VMware 設計了虛擬層 (或 VMkernel) 來執行虛擬機器。它控制該主機使用的硬體,並排程虛擬機器之間的硬體資源配置。由於 VMkernel 專用於支援虛擬機器而不用於其他用途,因此其介面嚴格限制為管理虛擬機器所需的 API。

ESXi 透過以下功能提供附加 VMkernel 保護:

記憶體強化

ESXi 核心、使用者模式應用程式及可執行元件 (如驅動程式和程式庫) 位於無法預測的隨機記憶體位址中。將該功能與微處理器提供的不可執行的記憶體保護組合使用,可以提供保護,使惡意程式碼很難透過記憶體漏洞來利用系統漏洞。

核心模組完整性

數位簽章確認由 VMkernel 載入的模組、驅動程式及應用程式的完整性和真實性。模組簽章允許 ESXi 識別模組、驅動程式或應用程式的提供者以及它們是否經過 VMware 認證。VMware 軟體和某些第三方驅動程式已由 VMware 簽署。

信賴平台模組 (TPM)

vSphere 使用 Intel 信賴平台模組/Trusted Execution Technology (TPM/TXT),根據硬體信任根提供 Hypervisor 映像的遠端證明。Hypervisor 映像由以下元素組成:

  • VIB (套件) 格式的 ESXi 軟體 (Hypervisor)

  • 第三方 VIB

  • 第三方驅動程式

若要利用該功能,ESXi 系統必須啟用 TPM 和 TXT。

如果啟用了 TPM 和 TXT,ESXi 會在系統開機時測量整個 Hypervisor 堆疊,並將這些測量結果儲存在 TPM 的平台設定暫存器 (PCR) 中。測量範圍包含 ESXi 上執行的 VMkernel、核心模組、驅動程式、本機管理應用程式以及所有開機時組態選項。系統上安裝的所有 VIB 都會進行測量。

第三方解決方案可使用該功能建立檢查器,該檢查器可透過將映像與預期已知正常值的映像進行比較以偵測 Hypervisor 映像的竄改。vSphere 未提供用於檢視這些測量結果的使用者介面。

測量結果顯示在 vSphere API 中。根據 TXT 的信賴計算群組 (TCG) 標準,事件記錄檔做為 API 的一部分提供。