言われている設定で、ひとまずは安全だと言えます。
漠然と不安に思われているようなので、セキュリティへの考え方の一般論を余談として書いておきます。
絶対の安全というものは存在しません。どのようにしてリスクを下げるのか、リスクを下げるコストが妥当な範囲なのかって事になります。
子パーティションに侵入された場合に、親パーティションや他の子パーティションが安全なのかと言うと、Hyper-V はソフトウェア的に仮想マシンを分離しているので、何らかの方法を使って親パーティションやほかの子パーティションに侵入されるリスクはあります。
ただ、現状で子パーティションから親パーティションや、他の子パーティションを直接攻撃できる脆弱性が発表されていないので、すぐに危険な状態に陥るというわけではないでしょう。
このリスクを軽減したいのであれば、物理マシンで構築して、物理的に隔離し、ファイアウォールなどで分離する必要があります。
では、ファイアウォールで分離すれば安全なのかと言うと、ファイアウォールを突破されればおしまいなので、リスクを低減するだけで絶対安全になるというわけではありません。
仮にファイアウオールを突破できなくても、DNS キャッシュボィゾニングでアップデートファイルを配布している MS のサーバ IP アドレスが書き換えられてしまえば、アップデートファイルそのものの信頼性が怪しくなってしまいますね。
安全な DNS 環境を構築して、更にファイアウォールのセキュリティ監視を専門業者に依頼して、常時監視してもらい、怪しい通信を検出した際には通信を切断してもらうって契約をすると... これはかなり高い安全性を確保できます。
ここまでやると、コストもかなり膨らみます。求められているセキュリティはこのコストに見合うものでしょうか?
それでは、物理的にネットワークを分離すれば安全なのかと言うと、持ち込みの USB メモリとか侵入経路は色々想定されます。
セキュリティに「こうすれば大丈夫」みたいな万能解は存在しません。漠然と「安全」「危険」だけを言っても、不安が募るだけです。
# 最低限こうしないとリスクが高くなりすぎるってのはありますけど
セキュリティを設計する際は、どんなリスクから何を守るのかを具体的に想定して、多角的にリスクを下げる必要があります(結果的に多層防御が一番の有効打になります)
リスク低減の処置を施しても、ほぼ間違いなく残存リスクが残ります(これをゼロにしようとすると膨大なコストが必要になる)ので、残存リスクとどう付き合うのかを考えて、残存リスクが現実のものにならないように、日々監視や運用をする必要があります。
WSUS がインターネットから丸見えにならないようにファイヤウォールを入れ、全てのサーバとクライアント PC の Windows Update とウイルス対策ソフトのパターンを最新に更新するのは最低限必要ですが、それ以上のセキュリティはケースバイケースになりますね。
MVP for Virtual Machine : Networking
