淺談機(jī)械制造修理企業(yè)服務(wù)器虛擬化面臨的安全風(fēng)險(xiǎn)挑戰(zhàn)

陳 實(shí)

國營蕪湖機(jī)械廠 安徽 蕪湖 234001

做好服務(wù)器的虛擬化部署工作對于硬件資源的利用來說具有巨大的作用，這也從一定程度上對運(yùn)維工作做出了簡化。與此同時(shí)服務(wù)器的虛擬化與安全風(fēng)險(xiǎn)也對相關(guān)的信息系統(tǒng)產(chǎn)生了一定的威脅，這甚至比在過去傳統(tǒng)架構(gòu)面臨的一些危險(xiǎn)更為嚴(yán)重。從這個(gè)角度來看，對于服務(wù)器虛擬化中存在的一些安全問題需要重視起來，并且給予這些風(fēng)險(xiǎn)一定的防護(hù)，這是十分重要的。

一、服務(wù)器虛擬化安全風(fēng)險(xiǎn)識(shí)別

(一)虛擬化軟件自身風(fēng)險(xiǎn)。眾所周知，技術(shù)先進(jìn)且市場占用率高的虛擬化軟件均為外國科技巨頭公司，軟件是否留有安全后門，不得而知。另外虛擬化軟件部署容易、運(yùn)維簡單，系統(tǒng)管理員大多停留在日常運(yùn)維層面，不清楚軟件架構(gòu)、底層設(shè)計(jì)等等核心內(nèi)容，不掌握軟件是否存在未知風(fēng)險(xiǎn)。

此外，作為企業(yè)用戶，當(dāng)虛擬化系統(tǒng)出現(xiàn)較大故障時(shí)，一般由有原廠認(rèn)證公司資質(zhì)的集成商協(xié)調(diào)專業(yè)技術(shù)人員進(jìn)工廠機(jī)房協(xié)助處理，外部人員進(jìn)入企業(yè)數(shù)據(jù)中心機(jī)房存在一定的安全風(fēng)險(xiǎn)；當(dāng)出現(xiàn)重大故障時(shí)，則需要請?jiān)瓘S技術(shù)解決，但需要收集虛擬化系統(tǒng)日志信息或遠(yuǎn)程接入進(jìn)行遠(yuǎn)程故障處理，此過程也存在較大不可控安全風(fēng)險(xiǎn)。

(二)宿主機(jī)運(yùn)行風(fēng)險(xiǎn)。在虛擬化工作過程中，一些架構(gòu)很容易受到一些惡意的攻擊并且在獲得宿主機(jī)的一些訪問權(quán)限的過程中很容易對虛擬機(jī)進(jìn)行不同形式的攻擊。從這個(gè)角度來進(jìn)行分析可以看出來宿主機(jī)的相關(guān)安全工作與虛擬機(jī)的安全工作有著一定的關(guān)系。對于宿主機(jī)的對于虛擬機(jī)的一些攻擊行為主要表現(xiàn)在以下幾個(gè)方面:一個(gè)是熱鍵對于虛擬機(jī)進(jìn)程的殺死過程，此外就是借助熱鍵來關(guān)閉虛擬機(jī)，同時(shí)還可以借助熱鍵來對資源的使用情況進(jìn)行監(jiān)控，對于虛擬機(jī)的網(wǎng)絡(luò)流量也可以進(jìn)行關(guān)注，同時(shí)還需要?jiǎng)h除虛擬機(jī)中一些文件與數(shù)據(jù)內(nèi)容等等。

(三)虛擬化管理控制中心運(yùn)行風(fēng)險(xiǎn)。虛擬機(jī)管理控制中心極大降低了虛擬化系統(tǒng)運(yùn)維管理難度，但如果管理控制中心被非法入侵，并且獲得訪問權(quán)限，入侵就會(huì)波及整個(gè)數(shù)據(jù)中心，入侵者可以隨心所欲，操作全部虛擬機(jī)、業(yè)務(wù)系統(tǒng)服務(wù)和數(shù)據(jù)，危害極大。

(四)虛擬機(jī)運(yùn)行風(fēng)險(xiǎn)。一臺(tái)運(yùn)行的虛擬機(jī)就如同一臺(tái)物理機(jī)，存在被各類工具利用漏洞、病毒、木馬進(jìn)行惡意攻擊的可能。此外，如果在虛擬化環(huán)境中部署傳統(tǒng)病毒查殺軟件，面臨軟件同時(shí)啟動(dòng)、定時(shí)病毒查殺、定時(shí)升級(jí)等需求，而同時(shí)進(jìn)行此類操作，將會(huì)消耗大量宿主機(jī)和存儲(chǔ)的資源，極易引發(fā)啟動(dòng)風(fēng)暴、殺毒風(fēng)暴和升級(jí)風(fēng)暴等問題，造成虛擬機(jī)無響應(yīng)或卡死、占用網(wǎng)絡(luò)帶寬或宿主機(jī)宕機(jī)等嚴(yán)重后果。

(五)虛擬機(jī)東西向流量風(fēng)險(xiǎn)。傳統(tǒng)的信息系統(tǒng)在通常情況下可以使用的形式就是物理防火墻，同時(shí)還可以結(jié)合網(wǎng)絡(luò)邊界工作來提供一些安全防護(hù)上的內(nèi)容，對于防控工作通常指的就是南北向的一些控制工作。但是由于虛擬化架構(gòu)過程中在同一個(gè)物理機(jī)上的虛擬機(jī)之間的流量通常情況下僅僅存在于物理機(jī)的內(nèi)部虛擬的網(wǎng)絡(luò)之中，同時(shí)這個(gè)過程并不會(huì)經(jīng)過物理網(wǎng)絡(luò)，因此網(wǎng)絡(luò)防火墻無法對這些流量進(jìn)行監(jiān)督并且做好防護(hù)工作。這就導(dǎo)致了虛擬機(jī)之間在開展安全防護(hù)工作的過程中是十分的脆弱的，同一個(gè)物理主機(jī)在不同的虛擬機(jī)之間在開展相互攻擊的工作的時(shí)候常常存在相互入侵的一些行為，網(wǎng)絡(luò)攻擊者可以利用這個(gè)過程中一些系統(tǒng)上的漏洞來發(fā)動(dòng)相關(guān)的攻擊行為，從而對整個(gè)虛擬化的環(huán)境安全提出了更高的要求。

(六)虛擬機(jī)遷移及蔓延風(fēng)險(xiǎn)。虛擬機(jī)的主要遷移工作指的就是將一個(gè)主機(jī)一些相關(guān)的存儲(chǔ)工作移到另一個(gè)主機(jī)或者相關(guān)的位置中去。在遷移的過程中不會(huì)對其他的用戶產(chǎn)生相應(yīng)的影響，同時(shí)這一項(xiàng)技術(shù)工作對于數(shù)據(jù)中心的相關(guān)資源的協(xié)調(diào)工作有著十分重要的作用。但是從安全的角度來看，這一項(xiàng)虛擬機(jī)的相關(guān)的遷移工作對于新的系統(tǒng)帶來了一定的安全作用，例如當(dāng)虛擬機(jī)發(fā)生相應(yīng)的遷移工作的過程很容易導(dǎo)致后期虛擬機(jī)的一些流量對于入侵檢測系統(tǒng)的相應(yīng)的監(jiān)測端口提出了更好的要求，這也導(dǎo)致遷移工作后期的一些虛擬機(jī)的相關(guān)入侵檢測系統(tǒng)很容易出現(xiàn)相應(yīng)的問題，此外在虛擬機(jī)發(fā)生相應(yīng)的遷移工作的時(shí)候邊界防火墻的相應(yīng)控制策略可以并沒有及時(shí)做到位，因此會(huì)帶來很多安全方面的風(fēng)險(xiǎn)。

此外，日常運(yùn)維中為滿足應(yīng)用系統(tǒng)需求，各類虛擬機(jī)的數(shù)量越來越多、虛擬機(jī)的資源分配與實(shí)際運(yùn)行并不相符，但卻沒有進(jìn)行例行的虛擬機(jī)清理和回收，導(dǎo)致出現(xiàn)虛擬機(jī)蔓延，一般表現(xiàn)為僵尸虛擬機(jī)(隨著時(shí)間的推移，管理員在工作的過程中并不能都對虛擬機(jī)的使用問題作出正確的辨別)和虛胖虛擬機(jī)這兩種。僵尸虛擬機(jī)在開展的過程中會(huì)導(dǎo)致大部分停用的虛擬機(jī)一些相關(guān)的鏡像方面的文件被保存在硬盤上，同時(shí)還有許多有可能會(huì)以一種備份的形式存在，這樣就會(huì)占用大部分的服務(wù)器資源。虛胖虛擬機(jī)在過渡使用的過程中資源得到了分配，其中包含關(guān)于內(nèi)存一些CPU和存儲(chǔ)容量方面的內(nèi)容，但是在其他虛擬機(jī)資源匱乏的情況下很容易造成資源的浪費(fèi)，同時(shí)也會(huì)對一些主要運(yùn)行的業(yè)務(wù)工作產(chǎn)生一定的影響。

(七)數(shù)據(jù)集中存儲(chǔ)風(fēng)險(xiǎn)。虛擬機(jī)各類數(shù)據(jù)集中存儲(chǔ)，存在設(shè)備故障導(dǎo)致所有虛擬機(jī)停止服務(wù)或數(shù)據(jù)丟失的風(fēng)險(xiǎn)，另外集中存儲(chǔ)，會(huì)存在關(guān)鍵業(yè)務(wù)數(shù)據(jù)和涉密信息被非授權(quán)查看和訪問的風(fēng)險(xiǎn)。

(八)虛擬機(jī)數(shù)據(jù)恢復(fù)風(fēng)險(xiǎn)。虛擬化的廣泛應(yīng)用，使得基于虛擬化技術(shù)的數(shù)據(jù)備份恢復(fù)技術(shù)快速發(fā)展，當(dāng)下備份軟件基于虛擬機(jī)的各類文件類型的數(shù)據(jù)備份恢復(fù)非?？旖荩M(jìn)而引發(fā)關(guān)鍵業(yè)務(wù)數(shù)據(jù)和涉密信息被非授權(quán)查看和訪問的風(fēng)險(xiǎn)。

(九)虛擬機(jī)隨時(shí)啟動(dòng)的防護(hù)間歇風(fēng)險(xiǎn)。在日常使用過程中由于受到業(yè)務(wù)上的影響，很多情況下手動(dòng)工作會(huì)被關(guān)閉同時(shí)虛擬機(jī)相關(guān)的防護(hù)以及間歇工作問題也會(huì)引起關(guān)注。如某臺(tái)長期處于關(guān)閉狀態(tài)的虛擬機(jī)在業(yè)務(wù)開始的過程中會(huì)需要及時(shí)的啟動(dòng)起來，同時(shí)這也會(huì)成為后臺(tái)服務(wù)器中的重要組成部分。但是這臺(tái)虛擬機(jī)在工作過程中其中的防病毒在內(nèi)的相應(yīng)安全狀態(tài)與其他一些在線運(yùn)行的服務(wù)器都會(huì)存在著一些滯后現(xiàn)象。

二、服務(wù)器虛擬化安全風(fēng)險(xiǎn)管控措施

(一)虛擬化軟件自身風(fēng)險(xiǎn)管控措施。在用的虛擬化系統(tǒng)，如使用穩(wěn)定，無特殊需求情況下應(yīng)盡量避免升級(jí)系統(tǒng)版本，以防升級(jí)過程對業(yè)務(wù)系統(tǒng)或數(shù)據(jù)造成影響，或者升級(jí)后系統(tǒng)出現(xiàn)未知BUG。

新增虛擬化系統(tǒng)應(yīng)優(yōu)先選擇國產(chǎn)化且市場占有率高的虛擬化產(chǎn)品，并購買正版使用許可，特殊要求的應(yīng)選擇經(jīng)過國家保密科技測評(píng)中心測評(píng)的產(chǎn)品或安可目錄產(chǎn)品。

當(dāng)虛擬化系統(tǒng)出現(xiàn)故障需廠家技術(shù)支持時(shí)，應(yīng)配置堡壘機(jī)策略，廠家技術(shù)人員通過堡壘機(jī)對系統(tǒng)進(jìn)行故障處理，以保留處理過程記錄便于審計(jì)追溯；導(dǎo)出系統(tǒng)日志的，應(yīng)對日志內(nèi)容、大小進(jìn)行檢查，確保日志內(nèi)容未包括業(yè)務(wù)數(shù)據(jù)。

(二)宿主機(jī)運(yùn)行風(fēng)險(xiǎn)管控措施

1.物理安全

(1)制定數(shù)據(jù)中心機(jī)房管理制度，進(jìn)入機(jī)房前應(yīng)履行審批流程，雙人通過門禁認(rèn)證后進(jìn)入數(shù)據(jù)中心機(jī)房進(jìn)行操作，操作過程應(yīng)登記；

(2)對BOIS進(jìn)行設(shè)置，在設(shè)置過程中除了對相關(guān)的設(shè)備進(jìn)行禁止啟動(dòng)以后同時(shí)還要設(shè)置好相關(guān)的密碼，減少由于啟動(dòng)選項(xiàng)出現(xiàn)修改的行為。

(3)在服務(wù)器安裝完畢之后很多初始化的工作都需要拆除相應(yīng)的軟驅(qū)以及光驅(qū)，同時(shí)還需要對USB的接口以及相關(guān)的位置進(jìn)行封貼，減少出現(xiàn)外部的一些非法侵入行為。

(4)重要服務(wù)器、存儲(chǔ)等所在的機(jī)柜應(yīng)上鎖。

2.操作系統(tǒng)安全

(1)使用強(qiáng)度較高的相關(guān)密碼開展工作，例如一些字母以及數(shù)字等等相應(yīng)的，符號(hào)可以充分混合在一起，盡可能在較長時(shí)間內(nèi)對于難以破解的一些密碼進(jìn)行分析，定期對其進(jìn)行更換。

(2)對SSH等相關(guān)的服務(wù)進(jìn)行關(guān)閉；

3.網(wǎng)絡(luò)訪問控制

(1)在數(shù)據(jù)中心的一些邊界位置的相關(guān)部署工作需要及時(shí)做到位，同時(shí)還需要及時(shí)的做好相應(yīng)的系統(tǒng)的檢測工作，確保防火墻應(yīng)當(dāng)配置上相應(yīng)的訪問控制措施。

(2)在交換機(jī)上配置ACL訪問控制策略，限制用戶vlan和數(shù)據(jù)中心vlan的訪問控制。

(三)虛擬化管理控制中心運(yùn)行風(fēng)險(xiǎn)管控措施

1.虛擬化管理控制中心使用獨(dú)立的VLAN IP地址，通過邊界防火墻和交換機(jī)配置訪問控制策略，僅允許管理人員計(jì)算機(jī)的ip訪問虛擬化管理控制中心。

2.遵照最小授權(quán)訪問原則，為虛擬化管理控制中心分配不同權(quán)限管理員賬戶，進(jìn)行三員分權(quán)，相互制約。

3.虛擬化管理控制中心賬戶使用高強(qiáng)度的密碼。

（2）村干部文化水平相對較低，帶領(lǐng)群眾脫貧致富的本領(lǐng)不強(qiáng)。村“兩委”班子成員6人，初中文化程度3人，小學(xué)文化程度4人，文化程度偏低，視野較窄，與外界聯(lián)系、溝通、交流較少，相對比較封閉，思想觀念比較落后；村干部中沒有致富能手、致富帶頭人，對科技致富、科學(xué)種田、科學(xué)養(yǎng)殖等方面的知識(shí)知之甚少，村里基本沒有集體經(jīng)濟(jì)，2017年村民人均收入5585元，本村村民除個(gè)別外出務(wù)工收入相對高些外，普遍收入較低。

4.管理員通過堡壘機(jī)登錄虛擬化管理控制中心進(jìn)行運(yùn)維操作。

(四)虛擬機(jī)訪問運(yùn)行風(fēng)險(xiǎn)管控措施

1.加強(qiáng)操作系統(tǒng)及應(yīng)用系統(tǒng)的補(bǔ)丁加固，安裝病毒及惡意代碼查殺工具并定期升級(jí)和全盤病毒查殺。

2.對于最小的授權(quán)訪問權(quán)限需要重視起來，對于虛擬機(jī)的管理員需要做好分配工作，同時(shí)還需要對于普通的用戶賬戶中的一些guest賬戶進(jìn)行停用，僅僅開啟相應(yīng)的需要的一些服務(wù)內(nèi)容，對于不能夠使用的系統(tǒng)需要及時(shí)禁止使用。

3.對于虛擬機(jī)的管理員賬戶的一些密碼工作需要做到位，這樣對于賬戶管理工作質(zhì)量有作用。

4.細(xì)化訪問控制策略，在防火墻配置僅放行應(yīng)用系統(tǒng)必須開放的端口。

5.減少虛擬機(jī)上安裝的應(yīng)用程序，降低被攻擊概率。

6.對于相關(guān)的運(yùn)行工作以及相應(yīng)虛擬機(jī)的全量的備份工作需要及時(shí)的做到位，只有這樣才能保存周期內(nèi)開展的增量備份工作。在對虛擬機(jī)進(jìn)行修補(bǔ)工作的過程中，可以對相關(guān)的軟件及時(shí)的進(jìn)行更新，并且對系統(tǒng)及時(shí)進(jìn)行升級(jí)，做好虛擬機(jī)的快照工作，使用快照還原虛擬機(jī)，將業(yè)務(wù)中斷時(shí)間縮至最短。

7.部署虛擬化架構(gòu)的專用病毒查殺系統(tǒng)軟件。

(五)虛擬機(jī)東西向流量風(fēng)險(xiǎn)管控措施。增設(shè)虛擬防火墻，虛擬防火墻可在虛擬機(jī)的虛擬網(wǎng)卡層獲取并查看網(wǎng)絡(luò)流量，因而能夠?qū)μ摂M機(jī)之間的流量進(jìn)行監(jiān)控、過濾和保護(hù)，形成東西向流浪訪問控制，配合邊界物理防火墻實(shí)現(xiàn)東西向和南北向數(shù)據(jù)訪問全控制。

(六)虛擬機(jī)遷移及蔓延風(fēng)險(xiǎn)管控措施。細(xì)化訪問控制策略，制定詳細(xì)的執(zhí)行策略文檔，當(dāng)控制或放行每一條策略時(shí)，應(yīng)在所有網(wǎng)絡(luò)設(shè)備和防火墻策略上同步，防止出現(xiàn)虛擬機(jī)手動(dòng)或自動(dòng)遷移后，訪問控制策略失效造成虛擬機(jī)及應(yīng)用系統(tǒng)的失控事情發(fā)生。

建立完善的虛擬化系統(tǒng)管理制度，新建虛擬機(jī)應(yīng)由應(yīng)用系統(tǒng)管理員提交申請，列出虛擬機(jī)所需的合理資源需求、虛擬機(jī)名稱、用途、責(zé)任人等內(nèi)容，經(jīng)審批同意后由虛擬化管理員進(jìn)行新建，并對新建的虛擬機(jī)填寫詳細(xì)的備注內(nèi)容；定期開展虛擬機(jī)審計(jì)工作，虛擬化管理員每月導(dǎo)出虛擬機(jī)列表，交由各虛擬機(jī)用戶進(jìn)行確認(rèn)，重點(diǎn)確認(rèn)關(guān)機(jī)、掛起、重負(fù)載、磁盤占用高的虛擬機(jī)情況，及時(shí)進(jìn)行虛擬機(jī)刪除清理等工作。

(七)數(shù)據(jù)集中存儲(chǔ)風(fēng)險(xiǎn)管控措施

1.集中存儲(chǔ)設(shè)備管理應(yīng)同等物理服務(wù)器管理，進(jìn)入機(jī)房前應(yīng)履行審批流程，雙人通過門禁認(rèn)證后進(jìn)入數(shù)據(jù)中心機(jī)房進(jìn)行操作，詳細(xì)登記操作過程。

2.集中存儲(chǔ)設(shè)備的管理員設(shè)置不同的角色賬戶，采取三員分權(quán)等措施，防止集中存儲(chǔ)中的數(shù)據(jù)被非法授權(quán)查看和訪問。

3.每日對集中存儲(chǔ)設(shè)備運(yùn)行狀態(tài)進(jìn)行巡檢，當(dāng)設(shè)備出現(xiàn)告警信息時(shí)應(yīng)第一時(shí)間處理，防止設(shè)備故障導(dǎo)致服務(wù)中斷或數(shù)據(jù)丟失。

4.定期對集中存儲(chǔ)數(shù)據(jù)進(jìn)行備份，當(dāng)集中存儲(chǔ)設(shè)備出現(xiàn)故障時(shí)，應(yīng)盡量縮短數(shù)據(jù)備份和數(shù)據(jù)丟失的間隔周期(PRO)。

(八)虛擬機(jī)數(shù)據(jù)恢復(fù)風(fēng)險(xiǎn)管控措施。制定完備的數(shù)據(jù)備份恢復(fù)管理制度，虛擬機(jī)數(shù)據(jù)恢復(fù)應(yīng)由虛擬機(jī)用戶提出申請，列出需要恢復(fù)的數(shù)據(jù)內(nèi)容和備份日期，經(jīng)審批同意后，由備份系統(tǒng)系統(tǒng)管理員操作，且系統(tǒng)管理員不能查看恢復(fù)的數(shù)據(jù)，備份系統(tǒng)審計(jì)員應(yīng)對數(shù)據(jù)恢復(fù)日志進(jìn)行審計(jì)，確保數(shù)據(jù)恢復(fù)過程可管、可控、可追溯，數(shù)據(jù)未被非授權(quán)查看。

(九)虛擬機(jī)隨時(shí)啟動(dòng)的防護(hù)間歇風(fēng)險(xiǎn)管控措施。制定完備的虛擬機(jī)管理制度，僅允許虛擬化管理員收到虛擬機(jī)操作申請流程后對虛擬機(jī)進(jìn)行操作，如開關(guān)機(jī)操作，虛擬機(jī)開機(jī)后，虛擬化管理員應(yīng)立即對各類安全防護(hù)策略進(jìn)行檢查和更新，確保防護(hù)策略更新有效。

三、結(jié)束語

綜上所述，服務(wù)器虛擬化所存在的安全風(fēng)險(xiǎn)不容忽視，必須識(shí)別虛擬化技術(shù)各類風(fēng)險(xiǎn)，從管理和技術(shù)等層面統(tǒng)籌考慮，采取針對性的管控措施，提升虛擬化平臺(tái)運(yùn)行安全性及穩(wěn)定性，以保證企業(yè)信息系統(tǒng)的安全。