[[177637]]

虛擬化技術(shù)及其應(yīng)用一直在穩(wěn)健發(fā)展，在很多領(lǐng)域都有涉及。雖然虛擬化的概念可以回溯到五十年前，但這種技術(shù)仍在不斷增長(zhǎng)，并且不斷推動(dòng)在當(dāng)今和未來(lái)的應(yīng)用。

如今，有約50%的服務(wù)器負(fù)載在虛擬機(jī)上運(yùn)行，并且在未來(lái)的幾年還要增加。據(jù)Gartner估計(jì)，2009年部署的虛擬服務(wù)器有四百萬(wàn)臺(tái)，而虛擬化PC的數(shù)量將從2007年的五百萬(wàn)增加到2016年的六億。虛擬化技術(shù)的使用帶來(lái)很多利益，如靈活性、敏捷性以及成本效益等。同時(shí)，虛擬化還帶來(lái)一些新挑戰(zhàn)：

• 物理安全設(shè)備往往對(duì)新的虛擬網(wǎng)絡(luò)結(jié)構(gòu)“視而不見(jiàn)”;
• 系統(tǒng)管理程序(虛擬機(jī)管理程序)帶來(lái)新的威脅面;
• 虛擬管理員帶來(lái)角色的新威脅;
• 機(jī)器成為文件，導(dǎo)致移動(dòng)性、快速變更及失竊機(jī)會(huì);

虛擬化帶來(lái)很多好處，也不可避免地帶來(lái)許多由其自身產(chǎn)生的威脅。由于缺乏使用虛擬化和虛擬機(jī)的知識(shí)和正確指導(dǎo)，雇員會(huì)犯一些敏感的錯(cuò)誤并給企業(yè)和虛擬化的安全帶來(lái)危害。

安全專家需要認(rèn)識(shí)到哪些是新東西，并且調(diào)整其安全實(shí)踐進(jìn)行適應(yīng)。否則，虛擬化將帶來(lái)巨大的安全威脅。隨著虛擬機(jī)進(jìn)入產(chǎn)生環(huán)境，企業(yè)必須關(guān)注正成為一種攻擊媒介的虛擬機(jī)技術(shù)。

雖然企業(yè)可以實(shí)施多種安全方案來(lái)保證其安全，但是，雇員意識(shí)、虛擬服務(wù)器和虛擬主機(jī)使用的安全實(shí)踐扮演著重要的角色。除了新出現(xiàn)的問(wèn)題外，虛擬化最重要的問(wèn)題是，用戶和管理員在使用和配置虛擬機(jī)時(shí)會(huì)犯錯(cuò)誤，這可能會(huì)影響到虛擬化的安全性。

錯(cuò)誤一：錯(cuò)誤配置虛擬主機(jī)的管理平臺(tái)、臨時(shí)用戶和網(wǎng)絡(luò)

為虛擬機(jī)創(chuàng)建的默認(rèn)安全配置在很大程度上與物理主機(jī)的默認(rèn)配置一樣。對(duì)于虛擬服務(wù)器來(lái)說(shuō)，這也是虛擬機(jī)的管理員可能犯的最大錯(cuò)誤。如果虛擬機(jī)使用默認(rèn)配置(其中包括不必要的端口和服務(wù)，還有其它的一些項(xiàng)目)，其中的漏洞就會(huì)擴(kuò)展到由此虛擬機(jī)構(gòu)建和復(fù)制的每一個(gè)實(shí)例中。

虛擬網(wǎng)絡(luò)配置是企業(yè)可能犯錯(cuò)的另一個(gè)領(lǐng)域。在虛擬網(wǎng)絡(luò)上，有些企業(yè)沒(méi)有正確分離就建立Web服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器。這些常見(jiàn)的愚蠢錯(cuò)誤可能使企業(yè)的虛擬服務(wù)器容易遭到漏洞利用，并且容易成為惡意黑客破壞服務(wù)器和其它服務(wù)的目標(biāo)。

為避免這種錯(cuò)誤，所有的監(jiān)視系統(tǒng)都應(yīng)當(dāng)是能夠感知和探測(cè)虛擬機(jī)并根據(jù)檢測(cè)結(jié)果采取行動(dòng)的虛擬機(jī)。對(duì)于支持在客戶機(jī)和主機(jī)操作系統(tǒng)之間進(jìn)行通信的虛擬化平臺(tái)的功能，管理員應(yīng)密切地檢查。例如，設(shè)備驅(qū)動(dòng)程序、復(fù)制和粘貼功能等等。只要有可能，管理員就應(yīng)確認(rèn)和禁用這些方面。

錯(cuò)誤二：沒(méi)有正確分離責(zé)任和部署最少特權(quán)控制

在任何企業(yè)中，特權(quán)控制都扮演著一個(gè)重要角色。攻擊者總在尋找訪問(wèn)特權(quán)賬戶的機(jī)會(huì)，以利用服務(wù)器的漏洞。在虛擬化中，也會(huì)出現(xiàn)同樣的常見(jiàn)錯(cuò)誤：未處理特權(quán)賬戶，也沒(méi)有將特權(quán)賬戶與其它賬戶分離。

在用戶執(zhí)行其經(jīng)授權(quán)的任務(wù)時(shí)，實(shí)現(xiàn)責(zé)任分離并且提供必要的最少權(quán)限，無(wú)論對(duì)于物理資源還是虛擬資源都是至關(guān)重要的。有些虛擬化平臺(tái)壓縮了系統(tǒng)和網(wǎng)絡(luò)管理功能，因而分離這些責(zé)任很困難。這就給了虛擬管理員太多的特權(quán)和功能。

此外，高特權(quán)的訪問(wèn)還提升了有特權(quán)的內(nèi)部人員的濫用風(fēng)險(xiǎn)，而且，虛擬管理員登錄憑據(jù)的泄露還會(huì)造成外部攻擊者可以利用一些強(qiáng)大功能。

為避免這種嚴(yán)重錯(cuò)誤，企業(yè)應(yīng)使用防火墻過(guò)濾器的規(guī)則，將虛擬化的管理控制臺(tái)的訪問(wèn)限制為預(yù)定義的經(jīng)授權(quán)的內(nèi)部網(wǎng)絡(luò)地址，以防御外部攻擊者對(duì)虛擬化管理控制臺(tái)的訪問(wèn)。此外，企業(yè)還應(yīng)考慮使用可信任的安全機(jī)制，例如，要求對(duì)管理控制臺(tái)的訪問(wèn)使用SSH。

錯(cuò)誤三：未能教育其它組的成員，尤其是管理和合規(guī)人員

在動(dòng)態(tài)創(chuàng)建新虛擬機(jī)、清除虛擬機(jī)時(shí)，風(fēng)險(xiǎn)評(píng)估、合規(guī)甚至是軟件的許可協(xié)議都會(huì)受到影響。如果企業(yè)沒(méi)有維護(hù)虛擬系統(tǒng)、虛擬服務(wù)器、虛擬網(wǎng)絡(luò)以及所有虛擬機(jī)機(jī)制的安全性，這個(gè)問(wèn)題就很普遍。

在一個(gè)虛擬的環(huán)境中，風(fēng)險(xiǎn)評(píng)估和分析(發(fā)放評(píng)估調(diào)查問(wèn)卷并分析問(wèn)卷)的傳統(tǒng)方法是不夠的。由于許多企業(yè)看不到其中的風(fēng)險(xiǎn)，也就無(wú)法分析存在的差距。

通過(guò)對(duì)風(fēng)險(xiǎn)管理和合規(guī)人員進(jìn)行虛擬化功能和局限性的教育，我們就可以防止這種錯(cuò)誤。此外，在制定虛擬基礎(chǔ)架構(gòu)的關(guān)鍵安全策略時(shí)，還要加入合規(guī)人員，并且還要對(duì)新的虛擬化項(xiàng)目的風(fēng)險(xiǎn)進(jìn)行評(píng)估和分析，要將風(fēng)險(xiǎn)管理人員加入到討論中。

錯(cuò)誤四：在企業(yè)中缺乏虛擬機(jī)的可見(jiàn)性

企業(yè)虛擬系統(tǒng)的不可控增長(zhǎng)是一個(gè)主要錯(cuò)誤，它會(huì)影響到多數(shù)虛擬系統(tǒng)和虛擬化機(jī)制。 “虛擬機(jī)蔓延”用于定義這種不可控制的增長(zhǎng)，這會(huì)造成虛擬機(jī)耗用資源和帶寬，并且?guī)?lái)新的沒(méi)有打補(bǔ)丁的和不受監(jiān)視的漏洞。

正如發(fā)現(xiàn)物理IT資產(chǎn)是非常必要的一樣，發(fā)現(xiàn)虛擬系統(tǒng)及其上運(yùn)行的應(yīng)用程序也同樣重要，當(dāng)然其中也有不少困難。這就是虛擬環(huán)境的可見(jiàn)性非常重要的原因。在取證時(shí)會(huì)發(fā)現(xiàn)，在任何事件中，這種錯(cuò)誤會(huì)造成虛擬環(huán)境的不可見(jiàn)，并且會(huì)由于不安全的和未知的虛擬源而造成信息泄露。

實(shí)施虛擬化感知技術(shù)發(fā)現(xiàn)虛擬機(jī)和網(wǎng)絡(luò)設(shè)備的端口映射和應(yīng)用程序清單，是避免這種錯(cuò)誤的一個(gè)好主意。將虛擬機(jī)集成到現(xiàn)有系統(tǒng)的生命周期過(guò)程中是一個(gè)不錯(cuò)的主意。這也要求新的虛擬機(jī)感知工具與VMM(虛擬機(jī)監(jiān)控器)中的管理功能進(jìn)行協(xié)作。

錯(cuò)誤五：不能協(xié)調(diào)虛擬機(jī)和網(wǎng)絡(luò)連接之間的策略

對(duì)于物理的系統(tǒng)和網(wǎng)絡(luò)連接，我們可以確保建立策略并連接服務(wù)器、路由器、交換機(jī)和網(wǎng)絡(luò)安全設(shè)備，并且變更控制策略可以監(jiān)控策略和網(wǎng)絡(luò)配置的改變。

但是，在虛擬化中，問(wèn)題正相反，因?yàn)樘摂M機(jī)是動(dòng)態(tài)創(chuàng)建的。虛擬機(jī)的動(dòng)態(tài)屬性是虛擬化的美妙之處。然而，在涉及強(qiáng)化虛擬機(jī)的安全策略時(shí)，這就會(huì)帶來(lái)問(wèn)題，因?yàn)樘摂M機(jī)可以到處遷移。

由防火墻、路由器、交換機(jī)、IPS及其它設(shè)備的使用而構(gòu)建的隔離和安全區(qū)域也可以在虛擬化的環(huán)境中創(chuàng)建生成。問(wèn)題在于在虛擬機(jī)遷移時(shí)，如何在虛擬機(jī)環(huán)境中遵循相關(guān)規(guī)則。

為克服這種錯(cuò)誤，管理員要確保物理基礎(chǔ)架構(gòu)(如路由器和交換機(jī))或者虛擬環(huán)境的對(duì)等設(shè)備都與虛擬機(jī)綁定在一起。此外，要尋找能夠感知虛擬化的有助于管理網(wǎng)絡(luò)和安全策略的解決方案，還要與VMM(虛擬機(jī)監(jiān)控器)或虛擬系統(tǒng)管理程序協(xié)作，以實(shí)現(xiàn)更高的可見(jiàn)性和控制。

從長(zhǎng)遠(yuǎn)來(lái)看，企業(yè)要尋求集成化的和可感知虛擬化的解決方案，從而更可靠地將安全功能加入到虛擬機(jī)中，并且使用安全策略管理工具，還要結(jié)合監(jiān)控虛擬機(jī)管理的過(guò)程，以確保虛擬機(jī)位置的改變能將必要的安全功能復(fù)制到新位置。

為解決由運(yùn)行虛擬機(jī)帶來(lái)的安全問(wèn)題，安全技術(shù)正在快速發(fā)展。很多技術(shù)并不能向虛擬環(huán)境提供足夠的安全特性和可靠性。進(jìn)一步講，感知虛擬化的技術(shù)在虛擬化的實(shí)施中扮演著一個(gè)重要角色，并且提供可見(jiàn)性、控制以及與安全和可管理的虛擬系統(tǒng)的集成水平。但是，企業(yè)應(yīng)當(dāng)避免在實(shí)施虛擬環(huán)境時(shí)的常見(jiàn)錯(cuò)誤，目的是避免安全缺陷和為攻擊者打開(kāi)后門(mén)進(jìn)而破壞企業(yè)的虛擬環(huán)境。