Значительная часть укрепления безопасности на любой платформе — это изменение конфигураций по умолчанию на более защищенные. Вы правы, они обе стартуют довольно безопасно. Установите sudo, создайте пользователей, отличных от root, принудительно включите TOTP (TFA) в GUI для всех учетных записей, убедитесь в наличии TLS-сертификатов для GUI, укрепите ssh (инструкции доступны онлайн), включите и используйте брандмауэр PVE. Убедитесь, что хосты находятся в отдельных сетях от гостей, изолируйте внутренние сети, которым не требуется внешняя связь. Например, corosync, Ceph backend, миграция. И это плюс следующие дополнительные пункты для PBS: Отделите сеть от PVE, разрешите доступ к PVE только через 8007, создайте пользователя и токен для резервного копирования PVE с минимальными правами. Именно этот токен используется в PVE для подключения к PBS.

Мы также используем дополнительный прокси между PVE и пользователями, использующими его, чтобы фактические хосты PVE вообще были недоступны. Это можно сделать с обратным прокси с привязными куками. Дополнительно (просто чтобы упомянуть): запускайте порты управления в отдельной, изолированной сети — то же самое для коммутаторов Ethernet/SAN, ИБП и т.д. Разделяйте как можно больше с помощью дополнительных VLAN или SDNs. Рассмотрите использование Keycloak или аналога для дальнейшей защиты. Имейте отдельные пользователей/роли для фактической административной работы и повседневного использования (например, администратор с несколькими ролями). Никогда не работайте от имени root (также для PVE, а не только для гостевых систем). У PVE очень полезная функция: группы безопасности. Не могу достаточно подчеркнуть, насколько это хорошо. Примените это к каждой виртуальной машине, и всё будет в порядке. Имейте внутри вашей виртуальной машины проверку, которая проверяет, применена ли группа безопасности брандмауэра по умолчанию, чтобы ничего не пропустить (у нас это реализовано со специальным JSON-endpoint, который должен быть недоступен, если мы включили нашу виртуальную DMZ группу безопасности для виртуальной машины).

Сервер работает, но мы сейчас только на одном сервере, где сделана "хардёнинг"... это долгосрочный прототип.

Всем привет! Я создала базовый чек-лист по комплаенсу, пока не привязанный ни к какому конкретному бенчмарку. Надеюсь, кому-то здесь пригодится. Буду рада любому фидбэку. ReadySpace.