虛擬化提供了很多優(yōu)勢(shì)，但是也帶來了新的安全挑戰(zhàn)。如果組織沒有針對(duì)虛擬化環(huán)境及時(shí)更新IT安全策略，將會(huì)錯(cuò)過潛在的提高效率的機(jī)會(huì)，并且使自己處于容易被攻擊的位置。在之前的問答題集合中，就VMware安全更新問題，我和同時(shí)作為編輯及顧問的Tom Howarth進(jìn)行了討論。在這個(gè)問題集中，我們將會(huì)采用一種更為寬泛的方式，討論組織應(yīng)該如何在IT虛擬化環(huán)境中應(yīng)用IT安全策略。

[[110748]]

你認(rèn)為在虛擬化環(huán)境中最大的安全挑戰(zhàn)是什么?這些挑戰(zhàn)是否隨著時(shí)間增長(zhǎng)而發(fā)生變化?

Tom Howarth：虛擬安全——這是一個(gè)矛盾的環(huán)，就像“軍事情報(bào)”和“中肯意見”一樣。這真的是安全問題嗎?或者只是一個(gè)無中生有的討論。

很多業(yè)內(nèi)專家對(duì)于這種特殊的邏輯安全管理問題都給出了相關(guān)建議。但是，這些方式在物理環(huán)境中也同樣有效。需要注意的一點(diǎn)是我所說的物理環(huán)境是指安裝在裸機(jī)上，而不是指任何其他具體的東西。

所有這一切說明，我感覺虛擬環(huán)境中最大的安全挑戰(zhàn)并不是技術(shù)相關(guān)的部分，而是現(xiàn)有的安全策略，具體來說，就是用于保護(hù)這些策略并且強(qiáng)制執(zhí)行的部分。

安全策略及其執(zhí)行過程已經(jīng)落后于技術(shù)的發(fā)展。大多數(shù)情況下，大多數(shù)安全專家還只是專注于物理基礎(chǔ)設(shè)施環(huán)境，但是其中的一些策略是和虛擬環(huán)境相對(duì)立的。比如不同安全區(qū)域間“white space”這樣的概念會(huì)迫使虛擬架構(gòu)針對(duì)不同的區(qū)域建立單獨(dú)的環(huán)境，這樣會(huì)妨礙數(shù)據(jù)中心的整個(gè)進(jìn)度。

現(xiàn)在我們擁有了技術(shù)。但是不幸的是，安全管理員和IT安全策略仍然停留在很久之前的水平。

進(jìn)行常規(guī)維護(hù)和更新安全策略有多么重要?如果沒有正式的維護(hù)計(jì)劃會(huì)出現(xiàn)哪些問題?

Howarth：公司的安全策略應(yīng)該是工作的出發(fā)點(diǎn)。它應(yīng)該成為你的工作框架;將其做作為實(shí)驗(yàn)的樣品。大多數(shù)情況下，公司的安全策略都過于死板，使其成為了一根束縛發(fā)展的繩子，而不是用于指導(dǎo)的原則。當(dāng)嘗試引入新的技術(shù)時(shí)很容易導(dǎo)致一些問題，最顯而易見的就是可能與現(xiàn)有的策略相沖突。軟件防火墻就是很明顯的例子之一。它和硬件防火墻具有完全相同的功能，但是傳統(tǒng)的IT安全專家并不喜歡使用它們。安全專家會(huì)懷疑如果軟件防火墻不能提供物理隔離功能，怎么能提供和硬件防火墻同樣的防護(hù)效果。而事實(shí)是物理防火墻可以使用硬件，但是它們?nèi)耘f需要通過軟件方式來隔離流量，通過虛擬的本地區(qū)域網(wǎng)絡(luò)和流量控制來實(shí)現(xiàn)功能。更為重要的是，硬件防火墻使用的方式和軟件防火墻完全相同。

確保對(duì)環(huán)境進(jìn)行日常檢查和維護(hù)更加重要。常規(guī)的周期性補(bǔ)丁和安全檢查比陳舊的安全策略能夠更好地保護(hù)環(huán)境安全。

組織是否需要書面的IT安全策略?應(yīng)該如何來設(shè)計(jì)這種策略?

Howarth：互聯(lián)網(wǎng)上有很多網(wǎng)站都可以幫助和指導(dǎo)公司來制定安全策略。如果你想要了解如何制定安全策略，可以網(wǎng)上進(jìn)行搜索，你將會(huì)發(fā)現(xiàn)很多相關(guān)的內(nèi)容。而我所關(guān)注的是另外一個(gè)重要問題：為什么要?jiǎng)?chuàng)建安全策略?

公司是否需要書面的安全策略是一個(gè)有趣的問題。如果使用的人認(rèn)為書面規(guī)定會(huì)對(duì)他們?cè)斐陕闊?，他們就幾乎肯定?huì)繞過或者忽略這些策略。拿密碼策略來說，一個(gè)簡(jiǎn)單的字符串或者令人印象深刻的詞相比于一個(gè)最少需要8個(gè)字母的策略(必須包含數(shù)字、大寫字母和其他符號(hào))更加安全。而一個(gè)明顯的事實(shí)是復(fù)雜的密碼會(huì)導(dǎo)致用戶將這些密碼記在紙上。如果擁有密碼重置策略，需要每隔一段時(shí)間就更換新的密碼，那么情況會(huì)變得更加復(fù)雜。

這樣的問題會(huì)引起安全策略需求方面的問題。所以應(yīng)該怎樣準(zhǔn)備地發(fā)現(xiàn)制定安全策略過程中的問題呢?首先，需要設(shè)定原則，而不是邊界。引導(dǎo)比強(qiáng)制要求更加容易。

需要記住任何安全策略中最為薄弱的一環(huán)就是人。在保證環(huán)境更加安全的前提下制定安全策略，但是不要讓他們引起問題或者麻煩，不要讓員工在使用過程中感覺困難。

需要記住得到鍵盤下面的寫著密碼的紙條，要比暴力破解容易的多。

為公司進(jìn)行一次風(fēng)險(xiǎn)評(píng)估。不要只關(guān)注于邏輯保護(hù);你同樣需要物理安全。