如何防止 ESXi 主机的管理界面被恶意攻击者利用？

防止ESXi主机管理界面被恶意攻击的关键措施包括：定期更新补丁、限制访问IP范围、启用防火墙、禁用非必要服务、使用强密码及多因素认证。

延伸知识点：基于角色的访问控制（RBAC） 在vSphere中，RBAC通过精细分配权限降低风险。步骤如下：1. 创建自定义角色（如“监控员”），仅勾选“性能监控”等必要权限；2. 将角色分配给特定AD组，而非个人账户；3. 在vCenter中将ESXi主机对象与该角色绑定。此举确保即使账户泄露，攻击者也无法执行高危操作（如虚拟机删除或配置修改）。同时需定期通过“全局权限”列表审查各账户权限，删除冗余授权。

1. 网络访问控制：在防火墙设置中仅允许受信任的IP或IP段访问ESXi管理端口（默认443/902），禁止公网暴露。

2. 修改默认端口：通过vSphere Client更改ESXi管理界面默认端口（如HTTPS端口443），降低扫描攻击风险。

3. 强密码与多因素认证：启用ESXi本地账户的复杂密码策略（长度≥12，含大小写/符号），并集成RADIUS或VMware Identity Manager实现MFA。

4. 关闭非必要服务：通过CLI禁用ESXi Shell、SSH服务（esxcli system ssh set --enabled=false）及DCUI，仅在维护时临时启用。

5. 定期更新补丁：通过VMware Lifecycle Manager（VLCM）或CLI命令（esxcli software vib update）及时安装ESXi版本和驱动安全补丁。

6. 日志监控：配置syslog将ESXi日志转发至SIEM系统（如vRealize Log Insight），设置异常登录/配置变更的实时告警。

7. 限制API访问：通过vSphere API Management界面禁用非必要API端点，并对vSphere API调用启用证书认证。

8. 启用Lockdown模式：在主机配置中启用Lockdown Mode，限制仅vCenter Server具有管理权限，防止直接本地操作。

9. 证书加固：替换ESXi默认自签名证书为CA签发证书，并配置TLS 1.2+协议，禁用SSLv3等不安全加密套件。

10. 备份与恢复验证：定期通过Veeam或NAI备份ESXi配置，并测试快速恢复流程以应对勒索软件攻击场景。