为什么虚拟机也需要安全防护
很多人觉得，虚拟机只是跑在电脑里的一个“小系统”，出了问题删掉重装就行，没必要太在意安全。可现实是，不少企业用虚拟机跑数据库、网站后台甚至财务系统，一旦被攻破，影响的可是真金白银。
比如公司开发人员为了测试方便，在虚拟机里搭了个旧版本的Web服务，没打补丁也没设访问限制。结果这台虚拟机被扫描到漏洞，黑客顺着它跳进了内网，把整个文件服务器加密勒索。这种事不是段子，而是真实发生过的案例。
基础设置不能马虎
新建虚拟机后第一件事，别急着装软件，先把基本安全项过一遍。关闭不必要的硬件直通功能，比如USB控制器、声卡、打印机端口，这些都可能成为攻击入口。VMware或VirtualBox这类平台，默认可能会开启共享剪贴板或文件夹，测试时挺方便，但长期运行建议关掉或设为“只读”。
操作系统安装完成后，立刻修改默认账户密码，禁用Guest账户，删除不用的用户。很多镜像自带弱密码，比如root/123456，暴露在网络中等于敞开门等贼进来。
网络隔离要到位
虚拟机的网络模式选择很关键。如果只是本地测试，用NAT模式就够了，外网无法主动访问它。需要对外提供服务时，再考虑桥接模式，但必须配合防火墙规则。
举个例子，你在家里用Hyper-V跑了一个测试网站，用了桥接模式直接拿到局域网IP。这时候一定要在宿主机和虚拟机双重开启防火墙，只放行80和443端口，其他一律拒绝。否则，你的测试环境可能某天就成了挖矿程序的藏身地。
定期更新与快照策略
和物理机一样，虚拟机里的系统和软件也要及时打补丁。Windows自动更新建议开启，Linux可以用cron定时执行apt-get update && apt-get upgrade。别嫌烦，一次延迟可能就给了漏洞利用机会。
快照功能很好用，但别滥用。有人习惯每次改配置前拍个快照，改错了就回滚。可如果在中毒后才意识到问题，而快照是在感染期间创建的，那恢复等于重新引入病毒。建议在系统干净、更新完成后再创建基准快照，并标注日期。
启用日志监控
别等到出事才查记录。在虚拟机内部开启系统日志审计，比如Linux的auditd服务，记录关键目录的访问、用户登录登出行为。宿主机上也应保留虚拟机的运行日志，查看是否有异常启动、资源暴增等情况。
例如某次你发现虚拟机CPU持续跑满，查任务管理器又没看到大程序，这时候翻日志发现凌晨有陌生IP登录并执行了脚本，基本就能判断是否遭入侵了。
代码示例：简单防火墙规则
以Ubuntu虚拟机为例，使用ufw快速配置基础防火墙：
sudo ufw enable
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22 # SSH
sudo ufw allow 80 # HTTP
sudo ufw allow 443 # HTTPS这样设置后，除了指定端口，外部无法连接到该虚拟机其他服务，降低暴露面。
资源分配适度
有人为了让虚拟机跑得快，直接分给它8核CPU和16G内存。其实大多数应用场景根本用不到这么多。过度分配不仅浪费资源，还可能让攻击者有更多空间隐藏恶意进程。按需分配，既能保证性能，也能减少风险。
比如你只是跑个轻量API服务，2核4G足够。多出来的资源省下来还能多开几台隔离环境，各司其职，安全性反而更高。