降低服務(wù)器虛擬化的四大安全風(fēng)險(xiǎn)
雖然服務(wù)器虛擬化可提高運(yùn)營(yíng)效率和管理的靈活性并且減少擁有的總成本，但是，服務(wù)器虛擬化也增加了安全風(fēng)險(xiǎn)。
據(jù)市場(chǎng)研究公司Gartner稱(chēng)，從現(xiàn)在至2009年，60%的虛擬機(jī)都沒(méi)有物理服務(wù)器那樣安全。這些安全挑戰(zhàn)包括：
·IP地址依賴(lài)性：在虛擬化環(huán)境中，IP地址經(jīng)常隨著虛擬機(jī)的創(chuàng)建而變化，撤下來(lái)或者從一個(gè)物理主機(jī)轉(zhuǎn)移到另一個(gè)主機(jī)，從而引起傳統(tǒng)的保護(hù)機(jī)制中的問(wèn)題。
·虛擬機(jī)蔓延：虛擬機(jī)很容易從以前存在的鏡像中創(chuàng)建，經(jīng)常會(huì)出現(xiàn)大量的沒(méi)有適當(dāng)?shù)木S護(hù)或者以已知的安全漏洞為基礎(chǔ)的虛擬機(jī)。成功地攻擊有安全漏洞的虛擬機(jī)能夠使那些虛擬機(jī)作為攻擊其它虛擬機(jī)的攻擊平臺(tái)。
·不能監(jiān)視內(nèi)部主機(jī)通訊：服務(wù)器虛擬化引進(jìn)了一個(gè)“軟交換機(jī)”的概念，允許虛擬機(jī)在一臺(tái)單個(gè)的主機(jī)中相互通訊。監(jiān)視和保護(hù)這些通訊需要特殊的工具，而且選擇性有限。
·對(duì)于安全政策的豎井式的方法：遺憾的是，許多安全廠(chǎng)商對(duì)于安全都采取豎井式的方法，建議對(duì)于每一個(gè)虛擬機(jī)的需求都采取不同的解決方案。Gartner分析師Neil MacDonald最近在接受采訪(fǎng)時(shí)表示，管理不善或者一個(gè)簡(jiǎn)單的老錯(cuò)誤都會(huì)在虛擬領(lǐng)域產(chǎn)生許多安全問(wèn)題。事實(shí)是我們?cè)谖锢眍I(lǐng)域使用的工具與在虛擬領(lǐng)域使用的工具是不同的。
考慮到必須要解決這些挑戰(zhàn)以實(shí)現(xiàn)服務(wù)器虛擬化的好處，需要一種新的方法，一種能夠解決虛擬環(huán)境和物理環(huán)境安全問(wèn)題的跨平臺(tái)的解決方案。跨平臺(tái)的虛擬安全工具能夠幫助機(jī)構(gòu)在整個(gè)數(shù)據(jù)中心強(qiáng)制執(zhí)行動(dòng)態(tài)安全政策，不必再權(quán)衡虛擬化的好處和保持強(qiáng)大的安全。
跨平臺(tái)虛擬安全工具管理控制臺(tái)應(yīng)該能夠部署在網(wǎng)絡(luò)的任何地方，并且有權(quán)最大限度地實(shí)現(xiàn)靈活性。管理控制臺(tái)一般向系統(tǒng)記錄和Windows事件記錄中寫(xiě)入詳細(xì)的記錄數(shù)據(jù)，從而減輕了把這些工具與現(xiàn)有的管理控制臺(tái)集成在一起的工作。
要消除安全政策對(duì)于IP地址的依賴(lài)性，跨平臺(tái)虛擬安全要保證政策強(qiáng)制執(zhí)行，不管這個(gè)機(jī)器的平臺(tái)或者位置是什么。安全管理員能夠消除與規(guī)則變化有關(guān)的經(jīng)營(yíng)開(kāi)支。事實(shí)上，強(qiáng)制和堅(jiān)持執(zhí)行政策的各種情況包括：
·當(dāng)物理服務(wù)器和端點(diǎn)移動(dòng)到網(wǎng)絡(luò)的不同地方的時(shí)候。
·物理服務(wù)器和端點(diǎn)轉(zhuǎn)變?yōu)樘摂M機(jī)。
·虛擬機(jī)
·正在使用或者停用
·從一個(gè)物理主機(jī)轉(zhuǎn)移到另一個(gè)物理主機(jī)。
跨平臺(tái)虛擬安全把物理機(jī)器與虛擬機(jī)放在一個(gè)邏輯的安全區(qū)，并且通過(guò)確保流氓虛擬機(jī)不是這個(gè)邏輯區(qū)的成員并且不能同與它們無(wú)關(guān)的安全區(qū)進(jìn)行通訊來(lái)防止虛擬機(jī)蔓延。事實(shí)上，它們之間是相互看不到的。通過(guò)嚴(yán)格控制對(duì)各個(gè)區(qū)域的訪(fǎng)問(wèn)，被攻破的虛擬機(jī)的攻擊平臺(tái)區(qū)域?qū)@著減少。跨平臺(tái)方法通常是以分布式的 P2P架構(gòu)為基礎(chǔ)的，允許升級(jí)到成千上萬(wàn)的實(shí)例。只需點(diǎn)擊幾下鼠標(biāo)就能完成政策管理，更新部分或者全部端點(diǎn)政策。
#p#
其它好處包括：
·消除由一種豎井式的方法給數(shù)據(jù)中心安全造成的管理復(fù)雜性，通過(guò)一個(gè)單個(gè)的控制臺(tái)保護(hù)主機(jī)。
·不用重新配置即可滿(mǎn)足遵守法規(guī)的要求。
·消除與防火墻和虛擬局域網(wǎng)有關(guān)的經(jīng)營(yíng)成本。
·利用一種分布式架構(gòu)消除瓶頸和單個(gè)的故障點(diǎn)。
當(dāng)評(píng)估一個(gè)跨平臺(tái)的虛擬安全解決方案時(shí)，請(qǐng)考慮如下要求：
·跨平臺(tái)支持(虛擬的和物理的)：理想的解決方案將支持在虛擬化環(huán)境中常見(jiàn)的x86操作系統(tǒng)以及其它常見(jiàn)的和很少見(jiàn)的架構(gòu)，如Solaris、AIX、HP-UX、RedHat、Windows和基于IP的非服務(wù)器設(shè)備。
· 不依賴(lài)IP地址：理想的解決方案應(yīng)該強(qiáng)制執(zhí)行安全政策，不管這個(gè)計(jì)算機(jī)的IP地址是什么，保證在移植或者物理移動(dòng)時(shí)政策的一致性。
·在同一臺(tái)主機(jī)上隔離虛擬機(jī)：要保護(hù)虛擬機(jī)防止出現(xiàn)由于安全漏洞引起的虛擬機(jī)蔓延，理想的解決方案是能夠在同一臺(tái)物理主機(jī)上把虛擬機(jī)相互隔離開(kāi)。
·方便地升級(jí)：要支持增長(zhǎng)不出現(xiàn)瓶頸，要尋找能夠在分布式架構(gòu)中運(yùn)行的解決方案。
·有選擇的加密：尋找能夠根據(jù)政策提供有選擇的加密的解決方案，不要采用“要么全加密要么全不加密”的解決方案，以實(shí)現(xiàn)最佳的性能與保護(hù)比例。
·集中的管理：要利用管理的效率，可以尋求一個(gè)提供單點(diǎn)安全管理的解決方案。
·基于主機(jī)的實(shí)施：要達(dá)到安全政策的最大精細(xì)程度和移動(dòng)性，要尋求一個(gè)在主機(jī)上強(qiáng)制執(zhí)行政策的解決方案。
·對(duì)基礎(chǔ)設(shè)施和應(yīng)用程序透明：要減少部署時(shí)間和兼容性問(wèn)題，理想的解決方案對(duì)于網(wǎng)絡(luò)和應(yīng)用程序的操作是透明的。
·強(qiáng)大的活動(dòng)和審計(jì)登記：理想的解決方案應(yīng)該登記詳細(xì)的活動(dòng)數(shù)據(jù)并且創(chuàng)建一個(gè)服務(wù)器和端點(diǎn)以及管理控制臺(tái)的審計(jì)跟蹤記錄。
·基于認(rèn)證的身份識(shí)別：尋求一個(gè)使用X.509第三版證書(shū)的解決方案以保證操作者的證書(shū)不被假冒。
服務(wù)器虛擬化運(yùn)營(yíng)好處和經(jīng)濟(jì)好處是毋庸置疑的。跨平臺(tái)虛擬安全消除了服務(wù)器虛擬化和強(qiáng)大的安全之間的取舍，應(yīng)用一種合乎邏輯的擴(kuò)展到物理和虛擬數(shù)據(jù)中心的安全模式，保持虛擬機(jī)遷移的一致性。簡(jiǎn)言之，跨平臺(tái)虛擬安全能夠讓機(jī)構(gòu)全面地向服務(wù)器虛擬化過(guò)渡，同時(shí)簡(jiǎn)化其強(qiáng)制執(zhí)行安全政策的方法。
【編輯推薦】
