仮想マシンによる独立型読み取り専用ディスクを使用する場合、侵入に成功した攻撃者は、システムのシャットダウンまたは再起動によってマシンが侵害されたことの証拠をすべて削除することができます。仮想マシンでのアクティビティの通常の記録がなければ、管理者は攻撃に気づかない可能性があります。したがって、独立型読み取り専用ディスクは使用しないでください。

手順

  1. syslog サーバや同等の Windows ベースのイベント コレクタなどの別個のサーバに、仮想マシンのアクティビティがリモートで確実にログに記録されるようにします。
  2. ゲストでイベントとアクティビティのリモート ログが構成されていない場合は、scsiX:Y.mode を確実に次のいずれかの設定にします。
    • なし
    • 独立型読み取り専用に設定しない

結果

読み取り専用モードが有効になっていない場合は、システムの再起動時に仮想マシンを既知の状態にロールバックすることはできません。