Rsync копирование исключенных каталогов

Да, у вас есть дополнительная защита, кроме «только», чтобы защитить хост. Идея заключается в том, что внутри виртуальной машины вы устанавливаете / настраиваете только минимальное количество функций (независимо от того, какие из них могут быть - будь то установленные пакеты, сетевая конфигурация и т. Д.), Которые вам нужны для этой конкретной виртуальной машины.

Кроме того, вы получаете немного более выразительную силу для правил брандмауэра (вы можете точно настроить, какие приложения, выполняемые внутри виртуальной машины, могут делать по сети). Например, у вас может быть виртуальная машина специально для вашего онлайн-банкинга; это установило бы только ваше программное обеспечение онлайн-банкинга, и единственная запись в брандмауэре для IP-адреса виртуальной машины была бы единственной для вашего банка. Это не защищает вашу хост-систему, но защищает ваш опыт онлайн-банкинга от любого другого пакета, который вы, возможно, установили на других виртуальных машинах или на хосте, - им приходится усложнять захват вашей сессии и т. Д. (В зависимости от того, как это все реализован технически, очевидно, просто возьмите это в качестве примера).

Вы настроили эту виртуальную машину таким образом, чтобы было невозможно подключиться к ней извне и невозможно было подключиться от виртуальной машины к все остальное (кроме вашего банковского сервера). Он не имел бы общего доступа к аппаратным средствам, не соблюдал бы требования USB-plug & amp; play и т. Д. И т. Д.

Это тот же самый вид безопасности, который вы получаете путем контейнеризации в целом, например, в приложениях микросервиса, где все работает в своем собственном контейнере (Docker).