24、安全虚拟化：SELinux 与 libvirt 的协同防护

安全虚拟化：SELinux 与 libvirt 的协同防护

1. 虚拟化风险概述

虚拟化技术虽然带来了诸多便利，但也伴随着一系列风险。当询问架构师或其他风险意识较强的人员关于虚拟化的风险时，他们通常会提及虚拟机蔓延、安全或不安全 API 相关的挑战、虚拟化服务的高复杂性等问题。

其中，与 SELinux 密切相关的显著风险包括：
- 虚拟机内的数据敏感性 ：当多个虚拟机共同托管时，可能存在一个客户机通过虚拟化软件漏洞、管理程序的网络功能或侧信道攻击等方式访问另一个虚拟机敏感数据的风险。SELinux 可通过敏感性范围控制数据敏感性，确保不同客户机以不同的敏感性范围运行，保障虚拟化层的数据安全。
- 离线客户机镜像的安全性 ：管理员或配置错误的虚拟机可能会访问其他客户机镜像。SELinux 可通过正确标记客户机镜像，并确保离线虚拟机镜像与在线虚拟机镜像类型不同来防止此类情况发生。
- 系统资源耗尽 ：虚拟机可能会耗尽系统资源。在 Linux 系统中，许多资源可通过控制组（cgroups）子系统进行控制。由于该子系统通过系统调用和常规文件 API 管理，SELinux 可进一步控制对该功能的访问，确保如 libvirt 维护的 cgroups 仅由 libvirt 控制。
- 突破攻击 ：攻击者可能利用管理程序中的漏洞尝试访问主机操作系统。SELinux 的类型强制机制可缓解此类攻击，因为管理程序并不需要对主机上的所有内容拥有完全的管理访问权限。
- 管理程序访问授权