ESXi Hardening : Guide Complet de Sécurisation Avancée

La Direct Console User Interface (DCUI) est l'interface texte accessible depuis la console physique ou via iLO/iDRAC/IPMI. En mode Lockdown Normal, la DCUI reste accessible aux utilisateurs de la liste d'exception. En mode Strict, elle est entièrement désactivée. Pour les environnements intermédiaires, il est recommandé de : Guide exhaustif de durcissement VMware ESXi : sécurisation SSH, réseau vSwitch, stockage VMFS, gestion des privilèges, Secure Boot, vTPM, monitoring. Les environnements de virtualisation constituent des composants critiques de l'infrastructure. La sécurisation de esxi hardening securisation hyperviseur est un prérequis pour toute organisation. Nous abordons notamment : 9. checklist de durcissement esxi - 30 points, mécanismes cryptographiques et questions frequentes. Les professionnels y trouveront des recommandations actionnables, des commandes prêtes à l'emploi et des stratégies de mise en œuvre adaptées aux environnements d'entreprise.

• Limiter les utilisateurs autorisés à accéder à la DCUI via la DCUI Access List
• Configurer un mot de passe de verrouillage DCUI distinct du mot de passe root
• Désactiver le service DCUI si l'accès physique est contrôlé et que IPMI est sécurisé
• Surveiller les connexions DCUI dans les journaux d'audit (vobd.log)

# Désactiver le service DCUI
Get-VMHost | ForEach-Object {
    $dcuiService = Get-VMHostService -VMHost $_ | Where-Object { $_.Key -eq "DCUI" }
    Set-VMHostService -HostService $dcuiService -Policy "Off"
}

# Supprimer l'accès root à la DCUI (liste d'exception vide)
Get-VMHost | Get-AdvancedSetting -Name "DCUI.Access" | 
    Set-AdvancedSetting -Value "" -Confirm:$false

2.4 Sécurisation de l'interface web et de l'API

L'interface web de gestion d'ESXi (Host Client sur le port 443) et l'API REST constituent des cibles de choix. Plusieurs mesures s'imposent :

Configuration TLS renforcée

# Forcer TLS 1.2 minimum (désactiver TLS 1.0 et 1.1)
Get-VMHost | Get-AdvancedSetting -Name "UserVars.ESXiVPsDisabledProtocols" | 
    Set-AdvancedSetting -Value "sslv3,tlsv1,tlsv1.1" -Confirm:$false

# Vérifier les suites de chiffrement
esxcli system security fips140 ssh get

# Remplacer le certificat auto-signé par un certificat d'entreprise
# (à exécuter depuis le shell ESXi)
# cp /etc/vmware/ssl/rui.crt /etc/vmware/ssl/rui.crt.bak
# cp /etc/vmware/ssl/rui.key /etc/vmware/ssl/rui.key.bak
# cp /path/to/enterprise-cert.crt /etc/vmware/ssl/rui.crt
# cp /path/to/enterprise-key.key /etc/vmware/ssl/rui.key
# /etc/init.d/hostd restart

L'utilisation de certificats d'entreprise émis par une PKI interne est fortement recommandée. Les certificats auto-signés d'ESXi empêchent toute validation de confiance et facilitent les attaques de type Man-in-the-Middle. Pour une approche complète de la gestion des certificats dans un environnement Active Directory, notre article sur l'exploitation ADCS détaille les risques et les bonnes pratiques.

Verrouillage des comptes et politique de mots de passe

# Configurer le verrouillage après tentatives échouées
Get-VMHost | Get-AdvancedSetting -Name "Security.AccountLockFailures" | 
    Set-AdvancedSetting -Value 5 -Confirm:$false

# Durée de verrouillage (en secondes) - 15 minutes
Get-VMHost | Get-AdvancedSetting -Name "Security.AccountUnlockTime" | 
    Set-AdvancedSetting -Value 900 -Confirm:$false

# Politique de complexité des mots de passe
# Format: retry=N min=N1,N2,N3,N4,N5
# N1=longueur min pour 1 classe de caractères
# N2=longueur min pour 2 classes
# N3=longueur min pour passphrase
# N4=longueur min pour 3 classes
# N5=longueur min pour 4 classes
Get-VMHost | Get-AdvancedSetting -Name "Security.PasswordQualityControl" | 
    Set-AdvancedSetting -Value "retry=3 min=disabled,disabled,disabled,disabled,15" -Confirm:$false

# Historique des mots de passe
Get-VMHost | Get-AdvancedSetting -Name "Security.PasswordHistory" | 
    Set-AdvancedSetting -Value 5 -Confirm:$false

Vos hyperviseurs sont-ils durcis selon les recommandations du CIS Benchmark ?

# Lister toutes les règles de pare-feu
Get-VMHost | Get-VMHostFirewallException | 
    Select-Object Name, Enabled, IncomingPorts, OutgoingPorts, Protocols | 
    Format-Table -AutoSize

# Désactiver les services non nécessaires
$servicesToDisable = @(
    "CIMHttpServer",      # CIM sur HTTP (non chiffré)
    "CIMHttpsServer",     # CIM sur HTTPS (si non utilisé)
    "CIMSLP",             # Service Location Protocol (exploité par ESXiArgs)
    "DHCPv6",             # IPv6 DHCP (si IPv6 non utilisé)
    "DVFilter",           # DVFilter (si non utilisé)
    "HBX",                # Heartbeat
    "ipfam",              # IP Fault Management
    "WOL"                 # Wake on LAN
)

Get-VMHost | ForEach-Object {
    $vmhost = $_
    foreach ($svc in $servicesToDisable) {
        $rule = Get-VMHostFirewallException -VMHost $vmhost -Name $svc -ErrorAction SilentlyContinue
        if ($rule -and $rule.Enabled) {
            Set-VMHostFirewallException -Exception $rule -Enabled $false
            Write-Host "Règle $svc désactivée sur $($vmhost.Name)" -ForegroundColor Green
        }
    }
}

# Restreindre l'accès SSH à des IP spécifiques (via esxcli)
# esxcli network firewall ruleset set -r sshServer -e true
# esxcli network firewall ruleset allowedip add -r sshServer -i 10.0.1.0/24
# esxcli network firewall ruleset set -r sshServer -a false

# Restreindre l'accès vSphere Client à des IP spécifiques
# esxcli network firewall ruleset allowedip add -r webAccess -i 10.0.1.0/24
# esxcli network firewall ruleset set -r webAccess -a false

3.3 Chiffrement vMotion et isolation du trafic de management

Le trafic vMotion transporte l'intégralité de la mémoire d'une VM en temps réel lors d'une migration. Sans chiffrement, un attaquant positionné sur le réseau vMotion peut intercepter des données sensibles -- clés de chiffrement, mots de passe en mémoire, tokens d'authentification. Depuis vSphere 6.5, le chiffrement vMotion est disponible et doit être systématiquement activé :

# Activer le chiffrement vMotion sur toutes les VMs
Get-VM | ForEach-Object {
    $spec = New-Object VMware.Vim.VirtualMachineConfigSpec
    $spec.MigrateEncryption = "opportunistic"  # ou "required" pour forcer
    $_.ExtensionData.ReconfigVM($spec)
    Write-Host "Chiffrement vMotion configuré sur $($_.Name)" -ForegroundColor Green
}

# Vérifier l'état du chiffrement vMotion
Get-VM | Select-Object Name, @{N="MigrateEncryption";E={
    $_.ExtensionData.Config.MigrateEncryption
}} | Format-Table -AutoSize

# Activer le support VBS sur une VM Windows
$vm = Get-VM "Win-Server-2025-01"
$spec = New-Object VMware.Vim.VirtualMachineConfigSpec
$spec.Flags = New-Object VMware.Vim.VirtualMachineFlagInfo
$spec.Flags.VbsEnabled = $true
$spec.Flags.VvtdEnabled = $true  # Intel VT-d pour IOMMU virtuel
$vm.ExtensionData.ReconfigVM($spec)

# Vérifier le support VBS
Get-VM | Select-Object Name, @{N="VBS";E={
    $_.ExtensionData.Config.Flags.VbsEnabled
}} | Where-Object { $_.VBS } | Format-Table -AutoSize

6.4 Isolation et paramètres avancés de sécurité des VMs

Plusieurs paramètres avancés au niveau de la VM renforcent l'isolation entre l'hôte et les machines virtuelles, réduisant ainsi la surface d'attaque pour les techniques de VM Escape :

# Désactiver les fonctionnalités d'interaction non nécessaires
$securitySettings = @{
    "isolation.tools.copy.disable" = "TRUE"           # Copier-coller désactivé
    "isolation.tools.paste.disable" = "TRUE"           # Coller désactivé
    "isolation.tools.diskShrink.disable" = "TRUE"      # Shrink disk désactivé
    "isolation.tools.diskWiper.disable" = "TRUE"       # Wipe disk désactivé
    "isolation.tools.hgfsServerSet.disable" = "TRUE"   # HGFS désactivé
    "isolation.tools.ghi.autologon.disable" = "TRUE"   # Auto-logon désactivé
    "isolation.tools.ghi.launchMenu.change" = "TRUE"   # Launch menu désactivé
    "isolation.tools.unity.disable" = "TRUE"           # Unity mode désactivé
    "isolation.tools.unityInterlockOperation.disable" = "TRUE"
    "isolation.tools.getCreds.disable" = "TRUE"        # GetCreds désactivé
    "isolation.tools.setGUIOptions.enable" = "FALSE"
    "mks.enable3d" = "FALSE"                           # 3D désactivé
    "tools.setInfo.sizeLimit" = "1048576"             # Limite taille SetInfo (1 MB)
    "RemoteDisplay.maxConnections" = "1"               # Max 1 connexion console
    "log.keepOld" = "10"                               # Rétention logs VM
    "log.rotateSize" = "2048000"                       # Taille rotation logs
    "tools.guestlib.enableHostInfo" = "FALSE"          # Info hôte masquée
}

# Appliquer sur toutes les VMs
Get-VM | ForEach-Object {
    $vm = $_
    foreach ($setting in $securitySettings.GetEnumerator()) {
        $existingSetting = Get-AdvancedSetting -Entity $vm -Name $setting.Key -ErrorAction SilentlyContinue
        if ($existingSetting) {
            Set-AdvancedSetting -AdvancedSetting $existingSetting -Value $setting.Value -Confirm:$false
        } else {
            New-AdvancedSetting -Entity $vm -Name $setting.Key -Value $setting.Value -Confirm:$false
        }
    }
    Write-Host "Paramètres de sécurité appliqués sur $($vm.Name)" -ForegroundColor Green
}

# Exemple de requête Splunk pour détecter l'activation SSH
# index=esxi sourcetype=vmware:esxi:hostd "SSH" "enabled"
# | stats count by host, _time
# | where count > 0

# Exemple de requête Elastic/KQL
# event.dataset: "vmware.esxi" AND message: "SSH" AND message: "enabled"

# Exemple de règle Sigma (format universel)
# title: ESXi SSH Service Enabled
# status: experimental
# logsource:
#   product: vmware
#   service: hostd
# detection:
#   selection:
#     message|contains|all:
#       - "SSH"
#       - "enabled"
#   condition: selection
# level: high

7.3 Conformité STIG et CIS Benchmark

Deux référentiels majeurs encadrent le durcissement d'ESXi. Le DISA STIG (Security Technical Implementation Guide) est obligatoire pour les environnements gouvernementaux américains et constitue une référence de l'industrie. Le CIS Benchmark propose des profils Level 1 (essentiel) et Level 2 (renforcé). Les deux référentiels couvrent des domaines similaires mais avec des niveaux de granularité différents :

# Script de vérification de conformité STIG ESXi 8 (extrait)
function Test-ESXiSTIGCompliance {
    param([string]$VMHostName)
    
    $vmhost = Get-VMHost $VMHostName
    $results = @()
    
    # STIG V-258706: SSH must be disabled
    $ssh = Get-VMHostService -VMHost $vmhost | Where-Object { $_.Key -eq "TSM-SSH" }
    $results += [PSCustomObject]@{
        STIG_ID = "V-258706"
        Check = "SSH Service Disabled"
        Status = if (-not $ssh.Running) { "PASS" } else { "FAIL" }
        Current = $ssh.Running
        Expected = $false
    }
    
    # STIG V-258707: Lockdown Mode must be enabled
    $lockdown = (Get-View $vmhost.ExtensionData.ConfigManager.HostAccessManager).LockdownMode
    $results += [PSCustomObject]@{
        STIG_ID = "V-258707"
        Check = "Lockdown Mode Enabled"
        Status = if ($lockdown -ne "lockdownDisabled") { "PASS" } else { "FAIL" }
        Current = $lockdown
        Expected = "lockdownNormal or lockdownStrict"
    }
    
    # STIG V-258708: Account lockout configured
    $lockFailures = (Get-AdvancedSetting -Entity $vmhost -Name "Security.AccountLockFailures").Value
    $results += [PSCustomObject]@{
        STIG_ID = "V-258708"
        Check = "Account Lockout Failures <= 5"
        Status = if ([int]$lockFailures -le 5 -and [int]$lockFailures -gt 0) { "PASS" } else { "FAIL" }
        Current = $lockFailures
        Expected = "1-5"
    }
    
    # STIG V-258710: NTP must be configured
    $ntpServers = Get-VMHostNtpServer -VMHost $vmhost
    $results += [PSCustomObject]@{
        STIG_ID = "V-258710"
        Check = "NTP Configured"
        Status = if ($ntpServers.Count -ge 1) { "PASS" } else { "FAIL" }
        Current = ($ntpServers -join ", ")
        Expected = "At least 1 NTP server"
    }
    
    # STIG V-258714: TLS 1.2 enforced
    $tlsConfig = (Get-AdvancedSetting -Entity $vmhost -Name "UserVars.ESXiVPsDisabledProtocols").Value
    $results += [PSCustomObject]@{
        STIG_ID = "V-258714"
        Check = "TLS 1.0/1.1 Disabled"
        Status = if ($tlsConfig -match "tlsv1,tlsv1.1" -or $tlsConfig -match "tlsv1.1,tlsv1") { "PASS" } else { "FAIL" }
        Current = $tlsConfig
        Expected = "sslv3,tlsv1,tlsv1.1"
    }
    
    # STIG V-258716: Syslog configured
    $syslog = Get-VMHostSysLogServer -VMHost $vmhost
    $results += [PSCustomObject]@{
        STIG_ID = "V-258716"
        Check = "Syslog Remote Server"
        Status = if ($syslog) { "PASS" } else { "FAIL" }
        Current = $syslog
        Expected = "Remote syslog server configured"
    }
    
    return $results
}

# Exécuter sur tous les hôtes
Get-VMHost | ForEach-Object {
    Write-Host "`n=== Conformité STIG: $($_.Name) ===" -ForegroundColor Cyan
    $compliance = Test-ESXiSTIGCompliance -VMHostName $_.Name
    $compliance | Format-Table -AutoSize
    
    $passCount = ($compliance | Where-Object { $_.Status -eq "PASS" }).Count
    $totalCount = $compliance.Count
    $percentage = [math]::Round(($passCount / $totalCount) * 100, 1)
    Write-Host "Score: $passCount/$totalCount ($percentage%)" -ForegroundColor $(if ($percentage -ge 80) { "Green" } else { "Red" })
}

Le durcissement initial n'est que la première étape. Sans surveillance continue, la configuration dérive inévitablement : un administrateur active SSH pour un dépannage et oublie de le désactiver, un port group est temporairement configuré en mode promiscuous, un compte local est créé "en attendant". La détection de drift automatisée est indispensable :

# Script de détection de drift - à exécuter via cron/scheduled task
function Get-ESXiComplianceDrift {
    $baseline = @{
        "SSH.Running" = $false
        "Lockdown" = "lockdownNormal"
        "AccountLockFailures" = 5
        "SyslogConfigured" = $true
        "PromiscuousMode" = $false
    }
    
    $drifts = @()
    
    Get-VMHost | ForEach-Object {
        $vmhost = $_
        
        # Check SSH
        $sshRunning = (Get-VMHostService -VMHost $vmhost | 
                       Where-Object { $_.Key -eq "TSM-SSH" }).Running
        if ($sshRunning -ne $baseline["SSH.Running"]) {
            $drifts += [PSCustomObject]@{
                Host = $vmhost.Name
                Setting = "SSH Service"
                Expected = "Stopped"
                Actual = "Running"
                Severity = "CRITICAL"
                Timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
            }
        }
        
        # Check Lockdown
        $lockdown = (Get-View $vmhost.ExtensionData.ConfigManager.HostAccessManager).LockdownMode
        if ($lockdown -eq "lockdownDisabled") {
            $drifts += [PSCustomObject]@{
                Host = $vmhost.Name
                Setting = "Lockdown Mode"
                Expected = $baseline["Lockdown"]
                Actual = $lockdown
                Severity = "CRITICAL"
                Timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
            }
        }
        
        # Check Promiscuous Mode
        Get-VirtualSwitch -VMHost $vmhost | ForEach-Object {
            $policy = Get-SecurityPolicy -VirtualSwitch $_
            if ($policy.AllowPromiscuous) {
                $drifts += [PSCustomObject]@{
                    Host = $vmhost.Name
                    Setting = "Promiscuous Mode ($($_.Name))"
                    Expected = "Disabled"
                    Actual = "Enabled"
                    Severity = "HIGH"
                    Timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
                }
            }
        }
    }
    
    if ($drifts.Count -gt 0) {
        Write-Host "`n[ALERTE] $($drifts.Count) dérives détectées !" -ForegroundColor Red
        $drifts | Format-Table -AutoSize
        
        # Envoyer une alerte par email ou webhook
        # Send-MailMessage -To "soc@domaine.local" -Subject "ESXi Drift Detected" ...
    } else {
        Write-Host "[OK] Aucune dérive détectée." -ForegroundColor Green
    }
    
    return $drifts
}

Get-ESXiComplianceDrift

9. Checklist de durcissement ESXi - 30 points

Cette checklist regroupe les 30 points de contrôle essentiels pour un hardening complet d'ESXi. Chaque point est classé par criticité et aligné sur les référentiels STIG et CIS Benchmark. Utilisez-la comme référence lors de vos audits et déploiements, en complément de notre guide de durcissement VMware ESXi qui couvre des aspects complémentaires.

Mécanismes cryptographiques

Pour approfondir ce sujet, consultez notre outil open-source docker-security-audit qui facilite la vérification de conformité des configurations Docker.

Questions frequentes

Sources et références : Proxmox VE Wiki · ANSSI

10. Conclusion et ressources

Le durcissement de VMware ESXi n'est pas un projet ponctuel mais un processus continu qui s'inscrit dans une stratégie globale de défense en profondeur. Les attaques ciblant les hyperviseurs se complexent d'année en année : des ransomwares opportunistes (ESXiArgs) aux APT étatiques (UNC3886, Volt Typhoon), la couche de virtualisation est devenue un objectif stratégique pour les adversaires. Chaque hôte ESXi non durci constitue un risque existentiel pour l'organisation qui l'exploite.

Ce guide a couvert l'ensemble du spectre de sécurisation : du verrouillage des accès (Lockdown Mode, SSH, DCUI) à la protection du réseau virtuel (vSwitch, VLAN, pare-feu), en passant par le stockage (CHAP, Kerberos NFS, chiffrement), la gestion des identités (AD, RBAC, PAM), la sécurité des VMs (Secure Boot, vTPM, VBS, isolation), le monitoring (Syslog, SIEM, détection de drift) et l'automatisation (PowerCLI, Ansible). La checklist de 30 points fournit un cadre structuré pour l'évaluation et l'amélioration continue de votre posture de sécurité.

Trois principes directeurs doivent guider votre approche :

1. Automatiser tout ce qui peut l'être : le hardening manuel est sujet aux erreurs et aux oublis. Les scripts PowerCLI et playbooks Ansible garantissent la cohérence et la reproductibilité. Intégrez-les dans votre pipeline CI/CD d'infrastructure.
2. Surveiller en permanence : une configuration durcie qui n'est pas surveillée dérive inévitablement. La détection de drift automatisée, couplée à l'intégration SIEM, est votre filet de sécurité contre la régression.
3. Tester avant de déployer : chaque mesure de durcissement doit être validée dans un environnement de qualification. Les interactions avec les solutions tierces (sauvegarde, monitoring, orchestration) peuvent être subtiles et ne se manifestent parfois qu'en conditions de charge.

Enfin, n'oubliez pas que le hardening de l'hyperviseur s'inscrit dans un écosystème plus large. La sécurité de vCenter Server, la protection de l'infrastructure physique (iLO/iDRAC, réseau de management OOB), la gestion des sauvegardes et la planification de la reprise après sinistre sont autant de composantes interdépendantes. Pour une vision transversale de la sécurité des environnements de virtualisation, notre comparatif de sécurité des hyperviseurs offre une perspective complémentaire.

Ressources officielles

• VMware Security Configuration Guide (SCG) : documentation officielle de durcissement pour vSphere 8.x
• DISA STIG for VMware vSphere 8 : guide d'implémentation technique pour les environnements gouvernementaux
• CIS Benchmark for VMware ESXi 8 : recommandations Level 1 et Level 2 du Center for Internet Security
• VMware Security Advisories (VMSA) : bulletins de sécurité et CVE associés aux produits VMware
• VMware PowerCLI Reference : documentation complète des cmdlets PowerCLI
• Ansible community.vmware collection : modules Ansible pour l'automatisation VMware

Articles connexes

• Durcissement VMware ESXi : guide de sécurisation complémentaire
• Proxmox vs VMware vs Hyper-V : comparatif de sécurité
• Anatomie d'un ransomware : kill chain et contre-mesures
• Exploitation Kerberos en environnement Active Directory
• Escalade de privilèges Linux : techniques et durcissement
• ISO 27001 : guide complet de conformité
• Forensique mémoire avec Volatility 3 : guide pratique

Analyse des impacts et recommandations

L'analyse des risques associés à cette problématique révèle des impacts potentiels significatifs sur la confidentialité, l'intégrité et la disponibilité des systèmes d'information. Les recommandations présentées s'appuient sur les référentiels de l'ANSSI et du NIST pour garantir une approche structurée de la remédiation.

Mise en œuvre opérationnelle

La mise en œuvre des mesures de sécurité décrites dans cet article nécessite une approche progressive, en commençant par les actions à gain rapide avant de déployer les contrôles plus complexes. Un plan d'action priorisé permet de maximiser la réduction du risque tout en respectant les contraintes opérationnelles de l'organisation.

Perspectives et évolutions

Le paysage des menaces évolue continuellement, rendant nécessaire une veille permanente et une adaptation régulière des stratégies de défense. Les tendances actuelles indiquent une sophistication croissante des techniques d'attaque et une nécessité d'automatisation accrue des processus de détection et de réponse.