張曉光

摘要：虛擬化正在逐步的替代原有的信息化建設(shè)方式，在實(shí)際生產(chǎn)建設(shè)中為我們企業(yè)的數(shù)據(jù)中心建設(shè)節(jié)約了大量的投資。但是隨著虛擬化應(yīng)用的大量開展，虛擬化安全問題也日益凸顯出來。一般理解的虛擬化比傳統(tǒng)IT環(huán)境要更加安全，因?yàn)橄啾扔趥鹘y(tǒng)意義來說的虛擬機(jī)之間是隔離的，而且到目前也很少聽說過針對(duì)虛擬機(jī)管理程序進(jìn)行的成功入侵。然而，更多的業(yè)內(nèi)外專家認(rèn)為我們還需要像以前一樣關(guān)注復(fù)雜的應(yīng)用給虛擬機(jī)環(huán)境所帶來的安全問題。該文簡述了在實(shí)際應(yīng)用中所發(fā)現(xiàn)的由虛擬化引起的安全問題差異、安全風(fēng)險(xiǎn)問題，并提供了一些較好的建議和實(shí)際經(jīng)驗(yàn)總結(jié)。

關(guān)鍵詞：虛擬化環(huán)境；安全探討

中圖分類號(hào)：TP391 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2015）05-0266-02

1虛擬化的發(fā)展及其優(yōu)勢(shì)

虛擬化技術(shù)從上世紀(jì)60年代就開始發(fā)展，直到本世紀(jì)初隨著硬件技術(shù)的不斷發(fā)展壯大，才逐步的在商業(yè)環(huán)境中開始推廣使用，隨著互聯(lián)網(wǎng)的發(fā)展，近年來虛擬化技術(shù)應(yīng)用獲得了爆發(fā)式的增長，以VMWARE、微軟、CITRIX公司為代表的服務(wù)器虛擬化廠商的技術(shù)和產(chǎn)品已經(jīng)成為了IT基礎(chǔ)架構(gòu)中不可或缺的組成部分（見圖1）。

目前來看，虛擬化技術(shù)為IT帶來了很多好處：

1.1 節(jié)約資源

整合系統(tǒng)服務(wù)器，將物理服務(wù)器變成虛擬服務(wù)器，可以在電力和冷卻成本上獲得巨大節(jié)省，從而降低運(yùn)營成本。使用虛擬化技術(shù)大大節(jié)省了所占用的空間，減少了數(shù)據(jù)中心里相關(guān)硬件的數(shù)量。避免過多部署在實(shí)施服務(wù)器虛擬化之前，管理員通常需要額外部署一下服務(wù)器來滿足不時(shí)之需。使用虛擬化技術(shù)大大削

減了采購服務(wù)器的數(shù)量，同時(shí)相對(duì)應(yīng)的占用空間和能耗都變小了，每臺(tái)服務(wù)器大約可節(jié)約原有的百分之三十到四十。

1.2提高基礎(chǔ)架構(gòu)的利用率

通過將基礎(chǔ)架構(gòu)資源池化并打破一個(gè)應(yīng)用一臺(tái)物理機(jī)的藩籬，虛擬化大幅提升了資源利用率。通過減少額外硬件的采購，企業(yè)可以獲得大幅成本節(jié)約。

1.3 提高系統(tǒng)穩(wěn)定性

提高可用性，帶來具有透明負(fù)載均衡、動(dòng)態(tài)遷移、故障自動(dòng)隔離、系統(tǒng)自動(dòng)重構(gòu)的高可靠服務(wù)器應(yīng)用環(huán)境。在系統(tǒng)遷移過程中不會(huì)出現(xiàn)宕機(jī)事件，有助于虛擬化服務(wù)器實(shí)現(xiàn)比物理服務(wù)器更長的運(yùn)行時(shí)間。

1.4 提高IT部署的靈活性

通過動(dòng)態(tài)資源配置提高IT對(duì)業(yè)務(wù)的靈活適應(yīng)力，支持異構(gòu)操作系統(tǒng)的整合，支持老應(yīng)用的持續(xù)運(yùn)行，減少遷移成本，支持快速轉(zhuǎn)移和復(fù)制虛擬服務(wù)器，提供一種簡單便捷的災(zāi)難恢復(fù)解決方案。

1.5 安全性的提高

通過設(shè)置孤立的系統(tǒng)環(huán)境，虛擬化可以為系統(tǒng)運(yùn)行提供一個(gè)可以快速恢復(fù)而又高度獨(dú)立的環(huán)境。高度集中化的管理，提高了系統(tǒng)管理的統(tǒng)一性，控制力的提升直接使信息系統(tǒng)外圍的安全性提高。統(tǒng)一的數(shù)據(jù)存儲(chǔ)管理，也減少了系統(tǒng)整體感染惡意代碼的機(jī)會(huì)。通過虛擬化的“沙盒”技術(shù)，為系統(tǒng)安全測(cè)試提供了方便。通過將操作系統(tǒng)和應(yīng)用從服務(wù)器硬件設(shè)備隔離開，病毒與其他安全威脅無法感染其他應(yīng)用。

2 常見虛擬化安全問題

隨著虛擬化的廣泛應(yīng)用，虛擬機(jī)在我們的系統(tǒng)內(nèi)大量的增長，需要提醒我們注意的常見問題包括：

2.1 管理問題

當(dāng)增加虛擬服務(wù)器的時(shí)候，除了常見的系統(tǒng)和硬件平臺(tái)外，又增加了一層虛擬層，因此虛擬機(jī)經(jīng)常被我們遺忘。尤其是在過渡期，這時(shí)系統(tǒng)中還有比較重要的物理服務(wù)器的存在，我們只是將一些非關(guān)鍵系統(tǒng)遷移到虛擬機(jī)中，容易忽略虛擬機(jī)的存在，造成管理缺陷，造成系統(tǒng)補(bǔ)丁更新不及時(shí)，系統(tǒng)快照的無序重載和制作等。

2.2 虛擬機(jī)之間的安全問題

在虛擬層，虛擬機(jī)之間是可以通過虛擬交換機(jī)自由通信的，這一點(diǎn)不利于我們觀察和監(jiān)控虛擬機(jī)之間的行為。在你的系統(tǒng)中沒有部署虛擬防火墻或者網(wǎng)絡(luò)管理與嗅探軟件的時(shí)候，你是看不到系統(tǒng)平臺(tái)間到底傳輸了什么內(nèi)容的。虛擬機(jī)之間文件的共享也是一個(gè)安全隱患，當(dāng)使用文件共享時(shí)，一個(gè)有問題的客體可以訪問主機(jī)的文件系統(tǒng)，并修改用于共享的目錄。當(dāng)剪貼板共享和拖拽被用于主客機(jī)時(shí)，或者當(dāng)應(yīng)用程序編程接口被用于編程，在這些領(lǐng)域的穩(wěn)定性漏洞可以最終影響整個(gè)基礎(chǔ)設(shè)施。

2.3 虛擬機(jī)管理程序問題

如果管理程序被攻破，所有連接的虛擬機(jī)也將受到影響，并且默認(rèn)的配置中并不總是最安全的。管理程序可以控制一切，且存在單點(diǎn)故障隱患。一個(gè)單一的缺口可以把整個(gè)環(huán)境處于危險(xiǎn)之中。例如，在 Hypervisor 通常有密碼設(shè)置，但這些很容易被管理員之間共享，這樣你就不會(huì)真正知道誰做了什么。虛擬機(jī)管理程序可以允許虛擬機(jī)彼此之間溝通，這種溝通甚至不會(huì)加入物理網(wǎng)絡(luò)，這是一個(gè)很難控制的安全隱患。這個(gè)流量并不能總是被看到，因?yàn)橛商摂M機(jī)管理程序進(jìn)行，并且你不能保證這是否安全。

3 虛擬化安全管理問題

3.1 防火墻的使用問題

使用標(biāo)準(zhǔn)的防火墻和虛擬機(jī)之間傳輸流量，防火墻將檢查流量，并將其發(fā)送回虛擬機(jī)。傳統(tǒng)的防火墻被設(shè)計(jì)部署在數(shù)據(jù)中心和企業(yè)之前，因此不一定適合虛擬基礎(chǔ)設(shè)施和相關(guān)的管理系統(tǒng)。這可能會(huì)導(dǎo)致手動(dòng)部署和管理錯(cuò)誤。如果虛擬機(jī)遷移，這些標(biāo)準(zhǔn)的防火墻可能不會(huì)提供保護(hù)。

3.2 基于網(wǎng)絡(luò)的入侵檢測(cè)/入侵預(yù)防系統(tǒng)

當(dāng)多個(gè)虛擬機(jī)駐留在主機(jī)上，這些設(shè)備可能會(huì)工作不正常。這主要是因?yàn)?IDS / IPS 系統(tǒng)無法監(jiān)控虛擬機(jī)之間的流量。當(dāng)應(yīng)用程序被移動(dòng)，它們也不能訪問任何數(shù)據(jù)。

3.3 限制每個(gè)主機(jī)的虛擬機(jī)數(shù)量/分配給物理網(wǎng)卡

這種方法不僅限制了放置在主機(jī)上的虛擬機(jī)的數(shù)量，而且還分配一個(gè)物理網(wǎng)卡給每個(gè)虛擬機(jī)。雖然這樣做可能是一個(gè)安全的方法，但是會(huì)影響公司獲得的所有的成本效益，失去了部分虛擬化的真正意義所在。

3.4 VLAN的設(shè)置

VLAN 被廣泛的在虛擬化環(huán)境中使用，這里的問題是，由于 VLAN 的數(shù)量的增加，相關(guān)的訪問控制列表的復(fù)雜性，以及對(duì)環(huán)境的非虛擬化的虛擬化方面之間的網(wǎng)絡(luò)安全策略的兼容性，因此變得更難管理。

4 虛擬化面臨的安全風(fēng)險(xiǎn)及挑戰(zhàn)

通過引入虛擬化技術(shù)帶給我們很多的好處，同時(shí)也帶給我們一些安全風(fēng)險(xiǎn)（見圖2）。

從這些安全問題出發(fā)我們會(huì)面臨針對(duì)虛擬機(jī)的安全挑戰(zhàn)主要包括以下幾點(diǎn)：

1）拒絕服務(wù)攻擊

針對(duì)虛擬機(jī)的拒絕服務(wù)攻擊，可能會(huì)導(dǎo)致對(duì)整個(gè)虛擬機(jī)管理程序的癱瘓，同時(shí)為從后門訪問虛擬機(jī)管理程序留下了入口。

2）跨越虛擬機(jī)攻擊

當(dāng)一臺(tái)虛擬機(jī)被攻破后，黑客可以利用該虛擬機(jī)去攻擊同一虛擬交換機(jī)下的其他虛擬機(jī)。甚至可以利用一些漏洞獲取整個(gè)虛擬化平臺(tái)的信息。

3）主機(jī)流量攔截

管理程序中的漏洞可以允許系統(tǒng)被調(diào)用，分頁文件，以及監(jiān)控內(nèi)存和磁盤活動(dòng)的跟蹤。

5 虛擬化安全建設(shè)的建議

下面介紹一些虛擬化安全建設(shè)的經(jīng)驗(yàn)

1）權(quán)限的劃分和管理

安全問題管理的核心任務(wù)就是權(quán)責(zé)明晰，將服務(wù)器和虛擬機(jī)的管理權(quán)限明確，保證不同的人管理不同的系統(tǒng)。同時(shí)在組織內(nèi)部設(shè)置管理員，維護(hù)員，審計(jì)員使授權(quán)，管理，審計(jì)三權(quán)分立并互相監(jiān)督。明確虛擬機(jī)和虛擬化環(huán)境的維護(hù)管理、審計(jì)、使用權(quán)限是開展后期安全工作的管理基礎(chǔ)。

2）保證虛擬化的安全策略與現(xiàn)有系統(tǒng)安全保持一致

確保沒有與現(xiàn)有的實(shí)體平臺(tái)的任何已知的安全策略沖突。保證虛擬化系統(tǒng)的安全更新，尤其是桌面系統(tǒng)，IDS/IPS，漏洞掃描系統(tǒng)的特征庫、病毒庫等，保證整體系統(tǒng)安全威脅識(shí)別的一致性。

3）網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全是現(xiàn)代IT基礎(chǔ)設(shè)施安全的基礎(chǔ)，保證網(wǎng)絡(luò)邊界的可監(jiān)控性，尤其是虛擬化平臺(tái)下，一定要明確系統(tǒng)邊界，并在邊界處采用合適的安全技術(shù)進(jìn)行管理。對(duì)于每一條網(wǎng)絡(luò)流都要有明確的認(rèn)識(shí)和可控的管理，利用防火墻，IPS，漏洞審計(jì)，物理手段，對(duì)于每一條線路的接入，包括虛擬化環(huán)境下的虛擬網(wǎng)絡(luò)都要有明確的控制和管理。

6 結(jié)束語

通過近幾年對(duì)虛擬化安全的實(shí)踐，發(fā)現(xiàn)虛擬化環(huán)境下系統(tǒng)運(yùn)維的安全問題與傳統(tǒng)安全問題相比有較大的區(qū)別，我們需要從傳統(tǒng)安全建設(shè)的角度出發(fā)，結(jié)合自身系統(tǒng)特點(diǎn)，從虛擬化的層級(jí)角度，重新認(rèn)識(shí)并發(fā)現(xiàn)虛擬化條件下安全建設(shè)的管理方法和技術(shù)實(shí)現(xiàn)。