虛擬化中的安全

在許多情況下，虛擬化改變了安全領(lǐng)域的規(guī)則，企業(yè)需要對(duì)各自的安全戰(zhàn)略進(jìn)行相應(yīng)調(diào)整。目前有一種普遍觀點(diǎn)，以為安全根本不成問(wèn)題;因?yàn)樗刑摂M化服務(wù)器都駐留在企業(yè)網(wǎng)絡(luò)內(nèi)部的深處;因而自動(dòng)得到了現(xiàn)有安全設(shè)備的保護(hù)。然而，與傳統(tǒng)計(jì)算環(huán)境里面的關(guān)系相比，虛擬平臺(tái)會(huì)導(dǎo)致IT資源之間出現(xiàn)完全不同、更加動(dòng)態(tài)的關(guān)系，而這影響到網(wǎng)絡(luò)安全。

以下四個(gè)方面是需要考慮的虛擬化安全問(wèn)題：

1. 集成還是分散保護(hù)虛擬服務(wù)器

正如在物理服務(wù)器上一樣，添加安全軟件會(huì)增加工作負(fù)載，消耗資源，降低性能。虛擬化的服務(wù)器相比物理服務(wù)器來(lái)說(shuō)，能夠以更高的效率來(lái)利用資源，但這并不意味著一眼就能看到在何處、如何實(shí)施安全措施。是在每個(gè)虛擬機(jī)中安裝代理程序來(lái)保護(hù)它們的安全更好，還是說(shuō)這樣做會(huì)消耗太多的資源，而認(rèn)為使用某種可以監(jiān)視一組VM的工具更好。

2. VM之間的通訊需要加密

虛擬化服務(wù)器不僅僅意味著能夠把多個(gè)操作系統(tǒng)集成到一臺(tái)機(jī)器中，它意味著在這臺(tái)機(jī)器中建立一個(gè)網(wǎng)絡(luò)，這臺(tái)機(jī)器中的所有VM能通過(guò)這個(gè)網(wǎng)絡(luò)相互通信，并能與運(yùn)行在其他服務(wù)器上的應(yīng)用，以及Internet進(jìn)行通信。同樣的加密技術(shù)可以幫助鎖住會(huì)感染數(shù)據(jù)中心中運(yùn)行的VM或系統(tǒng)的惡意軟件，即使一個(gè)VM受感染，仍能保護(hù)其余VM安全無(wú)恙。

3. 根據(jù)請(qǐng)求數(shù)據(jù)的環(huán)境執(zhí)行安全策略

與MAC或IP地址緊密相聯(lián)的安全策略，在相關(guān)實(shí)體是虛擬時(shí)會(huì)變得效果不佳。當(dāng)應(yīng)用運(yùn)行在虛擬機(jī)中時(shí)，安全設(shè)備必須考慮到誰(shuí)想訪問(wèn)、他們想訪問(wèn)什么、何時(shí)何地訪問(wèn)，以及他們是從什么設(shè)備而來(lái)。一個(gè)公有云或私有云中的虛擬機(jī)之間應(yīng)當(dāng)能夠執(zhí)行同樣水平的安全策略，要能夠根據(jù)請(qǐng)求數(shù)據(jù)的環(huán)境而不是發(fā)出請(qǐng)求的MAC或IP地址來(lái)執(zhí)行安全策略。

4. 仔細(xì)檢查過(guò)VM之間的地帶

運(yùn)行虛擬服務(wù)器意味著運(yùn)行額外的操作系統(tǒng)—VMware的vSphere、Citrix的Xenserver或Microsoft的Windows Server 2008—這些操作系統(tǒng)會(huì)受到黑客或針對(duì)VM或系統(tǒng)管理程序的惡意軟件的攻擊。惡意軟件不僅能通過(guò)與Internet的連接向虛擬機(jī)傳播，而且一旦感染防火墻內(nèi)或物理服務(wù)器內(nèi)的一個(gè)VM后(尤其當(dāng)VM被設(shè)置為使它們能相互訪問(wèn)的支持故障切換或?yàn)?zāi)難恢復(fù)功能時(shí))，會(huì)在VM之間傳播。Hochmuth說(shuō)，即使虛擬化軟件拆除服務(wù)器之間的高墻讓它們可以共享空間、數(shù)據(jù)或工作負(fù)載之后，數(shù)據(jù)加密或采用身份保護(hù)措施也可以在服務(wù)器之間重建這個(gè)高墻來(lái)保護(hù)數(shù)據(jù)安全。

我們可以嘗試從以下五個(gè)點(diǎn)來(lái)加強(qiáng)虛擬化的安全：

第一：虛擬化定義：談?wù)撎摂M化安全時(shí)，要考慮的第一個(gè)重要因素就是定義虛擬環(huán)境到底是什么，因?yàn)檫@將界定對(duì)網(wǎng)絡(luò)構(gòu)成的威脅類型。虛擬環(huán)境是指直接或間接涉及虛擬主機(jī)的一切。虛擬環(huán)境的部件包括但不僅限于管理工具、備份工具、存儲(chǔ)系統(tǒng)、虛擬網(wǎng)絡(luò)和物理網(wǎng)絡(luò)。如果對(duì)虛擬環(huán)境定義不當(dāng)，就會(huì)導(dǎo)致企業(yè)忽視一個(gè)重要的安全問(wèn)題，從而危及整個(gè)網(wǎng)絡(luò)。

第二：一開(kāi)始就讓IT安全小組參與進(jìn)來(lái)：如果安全小組在項(xiàng)目的后期階段才參與進(jìn)來(lái)，必然造成安全系統(tǒng)經(jīng)過(guò)改造后堆砌到網(wǎng)絡(luò)上的結(jié)果。安全方面變得異常復(fù)雜。不過(guò)復(fù)雜的解決方案和規(guī)程加大了配置出錯(cuò)的可能性，結(jié)果實(shí)際上削弱了安全效果。Gartner公司近期的一份報(bào)告表明，99%以上的安全泄密事件是由配置不當(dāng)引起的。

第三：安全機(jī)制引入到虛擬環(huán)境：虛擬環(huán)境是內(nèi)部網(wǎng)絡(luò)的一部分，很容易遭到安全威脅，所以對(duì)它要像對(duì)內(nèi)部網(wǎng)絡(luò)的其余部分那樣予以足夠有效的保護(hù)。防火墻等傳統(tǒng)的物理安全設(shè)備存在一大缺點(diǎn)，原因在于它們無(wú)法了解虛擬環(huán)境的內(nèi)部情況。雖然物理安全設(shè)備能夠看清進(jìn)出虛擬環(huán)境的每個(gè)數(shù)據(jù)包，但看不清內(nèi)部流量情況。換句話說(shuō)，如果某個(gè)虛擬機(jī)被感染，該虛擬機(jī)會(huì)傳染到整個(gè)虛擬網(wǎng)絡(luò)，物理安全設(shè)備卻毫無(wú)察覺(jué)。所以不管你在物理環(huán)境采用什么樣的安全戰(zhàn)略，虛擬化環(huán)境也要有一套同樣的安全戰(zhàn)略。如果你在應(yīng)用程序之間以及網(wǎng)段之間采用內(nèi)部防火墻機(jī)制，并開(kāi)始對(duì)應(yīng)用程序和網(wǎng)段進(jìn)行虛擬化處理，或者甚至像一些主機(jī)托管公司那樣對(duì)數(shù)據(jù)中心縮減規(guī)模，那么你就需要把所有安全機(jī)制引入到新的虛擬化環(huán)境。

第四：留意虛擬局域網(wǎng)標(biāo)記：物理安全設(shè)備廠商們聲稱，如果你使用虛擬局域網(wǎng)標(biāo)記(VLAN標(biāo)記)技術(shù)，就能把虛擬網(wǎng)絡(luò)擴(kuò)展到虛擬環(huán)境之外。這從技術(shù)層面來(lái)說(shuō)確實(shí)如此，但往往是深入了解虛擬網(wǎng)絡(luò)的一種笨拙方法。管理不同的虛擬局域網(wǎng)是件很復(fù)雜的事，而這種復(fù)雜性會(huì)導(dǎo)致出現(xiàn)錯(cuò)誤，最終導(dǎo)致系統(tǒng)不安全。

第五：虛擬環(huán)境需要虛擬解決方案：領(lǐng)先一步的那些企業(yè)正在把防火墻和入侵防護(hù)系統(tǒng)(IPS)直接部署到虛擬環(huán)境中。它們?cè)谑褂脤ｉT為保護(hù)虛擬網(wǎng)絡(luò)而設(shè)計(jì)的解決方案。這樣一來(lái)，它們就能直接深入了解虛擬機(jī)，并且從里面保護(hù)虛擬環(huán)境。虛擬安全設(shè)備可放置在虛擬環(huán)境內(nèi)部的任何地方;這種更強(qiáng)的靈活性有助于保護(hù)最最復(fù)雜的虛擬網(wǎng)絡(luò)。

總之，企業(yè)在實(shí)施虛擬化戰(zhàn)略時(shí)，需要把安全放在最重要的位置。如果企業(yè)能夠確保虛擬環(huán)境是整個(gè)網(wǎng)絡(luò)架構(gòu)的一部分，并且在所有網(wǎng)絡(luò)里面執(zhí)行始終如一的安全策略，就有望大大減少網(wǎng)絡(luò)安全威脅。只有重視上述要考慮的因素，企業(yè)才能夠受益于這項(xiàng)創(chuàng)新技術(shù)，同時(shí)又不會(huì)面臨不必要的風(fēng)險(xiǎn)。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]