虚拟化平台安全基线：管理口、权限和快照都要管

虚拟化平台是高价值目标。攻击者拿到平台权限后，可能关闭虚拟机、复制磁盘、删除快照、修改网络，甚至影响整个数据中心。

安全基线第一条：管理口不要暴露公网。无论是 vCenter、Proxmox Web UI、OpenStack Horizon，还是存储管理口，都应放在管理网，通过 VPN、堡垒机或零信任访问。

第二是账号权限。不要多人共用 admin。使用个人账号、最小权限、强密码和多因素认证。离职和岗位变更要及时回收权限。

第三是审计。关键操作要有日志：创建虚拟机、删除磁盘、创建快照、迁移、修改网络、调整权限。

第四是补丁。虚拟化平台、宿主机内核、管理组件和备份系统都要纳入漏洞管理。

第五是备份和不可变副本。勒索软件越来越关注虚拟化平台，备份系统必须和生产权限隔离。

第六是网络隔离。管理网、业务网、存储网不要混用；不同租户或业务要有清晰边界。

虚拟化安全不是某个产品功能，而是一套权限、网络、审计、补丁和恢复能力的组合。

建议的安全基线清单

账号与权限：

• 禁止多人共用 admin。
• 管理员账号启用 MFA。
• 按岗位分配最小权限。
• 离职人员权限当天回收。

网络：

• 管理口只允许从堡垒机或 VPN 访问。
• 存储网络不暴露给普通业务网。
• 备份网络和管理网络分离。

审计：

• 记录登录、删除虚拟机、删除快照、导出磁盘、修改网络。
• 高危操作发送告警。

备份：

• 备份平台账号独立。
• 备份副本有不可变或离线策略。
• 定期恢复演练。

高危信号

如果出现大量虚拟机快照删除、虚拟机关机、备份任务失败、管理口异常登录，要按安全事件处理，而不是普通运维告警。

虚拟化平台是“服务器的服务器”，权限一旦失控，影响面会比单机大得多。