13.4. ハードウェアとソフトウェアの機能を制限する
使用するハードウェアおよびソフトウェア機能のみを有効にして、攻撃の可能性にさらされるコードを少なくします。信頼できる環境でのみ有効にする必要がある機能がいくつかあります。
- PCI パススルー
- PCI パススルーにより、インスタンスはノード上の PCI デバイスに直接アクセスできます。PCI デバイスにアクセスできるインスタンスでは、悪意のあるアクターがファームウェアを変更できる可能性があります。さらに、一部の PCI デバイスにはダイレクトメモリーアクセス (DMA) があります。インスタンスが DMA を使用してデバイスを制御できるようにすると、任意の物理メモリーアクセスが可能になります。
Network Functions Virtualization (NFV) などの特定のユースケースでは、PCI パススルーを有効にする必要があります。デプロイメントに必要でない限り、PCI パススルーを有効にしないでください。
- カーネルの同一ページマージ
- カーネルの同一ページマージ (KSM) は、メモリーページの重複排除および共有によってメモリーの使用を削減する機能です。2 つ以上の仮想マシンがメモリー内に同一のページを持っている場合、それらのページを共有して密度を高めることができます。メモリーの重複排除戦略は、サイドチャネル攻撃に対して脆弱であり、信頼できる環境でのみ使用する必要があります。Red Hat OpenStack Platform では、KSM はデフォルトで無効になっています。
