Broadcom a présenté VMware HyperArmor, une nouvelle solution de sécurité conçue pour VMware Cloud Foundation (VCF), visant à protéger l’hyperviseur VMware ESX contre l’exécution de code non autorisé, le vol de crédentials et l’exploitation de vulnérabilités. Cet outil intègre une protection virtuelle au niveau de l’hôte, des contrôles d’exécution, ainsi qu’une authentification multi-facteurs pour l’accès SSH, sans nécessiter d’agents à l’intérieur des machines virtuelles ni de redémarrages de l’hôte pour appliquer ses mécanismes de défense contre les vulnérabilités.

Les points clés de VMware HyperArmor en 20 secondes

• Broadcom présente HyperArmor comme une nouvelle couche de sécurité pour VMware Cloud Foundation et l’hyperviseur ESX.
• La solution permet de bloquer des actions malveillantes sur l’hôte via des correctifs virtuels, sans attendre une mise à jour officielle.
• Un système de contrôle d’exécution empêche le lancement de scripts et programmes non autorisés.
• L’authentification multi-facteurs protège les accès administratifs SSH, même si un attaquant parvenait à obtenir le mot de passe root.
• HyperArmor complète les fonctions de sécurité réseau et virtualisation de VMware, avec une compatibilité annoncée pour ESX 8.x et versions ultérieures.

Ce lancement répond à une problématique récurrente dans les environnements de virtualisation : l’hyperviseur concentre l’accès aux ressources des machines virtuelles et constitue une pièce maîtresse de l’infrastructure. Si un attaquant obtient des privilèges élevés ou exploite une vulnérabilité à ce niveau, il peut compromettre plusieurs services hébergés sur un même hôte.

Broadcom présente HyperArmor comme une mesure préventive permettant de réduire la dépendance à la détection après coup et à l’application immédiate de correctifs traditionnels. La société affirme que cette protection peut raccourcir la période pendant laquelle un système est exposé, sans interrompre les charges de travail dépendantes de l’hôte.

Trois mécanismes pour sécuriser l’hyperviseur ESX

VMware HyperArmor intègre trois groupes principaux de fonctionnalités : un correctif virtuel au niveau de l’hôte, des restrictions sur l’exécution du code, et une authentification multi-facteurs intégrée pour l’accès administratif.

Le premier est le correctif virtuel de l’environnement de l’hôte ESX de VCF. La technologie détecte et bloque avant leur exploitation certaines actions malveillantes. Elle vise ainsi à offrir une protection provisoire en attendant que les administrateurs préparent, testent et déploient les correctifs officiels selon leur calendrier de maintenance.

Broadcom souligne que ces mécanismes ne requièrent pas de redémarrage de l’hôte ni de mise à jour logicielle pour activer la mitigation virtuelle des vulnérabilités compatibles. Cela peut offrir une plus grande marge de manœuvre aux équipes opérationnelles lors de la validation d’une mise à jour avant son déploiement en production. Cependant, cela ne dispense pas de l’installation des correctifs officiels : la protection virtuelle constitue une couche supplémentaire, mais ne remplace pas la correction définitive de la vulnérabilité.

La seconde fonction concerne les restrictions de sécurité sur l’hôte. HyperArmor établit une base d’exécution autorisée pour les processus et scripts du système ESX. Selon Broadcom, la solution inventorie, puis autorise automatiquement, les scripts présents dans l’hôte, tout en exigeant une validation manuelle pour tout nouveau script. L’objectif est d’empêcher l’exécution de programmes non autorisés et de réduire la possibilité qu’un attaquant utilise l’hôte pour lancer du code malveillant.

La société indique que ce mécanisme permet une surveillance continue et la mise en œuvre de contrôles de conformité avec un impact minimal sur les performances. Toutefois, aucune mesure de performance indépendante n’est fournie, et la validité de cette assertion doit être vérifiée en conditions réelles.

La troisième fonction porte sur l’authentification multi-facteurs (MFA) pour l’accès SSH à l’hyperviseur. HyperArmor intègre un second facteur dans le processus de connexion SSH. Après avoir saisi les identifiants classiques, l’administrateur doit réaliser un défi supplémentaire, utilisant un mot de passe à usage unique lié à une identité séparée.

Ce mécanisme vise à empêcher qu’une simple capture du mot de passe root ne suffise pour accéder à la ligne de commande de l’hyperviseur. Même si un attaquant parvient à obtenir ce mot de passe via phishing ou fuite, il devra ensuite dépasser le second facteur. Cette protection s’applique uniquement à l’accès SSH et ne doit pas être vue comme une garantie contre toutes les voies possibles d’accès au système.

Broadcom annonce une compatibilité avec VMware ESX 8.x et versions ultérieures.

Intégration de HyperArmor dans la sécurité de VMware Cloud Foundation

HyperArmor n’est pas présenté comme un produit isolé, mais comme une nouvelle couche au sein de l’écosystème de sécurité de VMware Cloud Foundation. Broadcom souhaite associer la protection de l’hyperviseur avec les contrôles d’identité, de chiffrement, de patching et de sécurité réseau déjà intégrés à la plateforme.

Parmi les fonctionnalités mises en avant, figure VMware vSphere Live Patch, qui permet d’appliquer certains correctifs critiques au niveau de l’hyperviseur sans interrompre les charges de travail ni mettre l’hôte en mode de maintenance complet. Ce qui distingue cette fonctionnalité du correctif virtuel de HyperArmor : elle permet de réduire des actions malveillantes tout en autorisant l’application d’évolutions logicielles compatibles.

La sécurité réseau est assurée en partie par VMware vDefend, proposant microsegmentation ainsi que détection et prévention des menaces pour les charges de VCF. Elle offre également un correctif virtuel au niveau réseau qui complète la protection déployée par HyperArmor sur l’hôte.

De son côté, VMware Avi Load Balancer inclut des fonctionnalités de sécurité pour les applications web et API, nommées WAAP (Web Application and API Protection). Tandis qu’HyperArmor agit au niveau de l’environnement d’exécution de l’hyperviseur, cette solution se concentre sur le trafic vers les applications et services web.

L’ensemble vise une couverture multi-niveaux de l’infrastructure : l’hôte, le réseau virtuel, les charges de travail et le trafic applicatif. Ce paradigme est particulièrement pertinent dans les clouds privés et centres de données où des services aux exigences variées cohabitent sur la même plateforme de virtualisation.

Broadcom insiste sur le fait que l’augmentation de la vitesse et de la complexité des attaques, favorisées par l’intelligence artificielle, impose de renforcer en amont les dispositifs de prévention. Stephen Elliot, vice-président chez IDC, a souligné lors du lancement l’importance de réduire la durée d’exposition des systèmes sans interrompre leur fonctionnement. Ces propos représentent l’avis de l’expert, et non une évaluation indépendante de l’efficacité précise d’HyperArmor.

Critères de réflexion pour les administrateurs avant l’adoption

Pour les équipes d’infrastructure, l’intérêt de HyperArmor dépendra de l’intégration avec les versions d’ESX déjà déployées, des processus d’administration en place et des règles de sécurité existantes. La capacité à activer des mesures préventives sans agent dans les machines virtuelles pourrait simplifier certains déploiements, mais la compatibilité doit être vérifiée dans chaque contexte spécifique.

Il faut également faire la différence entre bloquer une exploitation et corriger la vulnérabilité sous-jacente. Le correctif virtuel peut réduire le risque durant la période de vulnérabilité, mais il reste à gérer les mises à jour officielles, évaluer les changements et maintenir un inventaire précis des systèmes.

Les contrôles d’exécution autorisée exigent des procédures claires pour approuver de nouveaux scripts et éviter que des opérations légitimes soient bloquées. Par ailleurs, l’authentification multi-facteurs doit s’intégrer aux processus d’accès et de récupération de comptes pour ne pas compliquer les opérations de maintenance.

Broadcom ne communique pas sur le prix de HyperArmor, ses modalités commerciales, sa date de disponibilité précise ni ses conditions de licence. Les organisations intéressées doivent consulter la documentation officielle et s’assurer que leur environnement est compatible avant d’engager une mise en œuvre.

Foire aux questions

Qu’est-ce que VMware HyperArmor ?

Il s’agit d’une solution de Broadcom visant à renforcer la sécurité de l’hyperviseur VMware ESX dans les environnements VMware Cloud Foundation. Elle combine correctifs virtuels, contrôle de l’exécution du code et authentification multi-facteurs pour l’accès SSH.

HyperArmor nécessite-t-il de redémarrer les hôtes ESX ?

Broadcom affirme que ses mécanismes de correctifs virtuels peuvent atténuer les vulnérabilités sans nécessiter de redémarrage ni de mise à jour logicielle. Cependant, cela ne dispense pas de l’installation des correctifs officiels lorsque cela devient nécessaire.

Quelles versions de VMware ESX sont compatibles ?

Broadcom annonce une compatibilité avec VMware ESX 8.x et versions ultérieures. Les détails précis doivent être confirmés dans la documentation officielle.

En quoi HyperArmor diffère-t-il de VMware vDefend ?

HyperArmor sécurise l’hôte et l’hyperviseur via des contrôles d’exécution, des correctifs virtuels et une MFA pour SSH. VMware vDefend, quant à lui, se concentre sur la sécurité réseau, proposant notamment la microsegmentations et la détection/prévention des menaces.