L'isolamento delle VM è l'uso di macchine virtuali per mantenere un carico di lavoro separato da un altro, assegnando a ciascun tenant il proprio sistema operativo guest, l'hardware virtuale e lo spazio di processo. L'obiettivo è limitare ciò che un tenant può vedere o influenzare se un altro tenant viene compromesso o si comporta in modo anomalo. Nelle piattaforme cloud, questo riduce il raggio di esplosione di bug, malware e configurazioni errate.
Nella pratica della sicurezza, l'isolamento delle VM è importante perché rappresenta solo un livello di difesa. Può bloccare l'esecuzione diretta di codice tra tenant, ma non risolve automaticamente problemi al di sotto del guest, come l'archiviazione condivisa, il riutilizzo della memoria o i difetti dell'hypervisor. Gli aggressori possono cercare canali laterali, bug di escape o dati residui lasciati su dischi e snapshot riutilizzati. I difensori rafforzano l'isolamento delle VM con hypervisor hardenizzati, una rigorosa pulizia delle risorse, la cancellazione dei dati dello storage riutilizzato e test continui dei percorsi di teardown. Un isolamento forte è sia separazione in esecuzione sia accurata pulizia dopo l'arresto di una VM.