数据中心的三类虚拟化安全问题及其对策

  【雷竞技须安全稳定 服务器频道8月19日消息】整合资源、成本控制、动态配置和动态迁移等因素正在推动大多数IT部门试验某种形式的虚拟化平台，推动虚拟化技术在数据中心的应用。在云计算等新兴技术趋势驱动下的大规模基础设施让虚拟化技术成为云数据中心的必备组件。

  然而虚拟化平台正在面临安全问题，虚拟化平台增加了额外的一层安全要求。向数据中心的虚拟机迁移需要重新设计安全计划和架构，可能引起的潜在问题包括：事件反应、虚拟化基础设施、隔离区设计。

  事实上，与虚拟平台本身有关的风险仍然是不清楚的，因为目前对于内部管理程序和平台安全还没有大量的解决方案。虽然从战术方面看管理程序是数据中心中最不容易被利用的部分，但是，从战略上看，管理程序是虚拟数据中心最诱人的攻击目标，因为攻破这一点就可以访问数据中心的多个虚拟系统。

  企业应该分析自己使用的虚拟平台的具体风险。重要的是要知道这个架构的变化如何影响到现有的安全管理系统。企业IT部门在向虚拟机迁移或者应用虚拟机之前还应该制定战术的和战略的安全计划。这些安全计划是通过对现有的虚拟安全进行综合分析实现的，同时还要计划应付虚拟平台的未来的安全威胁。规划以及当前架构和安全管理中的小的变化有助于防御未来的管理程序和平台级的虚拟化攻击。

  为了解决把虚拟化引进到数据中心所产生的安全问题，我们需要解决三种类型的虚拟化安全问题：当引进新的虚拟化技术时，数据中心增加了新的安全风险，例如，在一个管理管理程序中运行多个虚拟机的风险;虚拟机镜像和客户操作系统的安全;物理安全设备的虚拟实例，例如，从一个物理防火墙和入侵防御系统进入运行同样服务的虚拟镜像。

  综上所述，作为整个虚拟化安全架构的一部分，IT部门应该把重点放在三个虚拟化方面：按照位置分开虚拟机;按照服务类型分开虚拟机;在整个虚拟机生命周期内实施有预见性的安全管理。

  虚拟安全领域经常讨论的问题之一是在隔离区使用虚拟化平台。经常看到一个物理主机在隔离区运行公共的和专有的虚拟机。在实践上，这种架构没有物理环境的架构那样安全，因为这种架构的虚拟机和物理机器共享运行环境。虚拟平台上的一切都是由相同的软件共享和管理的。从理论上说，这个共享的虚拟架构提供了从公共网络向专有网络机器实施直接攻击的线路。

  消除共享的隔离区资源的安全威胁的解决方案是在物理上把公共的虚拟机与专用的虚拟机分开，在不同的主机上运行和管理这些虚拟机。所有公开的虚拟机都应该放置在公开的主机服务器上。对于使用VMware公司的vCenter技术大规模实施虚拟化的企业来说，把公共资源与专用资源集群（许多组主机根据资源组成一个单一的管理池）分开也是很重要的。例如，VMware公司的DRS软件能够在一个集群中的主机之间动态迁移虚拟机。如果公共的和专有的主机在一个集群中是共享的，一个DRS事件就可以根据资源的需求把一个专用的虚拟机迁移到公共主机服务器，从而取消了任何资源区分的好处。

  一旦根据位置分开虚拟资源之后，下一步就是根据任务或者服务分开虚拟机。换句话说，就是让全部的服务器虚拟机在一个资源池和集群中，让所有的应用虚拟机在另一个资源池或者集群中。同在隔离区内分开位置一样，这个架构旨在限制那些与虚拟化平台有关的风险。如果一个攻击者能够攻破一个客户虚拟机，在同一个物理主机上运行的其它客户机预计也会被攻破，因为它们共享同样的运行环境。这对于企业业务的威胁是巨大。

  另一方面，如果一个主机服务器正在所有的应用层运行（这些应用层包括应用程序服务器和数据库服务器），攻击者通过利用前端网路浏览器漏洞能够获得后端数据库的访问权限。这样的结果是应用服务器也将面临很大的安全威胁。根据服务分开虚拟机有助于缓解这个风险，方法是隔离虚拟应用程序并且让虚拟机保持与具体的硬件资源和集群的联系。

  虚拟机和平台的主要好处之一是能够方便地创建、移动和撤销虚拟机。当需要新的服务的时候，可以创建虚拟机或者提取存档的虚拟机，然后根据需要进行设置。随着需求的增长，人们可以克隆虚拟机或者动态地为虚拟机分配额外的资源。随着需求的减少，人们可以撤销这些虚拟机的设置，使这些虚拟机不再消耗资源。虚拟机的创建、移动和销毁过程构成了虚拟机的生命周期。

  虚拟机在生命周期的每一个步都容易受到安全威胁。当从头开始创建新的虚拟机的时候，重要的是要保证虚拟机使用最新的安全补丁和软件。当克隆虚拟机镜像和移动虚拟机的时候，重要的是保持每一个虚拟机的稳定状态，以便了解这些虚拟机是否需使用了最新的补丁或者是否需要使用补丁。

  随着时间的推移，很容易重复地克隆一个使用了补丁的虚拟机镜像，最终使各种虚拟机保持各种补丁水平。由于镜像存储很长时间没有使用，这些虚拟机可能会过时，需要在使用的间歇时间里离线使用补丁，以保证它们在下一次启动的时候尽可能是安全的。同迁移的虚拟机一样，资产管理对于销毁虚拟机和防止闲置的虚拟机在数据中心蔓延成为未知威胁的攻击目标是非常重要的。

  总之，虚拟化技术在带给数据中心运维方便的同时，安全问题也随之出现。在虚拟机和物理机并存的环境下，数据中心运维面临新的挑战。如何实现虚拟化下数据中心的高效运转，成为数据中心管理人员新的课题。