安全是當今IT組織最關心的問題之一。在生產環境中實施任何新的技術之前，IT管理員必須考慮技術安全性，并確保將攻擊面降到最低。

今天我們來看看國外serverwatch網站盤點的15個Hyper-V安全最佳實踐，管理員可據此管理Hyper-V服務器和虛擬機以保證Hyper-V環境安全運行。

在Server Core上安裝Hyper-V角色

作為安全最佳實踐，記住，要在Server Core操作系統上安裝Hyper-V角色，而不是使用完整版本的Windows操作系統。因為Server Coer沒有GUI，因此將攻擊面降到了最低；沒有Hyper-V管理客戶端文件，奸商了文件攻擊面。在Hyper-V物理服務器上使用Server Core主要有下面三大安全優勢：

• 最小化管理操作系統的攻擊面。
• 減少電腦痕跡。
• 改善了系統運行時間，因為有更少的組件需要Windows更新。

Hyper-V服務的登錄憑證

千萬不要改變Hyper-V服務器的默認安全上下文。報警可能會導致Hyper-V停止運行。改變Hyper-V服務器的上下文還可能允許其他人控制整個hypervisor。

阻止不必要的端口

Hyper-V服務器上的其他角色/服務不需要實現。安裝客戶端/服務器應用將導致靜態端口監聽。時常檢查Hyper-V服務器上的端口監聽，并按需阻止。

Hyper-V默認配置

在生產環境中部署前，一定要檢查Hyper-V的默認配置。默認情況下，Hyper-V將虛擬機文件存儲在本地驅動器上。

在父分區上使用BitLocker加密

BitLocker是內置在Windows操作系統中的，建議對Hyper-V和虛擬機文件的存儲卷啟用BitLocker。即使在服務器關閉后，BitLocker保護仍有效。

即使磁盤被偷，上面的數據仍受保護。BitLocker還能防止攻擊者使用不同的操作系統或運行軟件黑客攻擊來訪問磁盤內容。

注意：只在Hyper-V管理操作系統中使用BitLocker驅動器加密。不要在虛擬機上運行BitLocker驅動器加密。BitLocker驅動器加密是不受虛擬機支持的。

不要使用內置管理員帳戶

不應該使用默認的本地管理員賬戶來管理Hyper-V和虛擬機。相反，創建新的活動目錄組，使用授權管理器管理虛擬機任務。

在Hyper-V服務器上安裝反病毒軟件

安裝殺毒軟件捕獲Hyper-V服務器上的惡意活動。還必須配置防病毒工具定期接收更新。

安裝最新的集成組件

集成組件提供VMBUS和VSP/VSC，確保虛擬機和hypervisor之間的通信安全。每次Hyper-V發布都會帶來最新的集成組件。你需要做的是從微軟網站上下載最新的集成組件并更新所有的虛擬機。

不要在Hyper-V父分區上安裝應用

千萬不要在Hyper-V服務器上安裝應用程序。Hyper-V服務器只用來支持Hyper-V活動。在Hyper-V服務器上安裝不必要的應用會影響Hyper-V進程，產生安全威脅。

保護Hyper-V和虛擬機文件

你必須保護Hyper-V和虛擬機文件。因為虛擬機內容存儲在VHD文件中，任何訪問該VHD文件的人都能掛載VHD文件并訪問其內容。

斷開沒在使用的虛擬機

在部署虛擬機時，避免為其分配非真正的業務功能。如果你安裝了這類虛擬機，并且其他虛擬機共同連到某個Hyper-V虛擬交換機上，你必須將其斷開。任何訪問非功能性虛擬機的人可以通過網絡或其他方式對生產環境進行訪問。

啟用Windows防火墻，阻止不必要的防火墻規則

在Windows服務器上啟用Hyper-V角色時，服務器管理器還將啟用所需的Hyper-V防火墻規則來保護通信安全。你必須確保Hyper-V服務器上沒有啟用其他的防火墻規則。檢查Hyper-V服務器上的Windows防火墻，阻止不必要的防火請規則。

保護快照/關卡文件安全

快照是某個“時間點”的虛擬機狀態。建議將你所創建的所有快照/關卡文件與其相關的VHD文件存儲在一個安全的位置。

加強虛擬機操作系統

你必須從基本操作系統映像模板部署虛擬機，這樣你就可以確保所有虛擬機部署的安全基線。你還必須確保在操作系統中安裝了防病毒產品，另外禁用任何不必要的組件。

啟用審計

文件系統安全可防止對關鍵虛擬機VHD文件的非法訪問。啟用對象訪問審計可以幫助檢查潛在的危險活動。