VMware Tools是一個可選的驅(qū)動程序和實用程序的集合，能夠提高虛擬機性能，簡化虛擬機管理。但是虛擬化專家對安裝VMware Tools的優(yōu)勢是否勝過其帶來的潛在安全風(fēng)險這個問題存在著爭論。

　　一方面，VMware Tools取代了很多客戶操作系統(tǒng)專用于物理硬件的驅(qū)動程序。經(jīng)過優(yōu)化的驅(qū)動程序能夠顯著提高性能并完善相關(guān)功能(例如，在主機與虛擬機之間提供復(fù)制粘貼功能)。但是安裝VMware Tools同樣給原本安全的基礎(chǔ)設(shè)施增加了潛在的虛擬化功能脆弱點。

　　兩位專家就運行VMware Tools的價值展開了爭論：VMware Tools導(dǎo)致了不必要的虛擬安全風(fēng)險vs.VMware Tools激發(fā)了虛擬基礎(chǔ)設(shè)施的潛能。

　　VMware Tools導(dǎo)致了不必要的虛擬安全風(fēng)險

　　VMware Tools，尤其是準(zhǔn)虛擬化驅(qū)動，經(jīng)常是虛擬機被攻擊的組件。正因為如此，我推薦盡可能使用客戶操作系統(tǒng)原有的驅(qū)動，僅對虛擬機必需的功能才安裝準(zhǔn)虛擬化驅(qū)動。

　　準(zhǔn)虛擬化驅(qū)動能夠感知到底層的虛擬化層，因此它們能夠走捷徑通過驅(qū)動程序?qū)樱绕涫悄軌蛑苯诱{(diào)用客戶操作系統(tǒng)與虛擬機對象之間的共享內(nèi)存段。但是準(zhǔn)虛擬化驅(qū)動為虛擬基礎(chǔ)設(shè)施增加了另一個受攻擊面。從理論上講，攻擊這些驅(qū)動可能導(dǎo)致服務(wù)阻斷(虛擬機宕機)，也可能導(dǎo)致黑客從當(dāng)前虛擬機逃逸(進入主機上的其他虛擬機)——對虛擬化來說這是一件很可怕的事兒。

　　從當(dāng)前虛擬機逃逸(Escape-the-VM)的攻擊方式已經(jīng)在所有的type-2 hypervisor中取得了成功。type-2 hypervisor包括了VMware Fusion、VMware Player、VMware Workstation、VMware Server以及Microsoft Virtual Server和Oracle VirtualBox。但這種攻擊方式還未能進入裸機hypervisor的其他虛擬機。裸機hypervisor包括了VMware vSphere、Citrix XenServer以及Microsoft Hyper-V。

　　然而，在vSphere中VMware Tools的準(zhǔn)虛擬化驅(qū)動已經(jīng)導(dǎo)致了一些安全問題：

　　Vmxnet驅(qū)動為虛擬機提供了高速網(wǎng)絡(luò)。但是vmxnet系列驅(qū)動允許網(wǎng)絡(luò)數(shù)據(jù)包打亂時間戳順序，這可能導(dǎo)致與其他數(shù)據(jù)包的不同步。這一缺陷導(dǎo)致基于TCP/IP服務(wù)的失敗。導(dǎo)致網(wǎng)絡(luò)服務(wù)器網(wǎng)絡(luò)中斷也就意味著中斷服務(wù)。因為準(zhǔn)虛擬化驅(qū)動導(dǎo)致了這一問題，因此它被認(rèn)為存在虛擬化安全風(fēng)險(這一問題已經(jīng)被修復(fù))。操作系統(tǒng)供應(yīng)商提供的e1000驅(qū)動同樣能夠提供高速網(wǎng)絡(luò)，因此沒有必要使用準(zhǔn)虛擬化驅(qū)動。

　　在hypervisor外部VMCI驅(qū)動用于虛擬機之間的通信(也就是虛擬機使用另一條網(wǎng)絡(luò)路徑)。目前沒有應(yīng)用程序使用該功能，但是啟用VMCI驅(qū)動給現(xiàn)存的虛擬機增加了另外一個潛在的受攻擊面。

　　VMware的SVGA驅(qū)動是VMware Tools最易受到攻擊的驅(qū)動，但是只有虛擬桌面才會用到SVGA驅(qū)動。在其他情況下客戶操作系統(tǒng)提供的標(biāo)準(zhǔn)的SVGA驅(qū)動就能夠滿足要求而且可以限制虛擬機的受攻擊面(攻擊SVGA可能導(dǎo)致虛擬機宕機)。

　　僅在虛擬機必須使用準(zhǔn)虛擬化驅(qū)動提供的功能時才使用它，為限制虛擬機風(fēng)險，你應(yīng)該盡可能地選擇客戶操作系統(tǒng)提供的驅(qū)動。