服務器虛擬化的優(yōu)勢已經從多方面論述過了，但對hypervisor安全缺陷的關注還不夠。如果您由于不小心或缺少經驗，就會很容易遇到安全問題。

　　更多企業(yè)轉向虛擬化來降低成本和增加靈活性，同時又帶來了虛擬化和hypervisor安全方面的花費。Gartner預測60%以上計劃在2012年用虛擬服務器代理物理服務器的環(huán)境，安全性降低了。主要原因之一在于物理服務器環(huán)境的安全工具和相關最佳實踐無法在虛擬環(huán)境中繼續(xù)采用。

　　Hypervisor，無論VMware ESXi、微軟Hyper-V、Xen還是KVM，增加的代碼都意味著更多受攻擊點的出現。而分發(fā)攻擊可能會導致各種不愉快的結果，例如黑客可以通過攻擊一臺或多臺虛擬機、甚至宿主機和底層硬件設備。而入侵者可以找到多種虛擬化和hypervisor安全漏洞展開攻擊：一些是跟虛擬化本身相關的，其他的可能是由于IT人員不小心導致。

　　遷移過程把不同安全級別的宿主機聯系到一起

　　在任何時候您都可以通過虛擬化遷移軟件，如VMware vMotion，在一臺或多臺安全級別不同的宿主機之間遷移工作負載。在遷移虛擬機時，目標虛擬服務器應該具備兼容的安全級別和政策。

　　IT管理員在對具備了混合的龐大而復雜的多安全等級操作系統之間進行操作的時候，需要特別小心，除非部署了相應的管理機制。當使用遷移工具時，您需要在源宿主機和目標主機之間部署安全兼容性審查機制(當工作負載遷移是發(fā)生在云環(huán)境中時該過程引發(fā)的問題甚至更多)。

　　不可見的虛擬機流量

　　很多傳統物理架構的網絡安全工具在虛擬環(huán)境中不再可用。它們可能是通過檢查物理網絡連接上服務器之間的流量來實現的，而對于虛擬機流量是不可見的，這會導致虛擬化的受攻擊問題蔓延。

　　畢竟，在宿主機內部的虛擬機流量不會離開主機到物理網絡中運行，對于不習慣虛擬化和hypervisor安全問題的IT部門可能會有問題。例如，網絡管理員不能監(jiān)控到位于單個宿主機上多臺虛擬服務器上的多種應用。結果導致受到攻擊的某個虛擬機可能會影響同一宿主機上的其它虛擬機。

　　為解決該問題，IT組織開始關注新的網絡管理和安全產品，例如Catbird Network Inc.’s vSecurity, Reflex System LLC’s Virtual Management Centre 和 Altor Network’s Virtual Firewall。

　　超越虛擬機范圍的攻擊

　　一些專家認為，攻擊者可能會受益于這種基于底層hypervisor上運行的虛擬機內部子操作系統的模式。例如，虛擬服務器的子操作系統可能會通過底層命令調用hypervisor，我們稱之為hypercall。而hypervisor通常不會檢查hypercall到底來自于子操作系統還是某個虛擬機上運行的應用。

　　這樣的話，如果攻擊進入到某個子操作系統內，它就有可能蔓延到虛擬服務器和其它的組件，包括虛擬主機、hypervisor、其它虛擬機或其它宿主機。

　　IBM 2010年11月的安全報告分析顯示虛擬化和hypervisor安全問題在過去的十年里在Citrix Systems, IBM, Microsoft, Oracle, Red Hat 和 VMware的系統中都曾發(fā)生過。數據顯示其中35%的安全問題從子虛擬機蔓延到其它的虛擬機和hypervisor，而只有15%的安全攻擊影響限制在子系統內，沒有對hypervisor和宿主機系統帶來影響。

　　IT人員需要關注的另一方面問題是未經授權的虛擬機復制。由于hypervisor以文件的形式保存虛擬機，所以很可能會拷貝并在其它主機上運行虛擬機。入侵者可以通過網絡把虛擬機拷貝到可移動存儲介質上，并在自己的服務器上訪問虛擬機的內容。由于入侵者獲得了虛擬機的副本，所以可能虛擬機不會感覺到入侵過程發(fā)生了。

　　這僅僅是部分非法訪問虛擬環(huán)境的方式。在關于虛擬化和hypervisor安全問題的第二部分內容中，我們將涉及防護方法。