- Bootkit：恶意软件会感染主引导记录 (MBR) 或卷引导记录 (VBR)。在操作系统启动之前获得控制权。
- Rootkit：隐秘的恶意软件会隐藏自身并保持特权访问权限。它通常会在启动期间或启动后立即修改内核或关键系统文件。
- 固件攻击：入侵统一可扩展固件接口 (UEFI) 等底层固件，使攻击者能够获得持久的、几乎无法检测到的控制权。
安全强化型虚拟机是Google Cloud针对日益严重的低级别系统入侵问题而推出的解决方案。安全强化型虚拟机是一种特殊的 Compute Engine 虚拟机实例，它包含多层安全防护，可确保您的计算资源不受复杂的恶意软件、rootkit 和其他高级持续性威胁的影响。安全强化型虚拟机的核心安全架构可提供多项主要优势，有助于保护虚拟机实例的安全。
使用 Migrate to Virtual Machines 保护虚拟机实例
许多本地虚拟机实例使用基本输入/输出系统 (BIOS)，这会限制性能和可伸缩性。在迁移过程中，Migrate to Virtual Machines 会将这些系统无缝升级到 UEFI。此升级是部署安全强化型虚拟机的关键步骤，可同时提升安全性和运营效率。
Migrate to Virtual Machines 转换流程具有以下优势：
- 结果一致：通过智能请求处理确保可靠的结果，从而节省大量问题排查时间。
- 自动磁盘空间管理：自动将操作系统磁盘配置扩展 1 GB，从而减少手动调整大小的工作量。
- 可选转化：允许您通过特定标志触发转化流程。
- 安全启动集成：可无缝启用安全启动。
- 非破坏性流程：在转换过程中保留现有数据，并提供在需要时恢复的选项。
对于 Linux 环境，转换过程包括将分区表从主引导记录 (MBR) 转换为 GUID 分区表 (GPT)。Migrate to Virtual Machines 会自动创建并配置新的启动分区，安装必要的 UEFI 兼容启动组件，并配置操作系统 Grand Unified Bootloader (GRUB) 以实现 UEFI 兼容性。
对于 Windows 系统，转换过程同样全面。 Migrate to Virtual Machines 会将分区表从 MBR 转换为 GPT，并创建一个包含启动信息的新 UEFI 专用分区。该流程仍支持 Windows 2012 及更高版本的操作系统。
使用安全强化型虚拟机时的最佳实践
为最大限度地发挥安全强化型虚拟机的优势，请考虑以下建议：
规划阶段
- 对现有虚拟机进行全面清点。
- 确定需要优先实现的关键工作负载。
- 制定详细的迁移时间表。
部署阶段
- 从非关键系统开始。
- 在迁移过程中将 BIOS 转换为 UEFI，并将服务器迁移到 Shielded VM。
- 实施全面的测试协议。
维护阶段
- 定期监控完整性提醒。
- 定期审查安全基准。
- 持续更新安全政策。