Las máquinas virtuales han mejorado el caso de uso para todos, pero también para los atacantes. El sniffing de tráfico de máquinas virtuales ocurre cuando un adversario ha ganado acceso hacia la red de una víctima, como su homónimo tradicional, inicia haciendo sniffing y vigilando el tráfico de la máquina virtual. Esto es especialmente efectivo si el atacante puede acceder hacia el vSwitch.
Muchas infraestructuras virtuales se basan sobre criptografía y encriptación para protección de datos. Un tema común observado en muchas brechas es la criptografía insegura. Esta debilidad existe tanto en entornos físicos cuanto virtuales. La protección apropiada de las llaves criptográficas es un requisito fundamental para la seguridad, especialmente cuando un sistema físico alberga múltiples máquinas virtuales.
Las ventajas de las API en la nube son; ahorran a los ingenieros y desarrolladores muchas horas en tiempo de codificación, permitiéndoles simplemente conectar APIs directamente. Sin embargo esta simplicidad viene con un costo. La mayoría de las API se escriben con autenticación débil debido a la simplicidad deseada.
La virtualización frecuentemente ofrece una arquitectura de una a muchas máquinas físicas y host. Esto significa los datos, los de la competencia y los de otras organizaciones pueden compartir espacio en el mismo sistema físico. Si alguno de ellos sufre una brecha, esto podría provocar una brecha del hipervisor, poniendo en riesgo a todas las demás máquinas virtuales.
Además de las fallas inherentes al sistema operativo virtual, también deben considerarse las fallas físicas. Spectre y Meltdown son dos vulnerabilidades descubiertas. El resultado fue la primera falla de seguridad importante del 2018. La singularidad de Meltdown y Spectre reside en no son fallas de código, sino residen en el procesador de la computadora. La explotación exitosa de Spectre y Meltdown otorgará permisos a nivel de kernel y acceso hacia archivos del nivel raíz.
Fuentes:
https://www.darktrace.com/cyber-ai-glossary/the-most-common-cloud-secur…
https://meltdownattack.com/