安全基礎(chǔ)：認識虛擬化安全與虛擬防火墻

申請免費試用、咨詢電話：400-8352-114

【賽迪網(wǎng)-IT技術(shù)社區(qū)整理】本文主要分析了虛擬化存在的安全威脅，并介紹了虛擬防火墻產(chǎn)生的主要原因，以及與其他防火墻的區(qū)別，以及如何部署，以下的文章將會給你提供相關(guān)的知識。

虛擬化存在安全威脅

服務(wù)器虛擬化給人一種勢不可擋的感覺。需要注意的是，虛擬技術(shù)可能成黑客的幫手。如果企業(yè)一味擴大虛擬化產(chǎn)品，而對虛擬機與物理服務(wù)器的本質(zhì)區(qū)別熟視無睹的話，那么他們遲早會給入侵者開辟新的方便之門，使之順利進入到數(shù)據(jù)中心。業(yè)界目前還無法精準地確定這類威脅的本質(zhì)，因為它們尚未切實發(fā)生過。

一位安全高手表示：虛擬化技術(shù)存在安全漏洞，這在VMware和AMD公司的產(chǎn)品中都曾出現(xiàn)過。另外，黑客還可以利用虛擬化技術(shù)來隱藏病毒、特洛伊木馬及其他各種惡意軟件的蹤跡。

有專家表示：在虛擬化的新一代數(shù)據(jù)中心基礎(chǔ)設(shè)施中，每款虛擬設(shè)備及其系統(tǒng)和網(wǎng)段都必須根據(jù)最佳實踐進行管理和控制。這些實踐應(yīng)包括：

1、為所有虛擬機及各類型虛擬機上運行的所有應(yīng)有程序建立黃金標準，應(yīng)用安全及版本和補丁管理控制。

2、通過虛擬防火墻、防惡意軟件和虛擬設(shè)備管理功能強制實施所定策略。

3、依據(jù)虛擬機類型進行適當?shù)倪壿嫼臀锢?strong class="keylink">隔離。例如：應(yīng)將虛擬Web服務(wù)器與虛擬數(shù)據(jù)庫服務(wù)器進行隔離。

4、適當調(diào)整網(wǎng)絡(luò)入侵檢測系統(tǒng)或是監(jiān)控器來監(jiān)視非法的及惡意的虛擬機流量。

虛擬防火墻護安全

監(jiān)控虛擬系統(tǒng)里的應(yīng)用系統(tǒng)的虛擬防火墻是一個新生事物，其產(chǎn)品在國內(nèi)還沒有出現(xiàn)。

一、虛擬防火墻產(chǎn)生的原因

有三個原因促使虛擬防火墻的出現(xiàn)。

1、由于在虛擬系統(tǒng)里面需要部署很多的應(yīng)用系統(tǒng)，需要對各個應(yīng)用系統(tǒng)之間的虛擬化安全進行防護和訪問控制，同時，需要監(jiān)控和限制各個應(yīng)用系統(tǒng)之間的流量。

2、由于IDC或者MSSP(管理安全服務(wù)提供商)等服務(wù)商需要部署虛擬防火墻給不同的用戶來使用，同時可以實現(xiàn)對用戶的防火墻進行統(tǒng)一集中管理。

3、每個物理防火墻的投資成本比較高，而且維護費用高。

二、虛擬防火墻和傳統(tǒng)防火墻的區(qū)別

傳統(tǒng)防火墻是一個物理的實體，而虛擬防火墻是在這個物理實體里面可以劃分多個虛擬的防火墻。虛擬防火墻的某些功能甚至比傳統(tǒng)防火墻做的還要好。

三、虛擬防火墻部署位置

1、可以部署在核心交換機和主要服務(wù)器群的位置。

2、可以部署在物理網(wǎng)絡(luò)和虛擬網(wǎng)絡(luò)之間。

3、可以部署在兩個虛擬網(wǎng)絡(luò)之間。

四、軟件虛擬防火墻和硬件虛擬防火墻區(qū)別

硬件虛擬防火墻主要是指可以將一臺傳統(tǒng)防火墻在邏輯上劃分成多臺虛擬的防火墻，每個虛擬防火墻系統(tǒng)都可以被看成是一臺完全獨立的防火墻設(shè)備，可擁有獨立的系統(tǒng)資源、管理員、虛擬化安全策略、用戶認證數(shù)據(jù)庫等。

由于虛擬防火墻功能可將資源分別獨立分配給各個虛擬的系統(tǒng)，彼此之間互不干擾，因此當一個虛擬系統(tǒng)因抵御黑客攻擊耗費大量資源的時候，另一個虛擬系統(tǒng)的資源卻不受任何影響，從而有效保證網(wǎng)絡(luò)其他應(yīng)用的正常運行。

軟件虛擬防火墻支持的應(yīng)用環(huán)境可以更靈活，軟件虛擬防火墻最主要的環(huán)境要求還是看硬件系統(tǒng)是否足夠強大，包括：CPU、內(nèi)存、硬盤等等。

(責(zé)任編輯：鉬鐵)