаштування в графічному веб-інтерфейсі:
- Виконайте отримання шифрування параметрів системи esxcli
- Перегляньте стан застосування Secure Boot.
- Переконайтеся, що Secure Boot увімкнено на апаратному рівні за допомогою: /usr/lib/vmware/secureboot/bin/secureBoot.py -s
- Застосування Secure Boot повинно бути обов’язковим, якщо платформа це підтримує.
Виконайте такі дії в графічному інтерфейсі:
- Увімкніть UEFI Secure Boot і TPM 2.0 на обладнанні. Сторінка 49 Тільки для внутрішнього використання – Загальне
- Налаштуйте безпечну конфігурацію ESXi/примусове безпечне завантаження за допомогою підтримуваної процедури vSphere/ESXCLI для встановленої збірки ESXi 8.
- Перезавантажтеся, якщо потрібно, і переконайтеся, що параметри системи secureBoot.py -s і esxcli отримали шифрування
📋 CIS Controls & Нормативні посилання
- https://developer.broadcom.com/xapis/esxcli-command-
- reference/latest/namespace/esxcli_system.html
- https://developer.broadcom.com/tools/esxcli/latest/
- https://knowledge.broadcom.com/external/article/434297
IG 1, 2, 3
IG 1, 2, 3
Page 50 Internal Only – General 2.4 (Host image profile acceptance level must be PartnerSupported or higher (Automated) Profile Applicability
2.5 Хост має запускати лише двійкові файли, доставлені через підписаний VIB (Вручну)
Хост ESXi налаштований лише на виконання двійкових файлів, що походять від дійсного підписаного vSphere Installable Bundle (VIB) для підвищення цілісності системи. Ця міра запобігає спробам зловмисників використати попередньо зібрані набори інструментів на хості. Параметр керуючий така поведінка VMkernel.Boot.execInstalledOnly із рекомендованим значенням True.
Забезпечення виконання лише підписаних двійкових файлів значно зменшує ризик запуску шкідливий або неперевірений код, таким чином підвищуючи рівень безпеки хоста.
Цей контроль безпеки може перешкоджати встановленню або виконанню непідписаних сторонніх розробників програмне забезпечення, що потенційно може вплинути на гнучкість і розширюваність хосту ESXi середовище.
Перевірте налаштування в графічному веб-інтерфейсі:
- Виконати системні параметри esxcli список ядра -o execInstalledOnly
- Переконайтеся, що налаштоване/час виконання для execInstalledOnly значення TRUE.
- Перегляньте встановлені VIB за допомогою списку vib програмного забезпечення esxcli на наявність неавторизованих або непідписаних пакетів.
Виконайте такі дії в графічному інтерфейсі:
- Видаліть несанкціоновані VIB і встановіть параметр ядра за допомогою параметрів системи esxcli kernel set -s execInstalledOnly -v TRUE
- Перезавантажте, якщо команда або збірка вказує на необхідність перезавантаження
- Повторно запустіть команду перевірки та переконайтеся, що лише схвалені підписані двійкові файли, доставлені VIB, доступні для виконання. Сторінка 54 Тільки для внутрішнього використання – Загальне
📋 CIS Controls & Нормативні посилання
- https://developer.broadcom.com/xapis/esxcli-command-
- reference/latest/namespace/esxcli_software.html
- https://developer.broadcom.com/tools/esxcli/latest/
IG 1, 2, 3
IG 1, 2, 3
IG 1, 2, 3
IG 1, 2, 3
Page 55 Internal Only – General
2.6 Хост повинен мати надійні джерела синхронізації часу (Автоматизовано)
Забезпечення надійної синхронізації часу має вирішальне значення, оскільки різні функції, такі як криптографія, Журнал аудиту, операції кластера та реагування на інциденти/криміналістика сильно залежать за синхронізованим часом. Для досягнення рекомендовано використовувати принаймні чотири джерела NTP надійна синхронізація часу. Крім того, PTP може бути використаний для субмілісекунди точність часу з NTP, налаштованим як резервний для підтримки синхронізації часу стійкість у разі збою основного сервера.
Надійна синхронізація часу підтримує точний аудит, криптографічну цілісність, кластер операції та ефективне реагування на інциденти/криміналістика. Наявність кількох джерел часу підвищує надійність і точність синхронізації часу, що є основним для безпечна та ефективна робота системи.
Неадекватна синхронізація часу може призвести до помилкових системних журналів, скомпрометованих криптографічні операції, неефективні операції кластера та утруднене реагування на інциденти зусилля. Стійкість і точність синхронізації часу життєво важливі для підтримки операційна цілісність і безпека.
Щоб підтвердити, що синхронізацію NTP увімкнено та правильно налаштовано, виконайте такі дії у веб-клієнті vSphere:
- Виберіть хост
- Натисніть «Налаштувати», потім розгорніть «Система», а потім виберіть «Конфігурація часу».
- Переконайтеся, що для параметра Синхронізація часу встановлено значення Автоматично
- Переконайтеся, що для NTP-клієнта встановлено значення Enabled
- Переконайтеся, що стан служби NTP працює
- Переконайтеся, що встановлено відповідні сервери NTP. Крім того, можна використати наступну команду PowerCLI: Page 56 Лише для внутрішнього використання – загальні # Перелік параметрів NTP для всіх хостів Get-VMHost | Виберіть назву, @{N=”NTPSetting”;E={$_ | Get-VMHostNtpServer}}
Щоб увімкнути та належним чином налаштувати синхронізацію NTP, виконайте такі дії у веб-клієнті vSphere:
- Виберіть хост
- Натисніть «Налаштувати», потім розгорніть «Система», а потім виберіть «Конфігурація часу».
- Виберіть «Редагувати» біля «Протоколу мережевого часу».
- Виберіть поле «Увімкнути», а потім заповніть відповідні сервери NTP.
- у розкривному списку «Політика запуску служби NTP» виберіть «Запуск і зупинка з хостом».
- Натисніть OK. Щоб реалізувати рекомендований стан конфігурації, виконайте таку команду PowerCLI: # Установіть параметри NTP для всіх хостів # Якщо використовується внутрішній NTP-сервер, замініть pool.ntp.org на # IP-адресу або повне доменне ім’я (FQDN) внутрішнього NTP-сервера $NTPServers = “pool.ntp.org”, “pool2.ntp.org” Get-VMHost | Add-VmHostNtpServer $NTPServers
📋 CIS Controls & Нормативні посилання
- https://docs.vmware.com/en/VMware-vSphere/8.0/vsphere-security/GUID-
- 2553C86E-7981-4F79-B9FC-A6CECA52F6CC.html
- Additional Information:
- Notes: Verify the NTP firewall ports are open. It is recommended to synchronize the
- ESXi clock with a time server that is located on the management network rather than
- directly with a time server on a public network. This time server can then synchronize
- with a public source through a strictly controlled network connection with a firewall.
IG 1, 2
Page 57 Internal Only – General Controls Version Control IG 1 IG 2 IG 3 v7 6.1 Utilize Three Synchronized Time Sources Use at least three synchronized time sources from which all servers and network devices retrieve time information on a regular basis so that timestamps in logs are consistent. ● ●
Page 58 Internal Only – General
2.7 На хості повинні бути ввімкнені та запущені служби синхронізації часу (Вручну)
Переконайтеся, що на хості ввімкнено та працює якомога більше служб синхронізації часу такі функції, як криптографія, журнал аудиту, операції кластера та інциденти відповідь/криміналістика залежить від синхронізованого часу. Повинні бути такі служби, як NTP або PTP налаштований для запуску з хостом і продовжує працювати для підтримки синхронізації часу.
Наявність точної синхронізації часу має вирішальне значення для правильної роботи та аудиту система. Це допоможе у реагуванні на інциденти, криміналістиці та гарантує це криптографічні функції працюють правильно.
Недотримання синхронізації часу може призвести до неточного журналювання, що може ускладнити реагування на інциденти та криміналістичний аналіз. Це також може вплинути на функціонування кластерні операції та криптографічні протоколи.
Перевірте налаштування в графічному веб-інтерфейсі:
- Виконати (де доступно) esxcli system ntp get і esxcli system ntp config get
- Переконайтеся, що службу синхронізації часу ввімкнено та налаштовано.
- Перевірте стан служби NTP за допомогою: список системних процесів esxcli | grep -i ntp або клієнт vSphere у розділі Хост > Налаштувати > Система > Конфігурація часу.
Виконайте такі дії в графічному інтерфейсі:
- Налаштуйте затверджені сервери NTP
- Якщо потрібно, увімкніть набір правил брандмауера клієнта NTP
- Налаштуйте політику запуску служби NTP на запуск і зупинку з хостом і запустіть службу. Приклад: esxcli system ntp set –enabled true після налаштування затверджених серверів. Перевірте синхронізацію після виправлення. Сторінка 59 Тільки для внутрішнього використання – Загальне
📋 CIS Controls & Нормативні посилання
- https://developer.broadcom.com/xapis/esxcli-command-
- reference/latest/namespace/esxcli_system.html
- https://developer.broadcom.com/tools/esxcli/latest/
IG 1, 2
IG 1, 2
Page 60 Internal Only – General
2.8 Хост повинен вимагати шифрування конфігурації на основі TPM (Вручну)
Хост повинен застосувати шифрування конфігурації на основі TPM, щоб захистити свою конфігурацію файли, зокрема в каталозі /etc/ або інших просторах імен. З vSphere 7.0 Update 2 і далі файли конфігурації, що архівуються, шифруються за допомогою довіреної платформи Модуль (TPM) для «запечатування» конфігурації на хості, тим самим підвищуючи безпеку офлайн-атаки. Це шифрування після ввімкнення є незворотним і використовує фізичний TPM присутній під час встановлення або оновлення.
Впровадження шифрування конфігурації на основі TPM значно підвищує безпеку захист конфігураційних файлів від несанкціонованого доступу та змін. Цей захід є має вирішальне значення для захисту цілісності конфігурацій хоста та запобігання потенційним офлайн-атаки.
Увімкнення шифрування конфігурації на основі TPM разом із Secure Boot робить традиційним методи відновлення пароля root неефективні. Важливо забезпечити постійний доступ до облікових записів адміністратора на ESXi, щоб уникнути проблем із доступом.
Перевірте налаштування в графічному веб-інтерфейсі:
- Виконайте отримання шифрування параметрів системи esxcli
- Переконайтеся, що хост використовує шифрування конфігурації з TPM, а не незахищений режим конфігурації
- Переконайтеся, що TPM 2.0 справний за допомогою esxcli hardware trustedboot get
Виконайте такі дії в графічному інтерфейсі:
- Переконайтеся, що TPM 2.0 і Secure Boot увімкнено.
- Зробіть резервну копію ключа відновлення ESXi
- Налаштуйте хост на використання шифрування конфігурації за допомогою TPM за допомогою підтримуваної процедури безпечного налаштування ESXi.
- Перезавантажте, якщо потрібно, за допомогою команди reboot
- Повторно запустіть шифрування параметрів системи esxcli
📋 CIS Controls & Нормативні посилання
Page 61 Internal Only – General 2. https://developer.broadcom.com/xapis/esxcli-command- reference/latest/namespace/esxcli_system.html 3. https://developer.broadcom.com/tools/esxcli/latest/
IG 1, 2
IG 1
Page 62 Internal Only – General
2.9 Хост не повинен пригнічувати попередження про непомітні вразливості гіперпотоків (Вручну)
Обов’язково зберігати попередження про безпеку гіперпотоковості, оскільки вони вказують на відсутність пом’якшень Уразливості ЦП. Параметр, який регулює таку поведінку UserVars.SuppressHyperthreadWarning із рекомендованим значенням 0.
Збереження цих попереджень гарантує, що потенційні вразливості ЦП не будуть пропущені, просування проактивного підходу до вирішення проблеми безпеки, пов’язаної з обладнанням побоювання.
Цей контроль безпеки не пов’язаний із функціональним впливом, однак, ігнорування попередження про гіперпотоковість потенційно можуть приховати наявні вразливості ЦП під загрозою безпеці системи.
Перевірте налаштування в графічному веб-інтерфейсі:
- Використовуйте адміністративний сеанс PowerCLI
- Виконайте Get-VMHost | Get-AdvancedSetting -Name UserVars.SuppressHyperthreadWarning
- Переконайтеся, що значення попередження-придушення дорівнює 0
Виконайте такі дії в графічному інтерфейсі:
- Використовуйте адміністративний сеанс PowerCLI: виконайте Get-VMHost | Get-AdvancedSetting -Name UserVars.SuppressHyperthreadWarning | Set-AdvancedSetting -Value 0 -Confirm:$false
📋 CIS Controls & Нормативні посилання
- https://developer.broadcom.com/powercli/latest/vmware.vimautomation.core/com
- mands/get-advancedsetting/
- https://developer.broadcom.com/powercli/latest/vmware.vimautomation.core/com
- mands/set-advancedsetting
Page 63 Internal Only – General
IG 1, 2
IG 1, 2
IG 1, 2
Page 64 Internal Only – General
2.10 Хост має обмежити прозорий спільний доступ до сторінок між віртуальними машинами (Автоматизовано)
Transparent Page Sharing (TPS) допомагає оптимізувати використання пам’яті серед віртуальних машин, але за певних обставин може бути використаний для доступу до даних на суміжних віртуальних машин несанкціоновано. Налаштувавши параметр Mem.ShareForceSalting, TPS між віртуальними машинами обмежено, що покращує ізоляцію та безпеку. Параметр керуючий така поведінка є Mem.ShareForceSalting із рекомендованим значенням 2.
Обмеження TPS між віртуальними машинами має вирішальне значення для запобігання можливому несанкціонованому доступу до даних, забезпечення додаткового рівня ізоляції та безпеки між віртуальними машинами незамінний, особливо в середовищі з кількома орендарями.
Немає помітного функціонального впливу, що вказує на те, що обмеження TPS між віртуальними машинами не має негативно вплинути на продуктивність або роботу системи, підвищуючи безпеку проти потенційних зловживань доступом до даних.
З веб-клієнта vSphere:
- Виберіть хост
- Натисніть «Налаштувати», розгорніть «Система», а потім виберіть «Додаткові параметри системи».
- Натисніть «Редагувати», а потім «Фільтр для Mem.ShareForceSalting».
- Переконайтеся, що для нього встановлено значення 2. Крім того, можна використати наступну команду PowerCLI: Get-VMHost | Get-AdvancedSetting -Name Mem.ShareForceSalting
З веб-клієнта vSphere:
- Виберіть хост
- Натисніть «Налаштувати», розгорніть «Система», а потім виберіть «Додаткові параметри системи».
- Натисніть «Редагувати», а потім «Фільтр для Mem.ShareForceSalting».
- Встановіть значення 2.
- Натисніть OK. Сторінка 65 Лише для внутрішнього використання – загальне Крім того, можна використати таку команду PowerCLI: Get-VMHost | Get-AdvancedSetting -Name Mem.ShareForceSalting | Set- AdvancedSetting -Value 2
📋 CIS Controls & Нормативні посилання
- https://kb.vmware.com/s/article/2097593
- https://blogs.vmware.com/vsphere/2015/01/assess-the-performance-impact-of-
- the-security-change-in-transparent-page-sharing-behaviour.html
IG 1, 2, 3
IG 1, 2, 3
Page 66 Internal Only – General
2.11 Хост повинен використовувати достатню ентропію для криптографічних операцій (Вручну)
Починаючи з vSphere 8.0, ESXi розширив свою реалізацію ентропії для узгодження з Сертифікати FIPS 140-3 і EAL4, що забезпечує надійну основу для криптографії операції. Параметри завантаження ядра диктують активацію джерел ентропії на ESXi хост. Параметр, який регулює цю поведінку, disableHwrng = FALSE і EntropySources = 0.
Використання адекватної ентропії має вирішальне значення для забезпечення надійності криптографії операції.
Немає жодного функціонального впливу.
Перевірте налаштування в графічному веб-інтерфейсі:
- Перевірте перший контроль ентропії за допомогою: esxcli system settings kernel list -o disableHwrng
- Переконайтеся, що параметр disableHwrng відсутній або має значення FALSE.
- Апаратне забезпечення має підтримувати необхідну інструкцію випадкових чисел для бажаного шляху ентропії FIPS.
Виконайте такі дії в графічному інтерфейсі:
- Встановіть параметр ядра за допомогою: esxcli system settings kernel set -s disableHwrng -v FALSE
- Перезавантажте, якщо цього вимагає хост/збірка, і переконайтеся, що налаштовані значення та значення часу виконання є FALSE.
📋 CIS Controls & Нормативні посилання
- https://developer.broadcom.com/xapis/esxcli-command-
- reference/latest/namespace/esxcli_system.html
- https://developer.broadcom.com/tools/esxcli/latest/
Page 67 Internal Only – General
IG 1, 2, 3
IG 1, 2, 3
Page 68 Internal Only – General
2.12 Хост повинен увімкнути знищення змінного ключа (Вручну)
За замовчуванням ESXi гарантує, що сторінки, виділені для віртуальних машин (VM), призначені для користувача програми та потоки ядра обнуляються під час розподілу, щоб запобігти розкриття конфіденційних даних, таких як криптографічні ключі, іншим клієнтам. Проте ці ключі може залишатися в пам’яті хоста протягом тривалого періоду, якщо пам’ять не використовуватиметься повторно. The Параметр Mem.MemEagerZero можна налаштувати для примусового обнулення сторінки пам’яті userworld і гостьової пам’яті, коли процес userworld або гость виходить, і для потоки ядра, простори пам’яті, що містять ключі, обнуляються, як тільки секрет ні більше потрібно. Ця практика відповідає профілю захисту віртуалізації NIAP і Вимоги розширеного пакета віртуалізації сервера щодо обнулення пам’яті, які можуть містити криптографічні ключі після виходу з процесу. Параметр, який регулює таку поведінку Mem.MemEagerZero з рекомендованим значенням 1.
Увімкнення знищення змінного ключа за допомогою параметра Mem.MemEagerZero покращує положення безпеки шляхом забезпечення конфіденційної інформації, такої як криптографічні ключі не залишаються в системній пам’яті залишками, які можуть бути використані зловмисниками сутності. Ця конфігурація відповідає вказівкам віртуалізації NIAP Профіль захисту та розширений пакет віртуалізації серверів із зазначенням його критичності в підтримка безпечного віртуалізованого середовища.
Активація знищення змінного ключа за допомогою параметра Mem.MemEagerZero призводить до додатковий час завершення роботи віртуальних машин, відповідний кількості виділена пам’ять. Хоча це може подовжити час простою під час перезавантаження чи міграції, компроміс забезпечує вищий рівень безпеки, запобігаючи потенційному виявленню конфіденційних даних, дотримання вимог відповідності та сприяння ефективному управління криптографічними матеріалами у віртуалізованому середовищі.
Перевірте налаштування в графічному веб-інтерфейсі:
- Використовуйте адміністративний сеанс PowerCLI.
- Виконати: Get-VMHost | Get-AdvancedSetting -Name Mem.MemEagerZero
- Переконайтеся, що значення дорівнює 1. Сторінка 69 Тільки для внутрішнього використання – загальне
Виконайте такі дії в графічному інтерфейсі:
- Використовуйте адміністративний сеанс PowerCLI.
- Виконати: Get-VMHost | Get-AdvancedSetting -Name Mem.MemEagerZero | Set- AdvancedSetting -Value 1 -Confirm:$false
📋 CIS Controls & Нормативні посилання
- https://developer.broadcom.com/xapis/esxcli-command-
- reference/latest/namespace/esxcli_system.html
- https://developer.broadcom.com/tools/esxcli/latest/
- https://developer.broadcom.com/powercli/latest/vmware.vimautomation.core/com
- mands/get-advancedsetting/
IG 1, 2, 3
IG 1, 2, 3
Page 70 Internal Only – General 3 Management This section contains recommendations related to ESXi access management.
Page 71 Internal Only – General
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.