Tường lửa mạng và phần mềm diệt virus trên máy ảo (VM) hoàn toàn vô dụng nếu hacker chèn mã độc vào BIOS hoặc bootloader của máy chủ vật lý. Đợt kiểm toán PCI-DSS năm ngoái tại công ty là bài học lớn cho team mình. Toàn bộ 8 node ESXi chạy production bị đánh trượt chỉ vì thiếu cơ chế xác thực toàn vẹn phần cứng. Giải pháp triệt để nhất là trang bị chip TPM 2.0 vật lý cho từng server và bật tính năng Host Attestation trên vCenter.
So sánh các phương pháp giám sát tính toàn vẹn máy chủ ESXi
Để phát hiện sớm can thiệp trái phép vào firmware hay nhân hypervisor, quản trị viên có ba lựa chọn:
- Phương pháp 1: Giám sát thủ công và gom log — Dùng script rà soát hash của các VIB package, đẩy log về SIEM (Wazuh, Splunk). Cách này chỉ phát hiện khi sự cố đã xảy ra.
- Phương pháp 2: Chỉ bật UEFI Secure Boot — ESXi chặn nạp driver không có chữ ký số hợp lệ của VMware. Tuy nhiên, hệ thống không lưu lại dấu vết quá trình khởi động để đối chiếu.
- Phương pháp 3: Kết hợp UEFI Secure Boot + TPM 2.0 + Host Attestation — Máy chủ đo đạc từng bước boot (measured boot) từ lúc bật nguồn. Các giá trị băm được ghi vào thanh ghi PCR (Platform Configuration Register) trên chip TPM, sau đó vCenter tự động đối soát độ tin cậy.
Phân tích ưu và nhược điểm của từng phương án
| Giải pháp | Ưu điểm | Nhược điểm |
|---|---|---|
| Giám sát log / Hash file | Tận dụng phần cứng cũ, không tốn thêm ngân sách. | Kẻ tấn công chiếm quyền root dễ dàng xóa log; tính phản ứng chậm. |
| Chỉ bật UEFI Secure Boot | Có sẵn trên mainboard server (Dell R740/R750, HPE DL380), chỉ cần bật trong BIOS. | Thiếu cơ chế measured boot; vCenter không kiểm tra được tính toàn vẹn tổng thể. |
| TPM 2.0 + Host Attestation | Bảo vệ từ gốc rễ phần cứng (Root of Trust), báo trạng thái Passed/Failed tức thì trên vCenter, đạt chuẩn ISO 27001 và PCI-DSS. | Chi phí mua module TPM riêng (khoảng 1 – 2 triệu VNĐ/node); cần reboot host vật lý để cấu hình. |
Lựa chọn giải pháp phù hợp cho hệ thống
Với các môi trường lab hoặc máy chủ test nội bộ, UEFI Secure Boot độc lập là đủ an toàn. Nhưng với cụm production, trang bị TPM 2.0 vật lý là khoản đầu tư bắt buộc. Đặc biệt khi bạn triển khai máy ảo Windows 11 hoặc Windows Server 2022/2025 yêu cầu vTPM, ESXi cần TPM vật lý để sinh khóa bảo mật máy ảo an toàn thay vì lưu khóa mềm trên storage.
Các bước cấu hình TPM 2.0 và kích hoạt Host Attestation
Bước 1: Cấu hình phần cứng và kích hoạt TPM 2.0 trong BIOS/UEFI
Hãy gắn đúng module TPM 2.0 tương thích với model server (ví dụ mã 0F7T4V cho Dell PowerEdge R740/R750). Sau đó khởi động vào BIOS (System Setup):
- Chuyển Boot Mode sang
UEFI Mode(tắt hoàn toàn Legacy BIOS). - Vào mục System Security (trên Dell) hoặc Server Security (trên HPE).
- Đặt TPM Security thành
Enabled / On. - Tại mục TPM Advanced Settings, đảm bảo kích hoạt
TPM PPI (Physical Presence Interface)để OS có quyền đọc dữ liệu. - Kích hoạt Secure Boot sang
Enabled. - Lưu cấu hình và khởi động lại vào ESXi.
Bước 2: Kiểm tra nhận diện TPM 2.0 trên ESXi qua SSH
Mở kết nối SSH vào host ESXi (phiên bản 7.0 Update 2 hoặc 8.0 trở lên) và chạy lệnh sau để kiểm tra trạng thái mã hóa:
# 1. Kiểm tra trạng thái mã hóa và Secure Boot
esxcli system settings encryption get
# Kết quả đúng chuẩn:
# Mode: TPM
# Require Secure Boot: trueTiếp theo, xác nhận driver TPM của ESXi đã nạp thành công:
# 2. Kiểm tra log nhận diện module TPM từ nhân VMkernel
zcat /var/log/boot.gz | grep -i tpm
# Kết quả mong muốn: xuất hiện driver tpm-crb hoặc tpm-tis với phiên bản TPM 2.0Nếu log hiển thị lỗi timeout hoặc không tìm thấy device, hãy tháo vỏ server kiểm tra lại chân cắm module TPM trên bo mạch chủ.
Bước 3: Xác thực Host Attestation trên vCenter Server
Khi ESXi khởi động xong, vCenter sẽ tự động thực hiện chu trình chứng thực toàn vẹn:
- Đăng nhập vào vSphere Client (HTML5).
- Chọn host ESXi vừa cấu hình trong danh sách Cluster.
- Vào tab Summary, tìm widget Security bên phải màn hình.
- Trạng thái hiển thị TPM 2.0: Passed và Secure Boot: Enabled kèm tích xanh là bạn đã hoàn tất.
Nếu giao diện báo Attestation Failed màu đỏ, hãy xử lý theo hướng dẫn thực tế dưới đây.
Mẹo thực chiến và xử lý sự cố thường gặp
1. Khắc phục lỗi “Host Attestation Failed: Failed to verify identity / integrity”
Lỗi này thường xảy ra khi bạn thay đổi linh kiện phần cứng hoặc chứng chỉ của ESXi bị lệch so với bản ghi lưu trên vCenter. Bạn không cần cài lại ESXi. Cách xử lý chuẩn xác nhất qua vSphere Client gồm 3 bước:
- Chuyển host về Maintenance Mode.
- Click chuột phải vào host, chọn Certificates > Refresh CA Certificates, sau đó chọn tiếp Renew Certificate.
- Click chuột phải vào host chọn Connection > Disconnect, đợi 30 giây rồi chọn Reconnect.
Lúc này vCenter sẽ đồng bộ lại Endorsement Key (EK) và đọc lại các thanh ghi PCR từ chip TPM. Trạng thái sẽ lập tức chuyển sang màu xanh.
2. Lỗi màn hình tím (PSOD) do VIB không có chữ ký số
Secure Boot kiểm soát cực kỳ nghiêm ngặt các gói VIB cài thêm. Nếu trước đó bạn từng cài driver mạng hoặc RAID tùy biến dạng CommunitySupported, ESXi sẽ bị chặn boot ngay lập tức. Trước khi bật Secure Boot trong BIOS, hãy quét sạch các gói này bằng lệnh:
# Liệt kê các gói VIB không đạt chứng chỉ VMware
esxcli software vib list | grep -E "CommunitySupported|Unknown"
# Gỡ bỏ gói lạ trước khi khởi động lại (ví dụ gói net-e1000e)
esxcli software vib remove -n net-e1000eChỉ kích hoạt Secure Boot khi danh sách trên hoàn toàn trống. Thao tác nhỏ này sẽ giúp bạn tránh được sự cố gián đoạn dịch vụ ngoài ý muốn.