Video-Tipp #68: VMs in Windows Server 2019/2022 schützen 7 Security-Tipps für Hyper-V-VMs

Um VMs sicher zu betreiben, reichen als Grundlage oft die Bordmittel in Windows Server 2019/2022 aus. In diesem Video-Tipp zeigen wir, mit welchen Tricks Admins die Sicherheit von VMs deutlich verbessern können, und wo die Einstellungen zu finden sind.

Bereits bei der Erstellung von VMs und direkt nach der Bereitstellung ist es sinnvoll verschiedene Optionen anzupassen, um sicherzustellen, dass die VM so sicher wie nur möglich betrieben werden kann. Einige der Optionen beginnen bereits bei der Erstellung und lassen sich nach der Erstellung nicht mehr rückgängig machen. Daher ist es wichtig auch beim Erstellen von VMs schon die richtigen Einstellungen zu setzen. Wir gehen in diesem Beitrag auch auf die Möglichkeiten die, die Windows Server 2025 in diesem Bereich bietet. Hier sind viele Einstellungen sehr ähnlich zu Windows Server 2022, allerdings setzt Windows Server 2025 auf den Kernel von Windows 11.

In diesem Video-Tipp und der Bildergalerie zeigen wir, welche Einstellungen Hyper-V-VMs in Windows Server 2019/2022 deutlich sicherer machen.

Bildergalerie

Bildergalerie mit 9 Bildern

Tipp 1: Generation 2-VMs bringen mehr Sicherheit: Secure Boot, TPM, UEFI und mehr

Beim erstellen von neuen VMs kann ausgewählt werden, ob diese als Generation 1 oder Generation 2 erstellt werden soll. Nach der Erstellung ist keine Änderung mehr möglich. Generation 2-VMs bieten mehr Sicherheitsoptionen, zum Beispiel Secure Boot, bei dem bereits vor dem Start des Betriebssystems sichergestellt wird, dass keine Malware, nicht autorisierte Firmware, Treiber oder andere Software mitgestartet wird. Secure Boot lässt nur signierte Software starten.

Bei Generation 2-VMs ist Secure Boot automatisch aktiviert und sollte auch aktiviert bleiben. Gibt es beim Starten Probleme lässt sich Secure Boot abschalten. Das ist allerdings nicht zu empfehlen. Secure Boot lässt sich auch mit Linux-VMs nutzen. Dazu stellt Microsoft in den Einstellungen eigene Optionen zur Verfügung. Aktuelle Windows-Versionen unterstützen alle die Erstellung als Generation 2-VM. Dazu kommen aktuelle Linux- und FreeBSD-Versionen.

Tipp 2: TPM für Generation 2-VMs nutzen

Generation 2-VMs unterstützen noch das Hinzufügen eines virtuellen TPM-Chips. Das sollte auf Windows-Servern und auch auf Arbeitsstationen auf jeden Fall erfolgen, bei Windows 11 ist das sogar Pflicht. Mit dem TPM kann in der VM auf Bitlocker-Laufwerks­verschlüsselung gesetzt werden. Darüber hinaus nutzen interne Sicherheitsoptionen in Windows 10/11 und Windows Server 2019/2022 direkt Funktionen aus dem TPM um das Betriebssystem und dessen Daten zu schützen. Beispiele dafür sind Credential Guard oder die Integritätsbestätigung. Mit Windows Server 2025 werden diese Funktionen noch erweitert. Außerdem kann bei der Verwendung eines TPM der gespeicherte Status und die Livemigration von VMs verschlüsselt werden. Idealerweise sollte daher das TPM direkt nach der Erstellung einer neuen VPM hinzugefügt werden.

Tipp 3: Verschlüsselung des Migrationsverkehrs und des gespeicherten Zustands von VM

Damit sichergestellt ist, dass Angreifer keinen Zugriff auf die Daten einer VM haben, während diese mit der Livemigration auf einen anderen Server verschoben wird und auch der gespeicherte Zustand eines Servers nicht von Unbefugten ausgelesen werden kann, sollte die Option „Zustand und Migrationsdatenverkehr des virtuellen Computers verschlüsseln“ gesetzt sein. Diese Option steht auf Generation 2-VMs zur Verfügung, wenn die Option „Trusted Plattform Module aktivieren“ bei „Sicherheit -> Verschlüsselungsunterstützung“ gesetzt ist.

In diesem Video-Tipp und der Bildergalerie zeigen wir, welche Einstellungen Hyper-V-VMs in Windows Server 2019/2022 deutlich sicherer machen.

Bildergalerie

Bildergalerie mit 9 Bildern

Tipp 4: Sicherheitsrichtlinie in Hyper-V: Abschirmung in VMs aktivieren

Die Option „Abschirmung aktivieren“ steht im Bereich „Sicherheit -> Sicherheitsrichtlinie“ in den Einstellungen von Generation 2-VMs zur Verfügung. Durch Aktivierung dieser Option setzt Hyper-V für diese VM verschiedene Sicherheitsoptionen. Zunächst aktiviert diese Einstellung zwingend die Optionen „Sicheren Start aktivieren“, „Trusted Platform Module aktivieren“ „Zustand und Migrationsdatenverkehr des virtuellen Computers verschlüsseln“ und weitere Sicherheitseinstellungen der VMs. Diese lassen sich auch nicht deaktivieren, solange die Abschirmung aktiv ist. Darüber hinaus ist der Remotezugriff auf die VMs nur mit sicheren, erweiterten Sitzungen erlaubt ist. Bei abgeschirmten VMs ist es nicht möglich sich mit einer Standard-Sitzung zu verbinden. Neben der erweiterten Sitzung lassen sich auf diesem Weg natürlich auch SSH und RDP verwenden.

Tipp 5: Produktionsprüfpunkte verwenden

In den Einstellungen von VMs ist bei „Prüfpunkte“ die Option „Produktionsprüfpunkte“ (Production Checkpoints) zu finden. Nach Aktivierung dieser Option erstellt Hyper-V nicht nur einen Snapshot der virtuellen Festplatte und der Einstellungen, sondern informiert das Betriebssystem in der VM darüber, dass ein Snapshot erstellt wird. Dadurch kann Windows mit dem Volume Shadow Service (VSS) auch das Betriebssystem und dessen Daten in den Snapshot einbinden. Das schützt virtuelle Domänencontroller, Datenbanken oder auch Exchange-Server. Bei Linux-Servern kommt File System Freeze zum Einsatz. Schlussendlich wird dabei das virtuelle Betriebssystem in die Sicherung des Snaptshots mit eingebunden.

Tipp 6: Geschützte Netzwerke für VMs nutzen

Bei „Erweiterte Features“ steht in den Einstellungen von VMs bei „Netzwerkkarte“ die Option „Geschütztes Netzwerk“ zur Verfügung. In einem Cluster stellt das sicher, dass eine VM immer eine Netzwerkverbindung hat, zum Beispiel für die Anbindung an Monitoring-Systeme. Ist die Option aktiv, erkennt eine VM wenn die Netzwerkverbindung verloren geht und ermöglicht die sofortige Verschiebung auf einen anderen Clusterknoten. Das stellt sicher, dass VMs nicht aus der Überwachung von Monitoring-Systemen oder Security-Lösungen fallen.

Tipp 7: DHCP-Wächter und Routerwächter aktivieren

In den erweiterten Features von Netzwerkadaptern können in den Einstellungen von VMs die beiden Optionen „DHCP-Wächter aktivieren“ und „Router­ankündigungs­wächter aktivieren“ gesetzt sein. Generell unterstützen diese Optionen nicht VMs vor Angriffen, sondern den Rest des Netzwerks vor Attacken oder Fehlkonfigurationen. Ist eine VM nicht als DHCP-Server autorisiert, blockiert Hyper-V DHCP-Datenpakete von dieser VM. Das stellt sicher, dass sich eine VM nicht als DHCP-Server ausgeben kann. Das gleiche macht der Routerwächter für Routingpakete.

In diesem Video-Tipp und der Bildergalerie zeigen wir, welche Einstellungen Hyper-V-VMs in Windows Server 2019/2022 deutlich sicherer machen.

Bildergalerie

Bildergalerie mit 9 Bildern

(ID:49948720)