部署虛擬化后的安全問(wèn)題
接受虛擬化的用戶通常都將虛擬化作為企業(yè)計(jì)算的福音。虛擬化能將分散的服務(wù)器和數(shù)據(jù)庫(kù)進(jìn)行整合以此來(lái)提供更加經(jīng)濟(jì)高效的運(yùn)營(yíng)方式。在虛擬機(jī)上運(yùn)行整合過(guò)的計(jì)算機(jī)還能節(jié)省讓閑置服務(wù)器和數(shù)據(jù)處理硬件系統(tǒng)運(yùn)行所消耗的電力浪費(fèi)。
然而虛擬的計(jì)算環(huán)境也還會(huì)導(dǎo)致意想不到的安全問(wèn)題。舉例來(lái)說(shuō)，虛擬化有時(shí)會(huì)繞過(guò)依靠硬件連接才能發(fā)揮作用的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。另一個(gè)潛在的安全隱患在于某些虛擬機(jī)具備逃避安全監(jiān)管的能力。因此安全網(wǎng)絡(luò)掃描通常會(huì)遺漏那些并不安全的虛擬服務(wù)器，因?yàn)樗麄円仨氃趻呙柽^(guò)程中運(yùn)行才能被發(fā)現(xiàn)。
虛擬機(jī)的靈活性也會(huì)導(dǎo)致安全死角。虛擬機(jī)能隨時(shí)創(chuàng)建：因?yàn)樗麄兛梢员幌螺d到桌面系統(tǒng)上，駐留在內(nèi)存中，這樣他們就離開(kāi)了物理安全監(jiān)管的范圍。
托管服務(wù)廠商BlackMesh公司的首席信息官Eric Mandel表示"部署虛擬化，系統(tǒng)可以像他們運(yùn)行的本地系統(tǒng)一樣安全。應(yīng)用虛擬化背后的想法是在一臺(tái)物理機(jī)上創(chuàng)建多重系統(tǒng)映像。在本地系統(tǒng)中適用的安全概念同樣也適用于虛擬映像，除了自己的系統(tǒng)要被鎖定外。而這些是任何環(huán)境下都必須考慮的安全風(fēng)險(xiǎn)"。
真的隔離了嗎?
從理論上來(lái)說(shuō)，虛擬環(huán)境中運(yùn)行的計(jì)算處理與在同樣物理硬件上運(yùn)行的其他虛擬機(jī)是隔離開(kāi)來(lái)的。每個(gè)虛擬機(jī)實(shí)例都能存儲(chǔ)在物理硬盤(pán)中，關(guān)機(jī)和攜帶都能保持持續(xù)性隔離和安全性。但是在實(shí)踐過(guò)程中，安全問(wèn)題卻并不那么簡(jiǎn)單。
Mandel解釋說(shuō)，虛擬機(jī)是由自身的系統(tǒng)來(lái)定義的。每臺(tái)物理機(jī)中只存在一種自己的系統(tǒng)，但是許多虛擬機(jī)的創(chuàng)建都是在同樣的系統(tǒng)下運(yùn)行的。
一旦虛擬機(jī)被定義完成，它就作為自己的實(shí)例來(lái)運(yùn)行，這個(gè)實(shí)例可能有權(quán)也可能無(wú)權(quán)訪問(wèn)其他虛擬機(jī)的資源，諸如虛擬硬盤(pán)，CD/DVD光驅(qū)，磁帶等。這就意味著每個(gè)虛擬機(jī)都能在同樣的物理機(jī)上與其他的虛擬機(jī)隔離開(kāi)來(lái)獨(dú)立完成。然而這種環(huán)境也可能創(chuàng)建的時(shí)候就允許虛擬機(jī)共享這些同樣的資源。
Mandel表示"在這種情況下，一個(gè)虛擬實(shí)例會(huì)傳染共享數(shù)據(jù)，繼而又影響到共享同樣資源的其他虛擬機(jī)。自己的系統(tǒng)和這個(gè)問(wèn)題是無(wú)關(guān)的，因?yàn)樗鼡碛歇?dú)立的硬盤(pán)，只有它自己才能訪問(wèn)"。
Mandel警告說(shuō)，對(duì)一臺(tái)物理服務(wù)器上托管的多重虛擬機(jī)最普遍也最真實(shí)的影響是虛擬實(shí)例對(duì)系統(tǒng)資源的爭(zhēng)奪。磁盤(pán)輸入/輸出，隨機(jī)存取存儲(chǔ)器和中央處理器單元都是被一臺(tái)物理機(jī)上托管的多重虛擬機(jī)過(guò)度使用的系統(tǒng)資源。
缺乏信服
并非所有追捧虛擬化技術(shù)的倡導(dǎo)者都同意虛擬化的應(yīng)用會(huì)帶來(lái)新的安全隱患這種說(shuō)法。虛擬軟件廠商也在致力于相關(guān)工具的研發(fā)來(lái)阻止這種安全問(wèn)題的產(chǎn)生。
Untangle是專門(mén)提供開(kāi)源網(wǎng)絡(luò)網(wǎng)關(guān)應(yīng)用工具的廠商，他們的首席技術(shù)官德克.莫里斯表示"我們聽(tīng)說(shuō)過(guò)這種擔(dān)憂。我們認(rèn)為并不存在這種真實(shí)的虛擬安全漏洞，虛擬機(jī)的風(fēng)險(xiǎn)與他的優(yōu)勢(shì)相比幾乎等同于沒(méi)有風(fēng)險(xiǎn)。
莫里斯還補(bǔ)充說(shuō)，Untangle公司也對(duì)自己的數(shù)據(jù)中心部署了虛擬機(jī)，還沒(méi)有遇到過(guò)任何麻煩。他的公司在一種虛擬機(jī)使用了20種不同的服務(wù)器。
"它也沒(méi)有改變備份規(guī)則"莫里斯強(qiáng)調(diào)說(shuō)"虛擬化會(huì)帶來(lái)安全問(wèn)題，但目前我們還沒(méi)有看到"。
差異的存在
不過(guò)虛擬化如果和其他計(jì)算單元混合使用就會(huì)帶來(lái)不安全因素。通常來(lái)說(shuō)，虛擬化廠商都會(huì)鼓吹他們的產(chǎn)品不存在安全隱患。
Secure Computing公司負(fù)責(zé)全球技術(shù)戰(zhàn)略的副總裁斯科特.蒙哥馬利表示"虛擬化并不會(huì)給安全帶來(lái)任何附件負(fù)擔(dān)，它在節(jié)約制冷成本等方面表現(xiàn)極為突出，但虛擬化并非萬(wàn)能鑰匙，也無(wú)法解決我們的所有問(wèn)題。虛擬機(jī)也不會(huì)讓安全問(wèn)題減少，它只是讓它看起來(lái)與眾不同。VMware就曾宣稱他們的產(chǎn)品增加了安全性，但我沒(méi)想那么遠(yuǎn)"。
蒙哥馬利表示，舉例來(lái)說(shuō)讓虛擬機(jī)脫機(jī)一個(gè)月。當(dāng)它重新聯(lián)機(jī)時(shí)所有的安全措施都過(guò)期了。這是一個(gè)專門(mén)針對(duì)虛擬化的問(wèn)題，你怎么為過(guò)期的證書(shū)打補(bǔ)丁呢?多數(shù)廠商目前都沒(méi)有這種工具。
其他擔(dān)憂
虛擬化安全始終是業(yè)界討論的熱點(diǎn)。正面和反面的觀點(diǎn)一直都在繼續(xù)。
Core Security公司的產(chǎn)品管理副總裁Fred Pinkett表示"硬性配置防火墻，如今虛擬機(jī)環(huán)境中的所有系統(tǒng)都在討論這個(gè)問(wèn)題。產(chǎn)品目前在虛擬化中可以加以控制。增加安全層和新分界會(huì)給虛擬機(jī)全新的安全保障"。
人們一般很少聽(tīng)說(shuō)設(shè)計(jì)虛擬機(jī)的數(shù)據(jù)泄露，但是這并不意味著沒(méi)有這種可能。
總結(jié)
蒙哥馬利警告說(shuō)，令人緊張的是虛擬化讓物理平臺(tái)上的許多數(shù)據(jù)被遷移。這使得虛擬化能訪問(wèn)所有的平臺(tái)。在同一個(gè)位置上的數(shù)據(jù)庫(kù)和網(wǎng)絡(luò)服務(wù)器都存在潛在風(fēng)險(xiǎn)。幾乎沒(méi)有那家廠商談到過(guò)這些問(wèn)題。
訪問(wèn)服務(wù)器應(yīng)用軟件和數(shù)據(jù)變得更加容易。如果一種遭遇風(fēng)險(xiǎn)，那么其他的也會(huì)受到牽連，這是個(gè)交叉性問(wèn)題。
安全廠商堅(jiān)持認(rèn)為應(yīng)該對(duì)網(wǎng)絡(luò)上的虛擬機(jī)環(huán)境特別對(duì)待來(lái)插入隱藏的缺口。這些解決方案可能都無(wú)法通過(guò)虛擬軟件制造商來(lái)提供，必須有第三方廠商的介入。
Stonesoft公司的資深解決方案架構(gòu)師Kim Lassila表示"我認(rèn)為讓人們了解風(fēng)險(xiǎn)對(duì)于虛擬機(jī)和物理機(jī)都是同樣存在的，這很關(guān)鍵。如果不應(yīng)用虛擬安全解決方案，就很難保護(hù)虛擬環(huán)境"。
他補(bǔ)充說(shuō)，沒(méi)有樹(shù)立正確意識(shí)的用戶會(huì)在沒(méi)有防火墻保護(hù)的情況下將物理企業(yè)網(wǎng)絡(luò)聯(lián)接到因特網(wǎng)上。虛擬環(huán)境也同樣如此。"虛擬平臺(tái)上的服務(wù)器，桌面系統(tǒng)和其他工作負(fù)載和他們?cè)谖锢憝h(huán)境中面臨的風(fēng)險(xiǎn)是一樣的。這是因?yàn)椴僮飨到y(tǒng)和應(yīng)用軟件都是一樣的"。
黑客的誘惑
令Lassila擔(dān)憂的另外一個(gè)問(wèn)題是虛擬化存在受黑客攻擊的隱患。有關(guān)虛擬化的兩個(gè)因素涉及這個(gè)問(wèn)題。
一個(gè)是某些用戶存在虛擬化平臺(tái)能創(chuàng)建安全的虛擬服務(wù)器，桌面系統(tǒng)或網(wǎng)絡(luò)這種誤解。按照這種思維，管理員就認(rèn)為沒(méi)必要為此而擔(dān)憂。
第二個(gè)因素是虛擬網(wǎng)絡(luò)并不實(shí)際。因此管理員不能從屋里上將網(wǎng)絡(luò)分析器連接到虛擬網(wǎng)絡(luò)上看到流量。
Lassila表示"這樣如果沒(méi)有針對(duì)虛擬環(huán)境而特別設(shè)計(jì)的安全解決方案的幫助，要想實(shí)現(xiàn)對(duì)虛擬網(wǎng)絡(luò)流量的監(jiān)控，監(jiān)管和控制就變得非常困難"。
【編輯推薦】
