虛擬安全技巧：安全規則
在之前文章“虛擬安全技巧：易受攻擊的點 ”中，我們介紹了虛擬安全中的物理安全、如何保護管理控制臺以及阻止虛擬機內部的攻擊。現在我們來看看其他一些方面。
常用工具和API的安全防護
虛擬安全策略中還應該包含其它的一些易攻擊點，包括登陸程序和API。
通常而言，虛擬機都會建立客戶端OS到管理程序間的訪問通道。例如,在VMware中通過VMware Tools來建立這種通道。VMware Tools中包含了一組驅動和程序，可以實現宿主機和客體機之間的多種交互，包括時間同步、內存管理、遠程管理的文件拷貝和粘貼服務等。VMware Tools還可以允許從客體機OS向宿主機文件系統內的文件寫入數據，以及記錄故障診斷相關的虛擬機信息等等。惡意程序會向這些日志文件中寫入大量的數據從而占滿整個宿主機的數據存儲空間，相比物理安全這也是一種全新的潛在風險。
管理程序中還會提供很多API，供第三方應用完成同管理程序和虛擬機之間的通訊。雖然API很難被攻擊，但畢竟也是潛在的安全漏洞之一。在不使用時，禁用和限制這種交互，可以提供對API更好的防護。您可以添加對日志文件增長的限制條件，或者是完全禁止這種操作，限制到宿主機系統和VM控制臺的訪問。
虛擬磁盤文件的安全
在物理安全中，幾乎可以忽略失竊的情況，從數據中心偷走一臺物理服務器或是其它硬件可沒那么容易。但是在虛擬安全領域，數據中心本身就是安全隱患。
由于虛擬機可以被壓縮成一個虛擬磁盤文件，因此移動起來很方便——例如，可以拷貝到閃存中裝走。攻擊者甚至不需要登陸到數據中心內部，只要可以訪問宿主機的數據存儲設備就可以了。黑客登陸宿主機后，通過客戶端的管理終端Secure Copy工具可以訪問存儲的數據和下載文件。
其它一些可能的途徑包括訪問備份存儲設備或者是虛擬機存儲設備所在的網絡。黑客通過簡單地從宿主機下載整個虛擬磁盤文件到任意一臺工作站上，然后把它拷貝到可移動USB上就可以隨身攜帶走。在其它地點，只要安裝相同的管理程序軟件，然后mount磁盤或啟動虛擬機就可以訪問該虛擬機上的所有內容。
把虛擬磁盤文件安全作為安全策略的一部分是很有必要的。限制到主機數據存儲區域的訪問、定期登陸檢查是否被攻擊、建設物理上分離的存儲網絡等方法，保證只有存儲設備和宿主機可以訪問。
另外請了解一點，當從數據中心執行刪除或移動某臺虛擬機等操作后，該虛擬機的數據依然在磁盤上。如果在同一磁盤上創建了新的虛擬機，很可能兩臺虛擬機使用了同一塊數據存儲區域（這僅適用于虛擬磁盤是完全分配的情況）。通常，只有新虛擬機向存儲區寫入數據時才會分配空間。由于老的數據在一定時間內不會被完全清除，所以存在通過某種方式被訪問的可能。為了防止出現這種情況，您可以通過在創建新磁盤時選擇立即清除數據存儲區，或者是使用一些基于操作系統內的相關工具來實現。
【編輯推薦】
