在QEMU中在OpenBSD机器上运行OpenBSD是否安全？

Question

在OpenBSD上使用QEMU运行OpenBSD**比仅在本地运行OpenBSD更安全吗？

** =仅用于apache + scp + ssh

我正在考虑在QEMU中运行OS/webserver，因为这样我就可以“更灵活”地使用配置为2的安全级别：

http://www.openbsd.org/cgi-bin/man.cgi?query=securelevel

“监狱/色度”完整的操作系统？还有其他解决方案吗？QEMU来自端口的坏处在于，所以它“不太安全”？性能并不重要，只有OS/webserver端的安全性。

Answer 1

我对这个问题的理解是，您希望只运行webserver和ssh服务器。

首先，我不知道为什么您不能在安全级别设置为2的情况下完成这个任务。

其次，如果您将qemu作为包/端口运行，并且使用内核模块，则需要添加一个设备，提供一些超级用户权限，并且通常会增加攻击面。将此设置的时间更好地用于保护您的not服务器，可能是在chroot中(而不是整个OS!)。

OpenBSD的安全性背后的理念是，您不必对它大惊小怪，您可以花时间保护运行在上面的应用程序。简单几乎总是安全的朋友。除非您像tdammers所建议的那样陷入某种明确定义的需要，否则最好尽可能地使用任何所需的配置来裁剪到默认安装。

Answer 2

虚拟机的一个要点是，它们不会使任何系统更加安全。VM都是关于主机和客户之间的保护。运行在VM中的具有安全漏洞的服务器仍然存在安全漏洞；唯一的区别是，当漏洞被利用时，攻击者将控制VM，而不是主机。这种“增加”安全性的前提是，主机系统可以做一些VM不能做的事情(例如，主机系统在某些局域网上，但迫使VM之间的所有网络活动都通过存在于其他地方的隧道；在这种情况下，主机系统，而不是VM，可以访问LAN，然后使用VM作为额外的遏制功能是有意义的)。

Answer 3

如果您设置了您的系统，以便只有来宾侦听公共网络端口(那些在防火墙上打开的端口)，那么您就赢得了安全，因为如果有人设法进入客人并造成一些损坏，就可以更容易地修复它。

另一个优势是，您可能可以限制客户的资源使用，甚至可能关闭它并重新启动它，如果它的行为不当；虽然这不能完全防止基于资源的DOS攻击，但它至少可以最小化数据损失和停机时间。

这可能有用的另一种情况是，如果您运行的是共享主机服务:通过在同一台物理机器上运行多个虚拟服务器，攻击者一次只能破坏一个VM (即使它们获得根访问权限)，除非他们设法突破VM并危及来宾。相比之下，如果您在传统共享主机上具有根访问权限，则可以访问它所服务的所有网站。

除此之外，来宾与物理服务器一样安全:如果有人闯入它，您的数据就会像在物理服务器上一样公开。