VM_SECURITY_ISOLATION_FAILURE

VM_SECURITY_ISOLATION_FAILURE oznacza naruszenie izolacji bezpieczeństwa między maszyną wirtualną a hostem — dotyczy funkcji Shielded VM lub Virtualization-based Security.

VM_SECURITY_ISOLATION_FAILURE – co oznacza ten błąd

VM_SECURITY_ISOLATION_FAILURE opisuje sytuację, w której zostaje zakwestionowana separacja ochronna pomiędzy systemem działającym w maszynie wirtualnej a systemem gospodarza. Taka izolacja ma ograniczać możliwość oddziaływania kodu uruchomionego wewnątrz środowiska gościa na zasoby znajdujące się poza nim. Jeżeli mechanizmy kontroli uznają, że granica zaufania nie może zostać utrzymana, uruchomienie maszyny wirtualnej, wznowienie jej pracy albo dostęp do chronionych funkcji może zostać zablokowany.

Komunikat nie musi oznaczać fizycznego uszkodzenia komputera. Często wskazuje na niespójność konfiguracji ochrony, problem z modułem odpowiedzialnym za bezpieczne uruchamianie albo zmianę wprowadzoną po aktualizacji systemu. Znaczenie błędu zależy od tego, w którym momencie się pojawia: podczas startu systemu, włączania funkcji bezpieczeństwa, uruchamiania maszyny wirtualnej czy odtwarzania wcześniej zapisanej sesji.

Izolacja maszyny wirtualnej a pozostałe mechanizmy ochronne

Maszyna wirtualna korzysta z kilku warstw kontroli. Jedna z nich odpowiada za przydzielanie procesora, pamięci i urządzeń, inna za ochronę kodu wykonywanego w środowisku gościa, a jeszcze inna za potwierdzenie, że system został uruchomiony w oczekiwanym stanie. Błąd VM_SECURITY_ISOLATION_FAILURE pojawia się wtedy, gdy te warstwy nie mogą uzgodnić wspólnego poziomu ochrony.

W praktyce warto odróżnić zwykły problem z wydajnością od problemu z izolacją. Powolne działanie maszyny wirtualnej może wynikać z braku zasobów, natomiast naruszenie izolacji dotyczy zaufania i kontroli dostępu. Podobnie awaria pojedynczego sterownika nie zawsze ma taki sam skutek jak konflikt pomiędzy ustawieniami uruchamiania, ochroną pamięci i obsługą sprzętowych funkcji wirtualizacyjnych. Zmiana jednego parametru może więc wpłynąć na kilka zależnych elementów jednocześnie.

Analiza powinna obejmować konfigurację oprogramowania wirtualizacyjnego, ustawienia firmware, stan aktualizacji systemu oraz sposób, w jaki zostały aktywowane funkcje ochronne. Należy także sprawdzić, czy po zmianie konfiguracji nie pozostały zapisane dane sesji utworzone przy innym poziomie zabezpieczeń. W takim przypadku problem może dotyczyć nie samej maszyny, lecz niezgodności pomiędzy jej poprzednim i obecnym środowiskiem uruchomieniowym.

Typowe przyczyny i objawy VM_SECURITY_ISOLATION_FAILURE

Jedną z częstszych przyczyn jest rozbieżność pomiędzy ustawieniami włączonymi w systemie a możliwościami lub stanem firmware. Znaczenie mogą mieć również aktualizacje systemu, sterowników chipsetu, oprogramowania odpowiedzialnego za wirtualizację albo komponentów ochrony uruchamianych przed właściwym startem systemu. Błąd może zostać wywołany także przez ręczne wyłączenie funkcji sprzętowej, zmianę trybu uruchamiania lub przywrócenie starszej konfiguracji z kopii.

Objawy bywają różne. Maszyna wirtualna może zatrzymywać się jeszcze przed uruchomieniem systemu gościa, zgłaszać odmowę dostępu do chronionego zasobu albo nie pozwalać na wznowienie zapisanej sesji. Czasem komunikat pojawia się po restarcie, mimo że wcześniej wszystko działało prawidłowo. Możliwe są także powtarzające się restarty, brak dostępu do funkcji bezpieczeństwa, komunikaty o niespełnionych wymaganiach oraz różnica w zachowaniu pomiędzy kilkoma maszynami korzystającymi z tego samego komputera.

Przy diagnostyce nie powinno się od razu wyłączać wszystkich mechanizmów ochronnych. Takie działanie może chwilowo usunąć komunikat, ale jednocześnie obniżyć poziom zabezpieczeń i utrudnić ustalenie przyczyny. Bezpieczniej jest najpierw zapisać pełną treść błędu, ustalić moment jego wystąpienia, sprawdzić ostatnie zmiany w konfiguracji i rozdzielić problem dotyczący jednej maszyny od problemu obejmującego całe środowisko.

Kiedy trzeba zgłosić sprzęt do serwisu - VM_SECURITY_ISOLATION_FAILURE

Zgłoszenie do serwisu jest zasadne, gdy błąd powraca po ponownym uruchomieniu, uniemożliwia dostęp do potrzebnej maszyny wirtualnej albo pojawił się po aktualizacji, zmianie ustawień firmware lub wymianie podzespołu. Warto przekazać opis ostatnich zmian, dokładny komunikat, informacje o tym, czy problem dotyczy jednej czy wielu maszyn, oraz dane o ewentualnych kopiach konfiguracji. Ułatwia to odróżnienie konfliktu ustawień od uszkodzenia komponentu odpowiedzialnego za uruchamianie i ochronę systemu.

W Warszawie taką weryfikację można zlecić w serwisie laptopów i komputerów PC, gdzie dostępna jest darmowa diagnoza LAPTOPA. Przed rozpoczęciem prac można ustalić zakres sprawdzenia, sposób zabezpieczenia danych oraz to, czy konieczne będzie odtworzenie konfiguracji po wcześniejszej zmianie ustawień. Nie należy samodzielnie usuwać plików maszyn wirtualnych ani kasować punktów kontrolnych przed wykonaniem kopii, ponieważ mogą zawierać dane potrzebne do odtworzenia środowiska.

Jeżeli po błędzie system nadal się uruchamia, zaleca się zanotowanie czasu wystąpienia problemu i wykonanie kopii ważnych danych. Gdy uruchomienie jest całkowicie zablokowane, priorytetem pozostaje zachowanie nośnika w niezmienionym stanie oraz ograniczenie kolejnych prób przypadkowej rekonfiguracji. Dzięki temu możliwe jest przeprowadzenie diagnostyki z uwzględnieniem ustawień bezpieczeństwa, integralności systemu i zależności pomiędzy środowiskiem gospodarza a maszyną wirtualną.