Virtual Machine Manager. Защита ВМ от несанкционированного доступа. Уголок параноика.

Коллеги! Подскажите, пожалуйста, как лучше защитить ВМ от НСД. Уязвимость вижу в следующем. Злоумышленник, получив физический доступ к устройству, сбрасывает пароль Admin'a, получает доступ к запуску ВМ и возможности их экспорта и анализа у себя на устройстве с использованием соответствующих программных инструментов. За папки общего доступа, зашифрованные средствами DSM я не опасаюсь, доступ злоумышленника к данным в этом случае существенно затруднён. А вот ВМ существенно уязвимы. Разместить NAS в охраняемом помещении нет возможности, поменять его на другую систему пока тоже невозможно. Необходимо осуществить защиту имеющейся (DS920+, DSM 7) системы. Есть соображения по поводу защиты ВМ от НСД? Где вообще DSM хранит образы ВМ и возможно ли зашифровать эту папку? Или, может быть, "поработать" внутри ВМ (Windows 10 Pro) и повысить стойкость? Ведь, получив возможность запускать ВМ, злоумышленник может сбросить пароль винды и получить доступ к системному диску.