周友明

【摘要】近年來(lái)，虛擬技術(shù)在各行各業(yè)得到廣泛應(yīng)用，IT系統(tǒng)架構(gòu)變更導(dǎo)致的安全問(wèn)題引發(fā)各方面關(guān)注。本文從虛擬化技術(shù)應(yīng)用在資源利用率、管理模式、運(yùn)營(yíng)成本、安全、應(yīng)用遷移、虛擬化標(biāo)準(zhǔn)六方面可能引發(fā)的風(fēng)險(xiǎn)，提出了相應(yīng)應(yīng)對(duì)措施。

【關(guān)鍵詞】虛擬化技術(shù) 應(yīng)用風(fēng)險(xiǎn) 防范

近年來(lái)，由于虛擬化技術(shù)能有效簡(jiǎn)化基礎(chǔ)設(shè)施管理，提高軟硬件資源的利用率，能實(shí)現(xiàn)應(yīng)用系統(tǒng)無(wú)縫遷移，節(jié)能降耗，降低成本等諸多優(yōu)點(diǎn)，而被各行各業(yè)得到廣泛應(yīng)用，但它突破了傳統(tǒng)IT基礎(chǔ)和管理架構(gòu)，相應(yīng)應(yīng)用規(guī)則和管理規(guī)則還未及時(shí)跟進(jìn)，在實(shí)際應(yīng)用中也帶來(lái)了新的風(fēng)險(xiǎn)。

一、引言

虛擬化技術(shù)作為一項(xiàng)能夠給應(yīng)用單位簡(jiǎn)化基礎(chǔ)設(shè)施管理、提高資源利用率、降低設(shè)備能耗的新技術(shù)，在各行各業(yè)得到廣泛應(yīng)用。但由于改變了傳統(tǒng)基礎(chǔ)設(shè)施構(gòu)架和管理構(gòu)架，在帶來(lái)諸多便利的同時(shí)也給信息技術(shù)工作帶來(lái)了新風(fēng)險(xiǎn)。

二、風(fēng)險(xiǎn)分析

（一）高資源利用率風(fēng)險(xiǎn)

應(yīng)用虛擬化技術(shù)，可以提高服務(wù)器的靈活性和效率，但每臺(tái)服務(wù)器的資源總是有限的，如果不限制單臺(tái)物理服務(wù)器上運(yùn)行虛擬機(jī)的數(shù)量，可能引發(fā)服務(wù)器負(fù)載過(guò)重，影響運(yùn)行效能。

（二）管理模式變化風(fēng)險(xiǎn)

應(yīng)用虛擬化技術(shù)，管理模式由具體物理設(shè)備管理轉(zhuǎn)變?yōu)閷?duì)響應(yīng)時(shí)間和服務(wù)級(jí)別的全面管理。需要管理的物理資源少了，但增加了一層虛擬軟件，增大了管理環(huán)境的復(fù)雜性，加大了技術(shù)人員維護(hù)系統(tǒng)的難度。同時(shí)也給權(quán)限管理和認(rèn)證等環(huán)節(jié)帶來(lái)了新的風(fēng)險(xiǎn)。

（三）期望減少成本風(fēng)險(xiǎn)

應(yīng)用虛擬化技術(shù)，可以減少服務(wù)器及附屬設(shè)備資源成本，大幅度減少用電、恒溫、安裝及管理等方面的支出，但需要增加存儲(chǔ)虛擬化和技術(shù)人員技能提升的成本。

（四）安全風(fēng)險(xiǎn)

應(yīng)用虛擬化技術(shù)所帶來(lái)的安全風(fēng)險(xiǎn)：

一是網(wǎng)絡(luò)架構(gòu)風(fēng)險(xiǎn)。虛擬化技術(shù)改變了網(wǎng)絡(luò)架構(gòu)，引發(fā)了新的安全風(fēng)險(xiǎn)。應(yīng)用虛擬化技術(shù)后，所有虛擬機(jī)集中與外部網(wǎng)絡(luò)通訊，傳統(tǒng)防護(hù)措施失去效用，若有一臺(tái)虛擬機(jī)發(fā)生安全問(wèn)題，那么其他虛擬機(jī)都將受到影響。

二是安全監(jiān)管風(fēng)險(xiǎn)。部分安全監(jiān)管軟件是通過(guò)監(jiān)測(cè)物理硬件發(fā)揮作用，虛擬化會(huì)繞過(guò)這些安全措施，使虛擬機(jī)無(wú)法得到有效監(jiān)管。安裝的靈活性也使得虛擬機(jī)更加難以監(jiān)測(cè)，虛擬機(jī)可以隨時(shí)創(chuàng)建，可以臨時(shí)駐留在內(nèi)存中，使得這些虛擬機(jī)處于監(jiān)管范圍之外。

三是虛擬機(jī)對(duì)話風(fēng)險(xiǎn)。運(yùn)行在同一臺(tái)服務(wù)器上虛擬機(jī)之間的對(duì)話是無(wú)法被外部的防火墻、入侵檢測(cè)設(shè)備和異常行為監(jiān)測(cè)器等網(wǎng)絡(luò)安全工具監(jiān)測(cè)到，運(yùn)行在同一臺(tái)服務(wù)器上虛擬機(jī)之間就產(chǎn)生了對(duì)話風(fēng)險(xiǎn)。

四是虛擬環(huán)境風(fēng)險(xiǎn)。管理員是通管理程序管理虛擬環(huán)境的。管理程序受到威脅，那么，所有受托管的虛擬機(jī)都會(huì)受到威脅，同樣對(duì)個(gè)別虛擬機(jī)的攻擊也會(huì)對(duì)管理程序造成威脅。

（五）應(yīng)用遷移風(fēng)險(xiǎn)

由于虛擬化技術(shù)屬新興技術(shù)，其移植和管理工具尚不夠完善，部署虛擬數(shù)據(jù)中心最大的困難在于遷移。將應(yīng)用程序由物理環(huán)境向虛擬環(huán)境遷移還將是個(gè)耗時(shí)耗錢(qián)的過(guò)程，需要單位各業(yè)務(wù)部門(mén)通力配合，如果短時(shí)間內(nèi)完成應(yīng)用遷移也將影響業(yè)務(wù)系統(tǒng)的連續(xù)性和時(shí)效性。

三、防范措施

（一）部署前評(píng)估

應(yīng)將部署虛擬化技術(shù)項(xiàng)目納入本單位信息化建設(shè)規(guī)劃，部署前做好各項(xiàng)準(zhǔn)備工作（如：評(píng)估、調(diào)研等等），將部署虛擬化技術(shù)工作風(fēng)險(xiǎn)降到最低，確保部署虛擬化技術(shù)項(xiàng)目實(shí)施后的效益。

一是業(yè)務(wù)目標(biāo)評(píng)估。部署虛擬化技術(shù)項(xiàng)目必須和本單位工作實(shí)際相結(jié)合，不要因臨時(shí)解決當(dāng)前問(wèn)題而倉(cāng)促應(yīng)用虛擬化技術(shù)，應(yīng)為本單位信息化建設(shè)作好長(zhǎng)遠(yuǎn)規(guī)劃。

二是應(yīng)用環(huán)境評(píng)估。首先本單位各業(yè)務(wù)系統(tǒng)是否支持將要部署的虛擬化技術(shù)項(xiàng)目，若不支持是否有補(bǔ)救措施。其次是本單位網(wǎng)絡(luò)環(huán)境是否支持將要部署的虛擬化技術(shù)項(xiàng)目，若不支持是否有補(bǔ)救措施。

三是技術(shù)支持評(píng)估。單位技術(shù)部門(mén)技術(shù)人員具備“相應(yīng)技能”是部署虛擬化技術(shù)應(yīng)用項(xiàng)目成功與否的關(guān)鍵，應(yīng)對(duì)單位技術(shù)部門(mén)技術(shù)人員進(jìn)行評(píng)估，對(duì)癥進(jìn)行相應(yīng)培訓(xùn)，提高維護(hù)技能，并進(jìn)行小范圍虛擬化技術(shù)應(yīng)用實(shí)驗(yàn)。

四是成本評(píng)估。節(jié)省成本是部署虛擬化技術(shù)應(yīng)用項(xiàng)目的目的之一，但應(yīng)用虛擬化技術(shù)帶來(lái)的只是虛擬化技術(shù)應(yīng)用項(xiàng)目建設(shè)時(shí)的一次性成本節(jié)省，需要對(duì)虛擬化技術(shù)應(yīng)用項(xiàng)目后期運(yùn)行成本進(jìn)行評(píng)估。

（二）管理策略

一是管理措施。應(yīng)當(dāng)定期備份監(jiān)控設(shè)備和虛擬機(jī)設(shè)備上的事件日志文件，這些事件日志文件是日后的安全審計(jì)的依據(jù)。備份虛擬機(jī)主機(jī)、管理程序和每個(gè)客戶虛擬機(jī)等的配置，確保在應(yīng)用系統(tǒng)變更時(shí)能夠正確配置，使單位的安全策略包含各虛擬機(jī)系統(tǒng)。

二是限授權(quán)原則。系統(tǒng)資源的訪問(wèn)權(quán)限應(yīng)與每個(gè)使用者的職責(zé)對(duì)應(yīng)起來(lái)，限制對(duì)系統(tǒng)共享資源的訪問(wèn)。

三是監(jiān)控工具的運(yùn)用。監(jiān)控工具軟件應(yīng)能對(duì)虛擬機(jī)系統(tǒng)進(jìn)行全程監(jiān)控，并能記錄虛擬機(jī)系統(tǒng)所有操作。同一臺(tái)物理主機(jī)上運(yùn)行的虛擬機(jī)系統(tǒng)的數(shù)量應(yīng)得到嚴(yán)格的監(jiān)控和限制，降低因增大受攻擊面而帶來(lái)的風(fēng)險(xiǎn)。

（三）安全技術(shù)措施

一是常規(guī)安全措施。及時(shí)升級(jí)所有的虛擬機(jī)和主機(jī)操作系統(tǒng)，并禁用不使用的服務(wù)和端口，減少漏洞和被攻擊的機(jī)會(huì)；在物理主機(jī)和虛擬機(jī)上應(yīng)用反病毒機(jī)制，減少病毒威脅；應(yīng)用防火墻和入侵防御系統(tǒng)對(duì)各虛擬機(jī)進(jìn)行隔離和防護(hù)，阻斷相關(guān)安全攻擊；在物理主機(jī)和虛擬機(jī)之間使用加密措施，防止虛擬機(jī)與物理主機(jī)之間的通信可能被嗅探和破壞。

二是隔離虛擬機(jī)。采用劃分VLAN的方式，對(duì)各虛擬機(jī)系統(tǒng)進(jìn)行邏輯隔離，確保各虛擬機(jī)系統(tǒng)通訊安全性。另外，還可以利用數(shù)據(jù)庫(kù)信息數(shù)據(jù)對(duì)虛擬機(jī)系統(tǒng)安全檢測(cè)，發(fā)現(xiàn)異常執(zhí)行相關(guān)安全操作策略。

三是控制虛擬機(jī)蔓延。應(yīng)加強(qiáng)虛擬機(jī)運(yùn)行的控制和認(rèn)證，杜絕虛擬機(jī)蔓延，制訂專門(mén)的審核策略和流程，對(duì)虛擬機(jī)進(jìn)行審核、追蹤和監(jiān)控。

四、結(jié)束語(yǔ)

虛擬化技術(shù)可以使各應(yīng)用單位提高硬件資源的利用率，減少管理工作量，在一定程度上減少管理成本。但也帶來(lái)了新的安全風(fēng)險(xiǎn)和安全隱患，各應(yīng)用單位技術(shù)部門(mén)應(yīng)充分認(rèn)識(shí)這些潛在的風(fēng)險(xiǎn)并采取相應(yīng)防護(hù)措施，降低應(yīng)用風(fēng)險(xiǎn)，提高應(yīng)用效能。