企業(yè)CTO的煩惱：虛擬化與安全
虛擬化是近年來(lái)對(duì)數(shù)據(jù)中心帶來(lái)影響最大的技術(shù)，急于加強(qiáng)服務(wù)器以節(jié)省電源和冷卻能源等原因讓很多企業(yè)開(kāi)始轉(zhuǎn)移到虛擬環(huán)境中，這樣的話，少數(shù)用于測(cè)試更新的機(jī)器現(xiàn)在都集中在一臺(tái)服務(wù)器上了，通過(guò)支持生產(chǎn)應(yīng)用程序的虛擬化基礎(chǔ)設(shè)施來(lái)實(shí)現(xiàn)節(jié)省空間和能源的目的。
不過(guò)仍然有少數(shù)傳統(tǒng)保守派遲遲沒(méi)有采用虛擬化設(shè)備，他們認(rèn)為這樣做不太踏實(shí)。沒(méi)有任何事實(shí)依據(jù)可以說(shuō)明虛擬化和良好的安全性不能并駕齊驅(qū)，事實(shí)上，虛擬化提供了多種克服傳統(tǒng)安全問(wèn)題的方法，同時(shí)能夠降低虛擬化相關(guān)的成本并簡(jiǎn)化管理。
在企業(yè)采取虛擬化技術(shù)的同時(shí)也可以加強(qiáng)安全性，正如服務(wù)器虛擬化可以減少目前數(shù)據(jù)中心中物理服務(wù)機(jī)器的數(shù)量，虛擬化同樣也可以幫助減少安全基礎(chǔ)設(shè)施的數(shù)量，帶來(lái)更簡(jiǎn)便的管理以及更低的成本。企業(yè)可以采用虛擬版本的安全設(shè)備，而使用具備所有功能的安全產(chǎn)品或者UTM設(shè)備也同樣也可以加強(qiáng)安全性。 虛擬化基礎(chǔ)設(shè)施可以獲得像傳統(tǒng)基礎(chǔ)設(shè)施一樣有效的安全保護(hù)。當(dāng)存在虛擬化的時(shí)候，通常下面總會(huì)有一個(gè)物理主機(jī)層以及連接到網(wǎng)絡(luò)的共同的網(wǎng)關(guān)。需要考慮這一點(diǎn)，虛擬化設(shè)施與傳統(tǒng)設(shè)施在如何保護(hù)網(wǎng)絡(luò)方面是沒(méi)有差異的。企業(yè)可以繼續(xù)使用標(biāo)準(zhǔn)的網(wǎng)關(guān)安全設(shè)備，該設(shè)備將正常有效欲行。
總而言之，有很多標(biāo)準(zhǔn)準(zhǔn)則和最佳做法來(lái)幫助大家部署虛擬網(wǎng)絡(luò)，在大多數(shù)情況下，這些部署準(zhǔn)則和做法都與物理網(wǎng)絡(luò)是差不多的。當(dāng)大家在部署虛擬技術(shù)時(shí)出現(xiàn)問(wèn)題時(shí)，而把責(zé)任都推卸在虛擬化技術(shù)上，這是錯(cuò)誤的，即使當(dāng)我們?cè)诓渴鹞锢鞩P網(wǎng)絡(luò)的時(shí)候，也可能因?yàn)闆](méi)有適當(dāng)?shù)呐渲煤凸芾矸阑饓蛘甙踩O(shè)備而出現(xiàn)問(wèn)題，虛擬網(wǎng)絡(luò)同樣如此。
當(dāng)虛擬機(jī)器被部署在網(wǎng)絡(luò)周圍時(shí)，部署安全最佳做法是非常重要的。已經(jīng)部署了虛擬化的企業(yè)通常會(huì)通過(guò)移動(dòng)物理主機(jī)之間的虛擬機(jī)來(lái)減少停機(jī)窗口和實(shí)現(xiàn)業(yè)務(wù)連續(xù)性。這種方法使他們能夠更新設(shè)備或者向服務(wù)器添加更多的RAM，而用戶則不會(huì)感覺(jué)到任何影響。對(duì)于數(shù)據(jù)中心而言，如果存在大量的服務(wù)器以及嚴(yán)格的SLA，就能夠?qū)崿F(xiàn)更高級(jí)別的有效性和靈活性。
然而，涉及移動(dòng)虛擬機(jī)器的過(guò)程并沒(méi)有受到專門的保護(hù)或者加密操作，虛擬機(jī)器的數(shù)據(jù)在網(wǎng)絡(luò)上是可以被看到的，也可能在傳輸過(guò)程中被復(fù)制，可能受到傳統(tǒng)的“中間人”攻擊。存在很多最佳做法準(zhǔn)則可以防止這種對(duì)數(shù)據(jù)中心的攻擊，包括對(duì)傳輸中的數(shù)據(jù)進(jìn)行加密或者鎖定虛擬機(jī)流量，這可能需要使用VLAN(與生產(chǎn)數(shù)據(jù)隔開(kāi)的)，甚至部署一個(gè)完全不同的物理網(wǎng)絡(luò)、NIC、電纜等。
按照這些準(zhǔn)則來(lái)部署可以確保企業(yè)的虛擬機(jī)器和數(shù)據(jù)的安全性，然而，事實(shí)是這些規(guī)則的有效性還取決于你的網(wǎng)絡(luò)類型。第二，移動(dòng)虛擬機(jī)往往是在數(shù)據(jù)中心內(nèi)部進(jìn)行，而不是從一個(gè)網(wǎng)站移到另一個(gè)網(wǎng)站。對(duì)于災(zāi)難恢復(fù)的情況，數(shù)據(jù)復(fù)制工具或者使用SAN到SAN鏈接來(lái)移動(dòng)虛擬機(jī)器數(shù)據(jù)。那些嚴(yán)重偏離上述部署操作的情況應(yīng)該引起安全團(tuán)隊(duì)的重視。
認(rèn)真考慮上述內(nèi)容可以為數(shù)據(jù)中心提供更好的安全保護(hù)，同時(shí)也可以讓企業(yè)從更靈活的補(bǔ)丁管理和維持虛擬化系統(tǒng)更新中獲益匪淺。虛擬機(jī)更新補(bǔ)丁的簡(jiǎn)易性可以讓數(shù)據(jù)中心更加安全，因?yàn)樘摂M機(jī)映像可以進(jìn)行修復(fù)然后進(jìn)行克隆，而不是需要同時(shí)更新多個(gè)單獨(dú)的激情。這樣一來(lái)，減少了需要更新系統(tǒng)所花費(fèi)的時(shí)間，并且讓測(cè)試變得更加簡(jiǎn)單。
另一個(gè)圍繞虛擬化和安全方面的問(wèn)題在于虛擬設(shè)備?，F(xiàn)在企業(yè)不需要安裝軟件或者向網(wǎng)絡(luò)中添加新的硬件設(shè)備，企業(yè)可以選擇新方式來(lái)執(zhí)行安全功能---虛擬設(shè)備，虛擬設(shè)備可以像傳統(tǒng)物理設(shè)備一樣提供安全功能，但確實(shí)位于虛擬機(jī)內(nèi)的。
因?yàn)檐浖赡茉诎惭b之前被供應(yīng)商鎖定，而虛擬設(shè)備可以在不需要供應(yīng)商的情況下進(jìn)行啟動(dòng)和安全運(yùn)行，這些設(shè)備可以針對(duì)特定目的進(jìn)行優(yōu)化，從而提高性能和消除任何不必要的東西。
虛擬設(shè)備可以提供傳統(tǒng)服務(wù)器虛擬化所能提供的優(yōu)勢(shì)，而不需要部署其他硬件單元或者物理服務(wù)器來(lái)托管軟件，虛擬設(shè)備可以添加到現(xiàn)有的虛擬服務(wù)器組中。有了虛擬化，給予應(yīng)用設(shè)備的計(jì)算資源的數(shù)量就可以更加服務(wù)的重要性來(lái)分配，這種整合也意味著數(shù)據(jù)中心內(nèi)所需要的硬件單元的數(shù)量也有所減少，這樣就能夠降低能耗。因此，數(shù)據(jù)中心最終可以獲得更多的成本利益，同時(shí)能夠提供更好的安全性。
提供安全服務(wù)也可以通過(guò)使用虛擬化而變得更加簡(jiǎn)單，而不需要為共同數(shù)據(jù)中心內(nèi)的每隔客戶使用單獨(dú)的物理安全設(shè)備，使用虛擬設(shè)備毫無(wú)疑將更有效地利用資源，同時(shí)為客戶提供專門的安全服務(wù)。對(duì)于代表客戶運(yùn)行數(shù)據(jù)中心環(huán)境的企業(yè)，這種方法能夠減少大量的硬件需求。
隨著大家對(duì)虛擬化的興趣不斷高漲，部署VMware和Citrix進(jìn)行服務(wù)器整合的企業(yè)數(shù)量也不斷攀升，這些環(huán)境必定將成為惡意軟件編寫(xiě)者的攻擊目標(biāo)。然而，虛擬器的開(kāi)發(fā)是很復(fù)雜的的，因此這也成為惡意軟件編寫(xiě)者面臨的障礙。其次，操作系統(tǒng)供應(yīng)商們也所面臨著類似的挑戰(zhàn)，當(dāng)發(fā)現(xiàn)潛在的漏洞時(shí)，就需要及時(shí)開(kāi)發(fā)出補(bǔ)丁和推出補(bǔ)丁。正如傳統(tǒng)物理安全環(huán)境一樣，一個(gè)周全的補(bǔ)丁管理策略應(yīng)該能夠處理系統(tǒng)更新問(wèn)題。
雖然你可能不太想將有效的安全應(yīng)用程序也被虛擬化，但是對(duì)于培訓(xùn)和網(wǎng)絡(luò)測(cè)試的安全虛擬化確實(shí)存在很多好處。當(dāng)然并不是所有的安全解決方案都存在虛擬化形式，但虛擬化安全應(yīng)用確實(shí)可以幫助企業(yè)培訓(xùn)員工以及在安全的“沙箱”環(huán)境中開(kāi)發(fā)安全管理程序。對(duì)于數(shù)據(jù)中心管理人員而言，這可以使安全規(guī)劃和部署變得更加簡(jiǎn)單，也可以更好的滿足客戶的需求。
虛擬化有很多不同的形式，從服務(wù)器、存儲(chǔ)、桌面虛擬化到應(yīng)用等，所有這些虛擬化都能為企業(yè)帶來(lái)顯著的好處，包括降低成本、提高有效性和加快業(yè)務(wù)部署等。
【編輯推薦】
