虛擬服務(wù)器管理存在安全問題

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

現(xiàn)在有許多IT管理者認(rèn)為，配置虛擬服務(wù)器將使他們的虛擬機(jī)免收安全漏洞和病毒的攻擊。但是Edward L. Haletky等虛擬化安全專家認(rèn)為，IT經(jīng)理將驚奇地發(fā)現(xiàn)，對(duì)于保護(hù)虛擬架構(gòu)他們需要付出更多的努力。

Haletky曾經(jīng)撰寫過一篇關(guān)于虛擬化安全的書籍，他表示：“目前有關(guān)虛擬化技術(shù)最大的安全問題就是很多人并不知道他們自己真正在做什么。虛擬化管理員并不是安全管理員。他們之所有不能成為安全管理員是因?yàn)橛刑嘈枰獙W(xué)習(xí)的技能。虛擬化管理者也不是存儲(chǔ)經(jīng)理，但是他們卻需要有這方面的知識(shí)?！?/P>

盡管虛擬化技術(shù)本身并不容易受到攻擊，但是安全管理員和虛擬化管理員之間的知識(shí)差異導(dǎo)致了虛擬服務(wù)器配置的不安全性?，F(xiàn)在虛擬化安全專家還很少，所以建議虛擬化管理員更多地掌握有關(guān)知識(shí)，審核針對(duì)他們虛擬機(jī)的策略，確保虛擬機(jī)上的功能性和內(nèi)容被分配到獨(dú)立的操作環(huán)境下。

隔離你的虛擬機(jī)

據(jù)Haletky稱，虛擬化管理員必須擔(dān)心四種網(wǎng)絡(luò)：管理網(wǎng)絡(luò)、存儲(chǔ)網(wǎng)絡(luò)、虛擬機(jī)網(wǎng)絡(luò)和VMotion網(wǎng)絡(luò)。他說，如果虛擬化管理員不隔離這些網(wǎng)絡(luò)的話，就有可能產(chǎn)生最大的安全漏洞。

他說：“一些管理員將所有這四種網(wǎng)絡(luò)的smack標(biāo)簽放在他們的DMZ上?！庇蟹浅?yán)格和快速的規(guī)則控制 IT部門在DMZ中的行為——首先也是最重要的一個(gè)就是禁止系統(tǒng)中有超過一個(gè)的網(wǎng)絡(luò)鏈接。Haletky表示，相同的規(guī)則也還可以應(yīng)用到虛擬服務(wù)器方面，他建議IT管理者盡可能地遠(yuǎn)離DMZ。

加拿大IDC公司安全和軟件研究主管David Senf也認(rèn)同這個(gè)觀點(diǎn)，他說：“為了避免混淆安全策略、防止擴(kuò)大權(quán)限，一些IT部門不允許DMZ中的虛擬機(jī)session停留在DMZ后端的主機(jī)上?！?/P>

Info-Tech Research Group高級(jí)研究分析師John Sloan表示，管理員可以通過特殊的安全區(qū)域內(nèi)聚合虛擬機(jī)來使用網(wǎng)絡(luò)隔離。他解釋說：“有些設(shè)備可能是從其他設(shè)備上分離出來的，因此需要不同層級(jí)的安全性?！?/P>

Sloan還建議那些使用實(shí)時(shí)遷移功能（這種功能可以將運(yùn)行中的虛擬機(jī)從一臺(tái)物理服務(wù)器遷移到另一臺(tái)物理服務(wù)器上，從而優(yōu)化性能、減少宕機(jī)時(shí)間）的管理員小心這項(xiàng)功能對(duì)安全性的影響。

他說：“有些情況下服務(wù)器設(shè)備可能需要更高層級(jí)的安全，但是他們可能需要遷移到其他設(shè)備中，是因?yàn)樾阅軉栴}而不是安全問題。因此，這就增加了更多的復(fù)雜性，因?yàn)槟阈枰私馕锢矸?wù)器是如何分區(qū)的，確保‘相同’的服務(wù)器都使用相同的平臺(tái)。”

虛擬化解決方案提供商Tresys技術(shù)設(shè)計(jì)總監(jiān)Karl MacMillan表示：“現(xiàn)在最緊迫的安全需求就是確保虛擬化軟件本身存在的漏洞不允許用戶虛擬機(jī)在操作系統(tǒng)中引發(fā)災(zāi)難或者可能闖入其他用戶虛擬機(jī)中?！?/P>

有了將具備相同訪問權(quán)限的虛擬機(jī)整合到一起的理念之后，就產(chǎn)生了在獨(dú)立虛擬機(jī)上隔離單個(gè)應(yīng)用的功能。他說，這將確保你的HR應(yīng)用不會(huì)受到Web瀏覽器的影響。

MacMillan表示：“這種做法的優(yōu)點(diǎn)在于你可以通過使用更多虛擬機(jī)的功能來加強(qiáng)獨(dú)立性。但是由于虛擬機(jī)繁殖迅速的特點(diǎn)，你還需要確保這些操作系統(tǒng)的安全性。你還要對(duì)這些操作系統(tǒng)進(jìn)行升級(jí)、打補(bǔ)丁、對(duì)其進(jìn)行追蹤等。”