Seguridad en la virtualización: beneficios y riesgos
Dependiendo de cómo esté configurado un sistema, la virtualización no es menos segura que los componentes y sistemas físicos. La virtualización resuelve algunos desafíos de seguridad y vulnerabilidades que plantean los sistemas físicos, pero también genera nuevos retos y riesgos potenciales. Por eso es importante ser consciente tanto de los beneficios de seguridad como de los riesgos de la virtualización, para poder configurar sistemas que ofrezcan el tipo de protección adecuado para los sistemas que utiliza. Conocer los posibles problemas de seguridad, tanto en entornos físicos como virtualizados, permite implementar las soluciones adecuadas para mitigarlos.
Problemas de seguridad comunes que conlleva la virtualización:
- Ataques a servidores anfitriones – Aunque las máquinas virtuales (VMs) están aisladas entre sí incluso cuando residen en el mismo servidor (más sobre eso más adelante), si los atacantes acceden al servidor a nivel de anfitrión, teóricamente podrían acceder a todas las máquinas virtuales que controlan el anfitrión. Incluso podrían crear una cuenta de administrador que les dé autorización para eliminar o recopilar información corporativa importante.
- Instantáneas de VM – Las instantáneas son imágenes de VMs que representan un momento específico en el tiempo. Se usan principalmente para la protección de datos, como respaldo para la recuperación ante desastres. Como el estado de la máquina virtual está siempre cambiando, las instantáneas están pensadas para ser registros temporales y de corta duración. Mantenerlos almacenados en algún lugar durante un largo periodo de tiempo podría hacerlos vulnerables a los atacantes, que podrían recopilar muchos datos propietarios de ellos.
- El intercambio de archivos entre el servidor anfitrión y las máquinas virtuales – Normalmente, la configuración predeterminada impide compartir archivos entre el servidor anfitrión y las máquinas virtuales, así como copiar y pegar entre las máquinas virtuales y los paneles de gestión remota. Si se anulan esos valores predeterminados, un atacante que hackee el sistema de gestión podría copiar datos confidenciales de las máquinas virtuales o incluso usar capacidades de gestión para infectar las máquinas virtuales con malware.
- Expansión de VM – Como es tan rápido y fácil poner en marcha VMs siempre que se necesitan — para usarlas en pruebas durante el desarrollo, por ejemplo — también es fácil olvidarse de ellas una vez terminadas las pruebas. Con el tiempo, una organización podría tener muchas máquinas virtuales sin usar que existen desconocidas en el sistema, lo que significa que no se parchean ni actualizan. Un atacante puede acceder fácilmente a una máquina virtual olvidada y encontrar una entrada adicional al sistema desde ese punto de vista.
- Ransomware, virus y otros malwares – Al igual que los sistemas físicos, las máquinas virtuales son vulnerables a virus, ransomware y malware. Las copias de seguridad regulares son imprescindibles en el panorama de amenazas en constante evolución actual.
Al considerar las soluciones y capacidades de seguridad necesarias para tus sistemas virtualizados, ten en cuenta los siguientes factores.
Seguridad de los hipervisores y mejores prácticas
Los hipervisores son cada vez más objetivo en ciberataques debido a su control sobre múltiples máquinas virtuales (VMs). En 2024, una vulnerabilidad crítica de un hipervisor ampliamente utilizado permitió a los atacantes obtener acceso completo de administrador, poniendo en riesgo todas las máquinas virtuales alojadas. En 2025, exploits de día cero adicionales (CVE-2025-22224 a -22226) permitieron ataques de ransomware que comprometieron más de 41.000 hipervisores expuestos, cifrando datos de máquinas virtuales y eliminando copias de seguridad. Estos incidentes ponen de manifiesto la urgente necesidad de proteger los hipervisores, ya que una sola brecha puede exponer entornos virtualizados completos.
Las mejores prácticas para mantener los hipervisores seguros incluyen:
- Mantenerse al día con las actualizaciones – Aunque la mayoría de los hipervisores tienen funciones automatizadas que revisan periódicamente las actualizaciones, no es mala idea comprobarlo manualmente de vez en cuando también.
- Uso de hipervisores delgados o bare metal – Estos hipervisores suelen ser más seguros que otros tipos porque las funciones de control están abstraídas del sistema operativo, que es el elemento más propenso a ataques en un servidor. Si el sistema operativo es atacado, el atacante sigue sin tener acceso al hipervisor.
- Limitar el uso de tarjetas de interfaz de red (NIC ) – Siempre es recomendable limitar el uso de hardware físico que se conecte al servidor anfitrión y al hipervisor. Si se utiliza una red de gestión de datos, se debe proteger con un cortafuegos. Eso asegura que haya un punto de entrada menos para los atacantes.
- Desactivar los servicios no requeridos – Cualquier programa que conecte a los invitados con el sistema operativo anfitrión debería desactivarse una vez que deje de estar en uso. Un ejemplo de esto sería el intercambio de archivos entre el anfitrión y otros usuarios.
- Obligatoriedad de funciones de seguridad en los sistemas operativos invitados – Cualquier sistema operativo que se conecte con el hipervisor debe tener un cierto nivel de capacidades de seguridad, como cortafuegos.
Aislamiento de VM
Una ventaja de la virtualización es que un servidor puede alojar varias máquinas virtuales — mientras aísla cada VM de las demás para que ni siquiera detecte que las demás existen. Esto también puede ser una ventaja de seguridad, porque si un atacante accede a una máquina virtual, no podrá acceder automáticamente a las otras máquinas virtuales de ese servidor. Este aislamiento de VM incluso se aplica a roles de administrador de sistemas. Sigue siendo importante proteger cada máquina virtual igual que se protegerían las máquinas físicas, usando soluciones como cifrado de datos, aplicaciones antivirus, cortafuegos, etc.
Aislar todos los elementos alojados de una máquina virtual también es importante. Oculta elementos que no sean necesarios para la interfaz de usuario en subredes para que sus direcciones no sean fácilmente visibles o estén disponibles para posibles atacantes.
Seguridad del anfitrión
Para reducir el riesgo de un ataque exitoso al servidor anfitrión, se pueden definir porcentajes exactos de uso de recursos y limitaciones. Por ejemplo, configurar una máquina virtual para que siempre obtenga al menos el 15% de los recursos informáticos disponibles, pero no más del 25%. De este modo, una máquina virtual bajo ataque —como un ataque de denegación de servicio (DoS)— se impide consumir tantos recursos que las demás máquinas virtuales del servidor se vean afectadas negativamente.
Seguridad de las máquinas virtuales
Como se ha indicado antes, se puede (y se debe) proteger cada VM con cortafuegos, antivirus, cifrado y otras soluciones de seguridad para mantenerlas protegidas. Una máquina virtual no protegida puede ser utilizada por un atacante para acceder al sistema y escanear espacios de direcciones públicos y privados. Cualquier otra máquina virtual no protegida en ese host también puede ser atacada fácilmente.
Ataques de escape de VM
El escape de VM es un exploit del sistema que los atacantes utilizan para acceder al hipervisor desde una máquina virtual. Para ello, el atacante desata un código en la VM vulnerable que indica a un sistema operativo defectuoso contenido en su interior que salga (o escape) de los límites de la VM e interactúe directamente con el hipervisor. Con los ataques de escape de VM, los actores maliciosos pueden acceder al sistema operativo del servidor anfitrión y a las demás máquinas virtuales del host. Los expertos recomiendan lo siguiente para minimizar el riesgo de ataques de escape de máquinas virtuales:
- Actualizar y parchear el software de las máquinas virtuales.
- Compartir recursos solo cuando sea absolutamente obligatorio. Limita el compartir siempre que sea posible y apágalo cuando no sea necesario.
- Limitar la instalación de software porque cada nueva aplicación trae nuevas vulnerabilidades.
Recursos compartidos
Como se ha mencionado antes, compartir recursos entre máquinas virtuales y/o invitados crea vulnerabilidades en el sistema. Las carpetas o archivos compartidos son objetivos atractivos para atacantes que acceden al sistema a través de un invitado comprometido. Desactiva el compartir cuando no sea necesario. También desactiva la capacidad de copiar y pegar entre el anfitrión y los usuarios remotos.
Interfaces de gestión
Algunos expertos recomiendan crear una separación entre las APIs de gestión para proteger la red. Dicen que no solo se debe separar las aplicaciones de gestión de infraestructura, sino también las capacidades de orquestación de los servicios. Las APIs suelen ser objetivo de los atacantes porque son mini programas de control.
Al virtualizar máquinas en la nube, es importante cumplir lo más estrictamente posible con la regulación Virtual Network Functions Manager (VNFM) creada por el Grupo de Especificaciones de la Industria de Virtualización de Funciones de Red de ETSI. La regulación exige ciertos estándares de seguridad para las APIs que interactúan con infraestructuras y herramientas de orquestación.