虛擬化多角度剖析---安全問題

　　虛擬化帶來所有以客居方式運(yùn)行操作系統(tǒng)的安全問題，以及虛擬化特有的安全威脅。虛擬化是基礎(chǔ)設(shè)施即服務(wù)（IaaS）云和私有云中的關(guān)鍵因素之一，而且越來越多地被應(yīng)用在平臺(tái)即服務(wù)（PaaS）和軟件即服務(wù)（SaaS）提供商的后臺(tái)中。虛擬化也是由公有云或私有云交付的虛擬桌面的一項(xiàng)關(guān)鍵技術(shù)。

　　這些安全問題可能包括：Hypervisor層引入的新安全考慮以及新的虛擬化特有的安全威脅，例如，虛擬機(jī)間的攻擊和盲點(diǎn)，安全功能消耗CPU和內(nèi)存導(dǎo)致的性能問題，虛擬機(jī)蔓延（VM Sprawl）導(dǎo)致的運(yùn)作復(fù)雜度。新的問題如防護(hù)間隙（Instant-On Gap）、數(shù)據(jù)混雜、加密虛擬機(jī)鏡像的難度以及殘余數(shù)據(jù)清除等正成為焦點(diǎn)。

　　Hypervisor安全

　　Hypervisor需參照最佳實(shí)踐進(jìn)行加固。使用虛擬化的企業(yè)和用戶主要關(guān)心的是Hypervisor所運(yùn)行物理主機(jī)是否有恰當(dāng)?shù)呐渲霉芾?、操作和物理安全?br>

　　虛擬機(jī)間攻擊和盲點(diǎn)

　　虛擬化對(duì)網(wǎng)絡(luò)安全帶來巨大的威脅，虛擬機(jī)間可能通過硬件背板而不是網(wǎng)絡(luò)進(jìn)行通訊，因此這些通訊流量對(duì)標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全控制來說是不可見的，無法對(duì)它們進(jìn)行監(jiān)控或內(nèi)嵌封堵。內(nèi)嵌虛擬設(shè)備可以解決這個(gè)問題；另一個(gè)解決途徑是硬件輔助虛擬化（Hardware Assisted Virtualization），它需要與Hypervisor和虛擬化管理框架進(jìn)行API級(jí)別的整合。虛擬機(jī)的遷移也是令人擔(dān)心的地方。一個(gè)可能的攻擊場景是一個(gè)可疑的虛擬機(jī)遷移進(jìn)信任區(qū)域，在傳統(tǒng)以網(wǎng)絡(luò)為基礎(chǔ)的安全控制措施下，將無法檢測到它的不當(dāng)行為。在每個(gè)虛擬機(jī)上安裝全套的安全工具，是加添保護(hù)層的另一途徑。

　　性能問題

　　將為物理服務(wù)器設(shè)計(jì)的安全軟件安裝在虛擬服務(wù)器上會(huì)導(dǎo)致嚴(yán)重的性能下降，因?yàn)橐恍┌踩蝿?wù)，比如病毒掃描非常占用CPU資源。虛擬化服務(wù)器上的共享環(huán)境導(dǎo)致了資源競爭。特別是在虛擬桌面或高密度環(huán)境中，安全軟件需具備虛擬環(huán)境識(shí)別能力，或者它需要能夠在一臺(tái)虛擬機(jī)上執(zhí)行安全功能來支持其他虛擬機(jī)。

　　虛擬機(jī)蔓延（VM Sprawl）導(dǎo)致的運(yùn)作復(fù)雜度

　　在典型的企業(yè)中，虛擬機(jī)可提供的便捷性導(dǎo)致虛擬機(jī)需求的增加。這產(chǎn)生了更大的攻擊面，錯(cuò)誤配置或操作失誤導(dǎo)致安全漏洞的幾率也隨之上升。實(shí)施基于策略的管理和虛擬化管理架構(gòu)的使用是必需的。

　　防護(hù)間隙（Instant-On Gap）

　　虛擬機(jī)關(guān)閉/啟動(dòng)便捷，再結(jié)合威脅變化的速度，產(chǎn)生了一種情況：當(dāng)虛擬機(jī)被關(guān)閉時(shí)配置是安全的；但是當(dāng)它被再次啟動(dòng)時(shí)，威脅已經(jīng)演化了，結(jié)果該虛擬機(jī)就可能存在漏洞風(fēng)險(xiǎn)了。最佳實(shí)踐包括基于網(wǎng)絡(luò)的安全控制和“虛擬補(bǔ)丁”，他們?cè)诰W(wǎng)絡(luò)流量到達(dá)新部署或新啟動(dòng)的虛擬機(jī)前，對(duì)已知攻擊行為進(jìn)行檢查。也可能采取類似網(wǎng)絡(luò)訪問控制（NAC）的措施，以隔離尚未更新的虛擬機(jī)，直至規(guī)則和模式庫更新到最新并執(zhí)行完成掃描任務(wù)。

　　虛擬機(jī)加密導(dǎo)致的性能問題

　　虛擬機(jī)鏡像無論在靜止還是運(yùn)行狀態(tài)都有被竊取或篡改脆弱漏洞。對(duì)應(yīng)的解決方案是在任何時(shí)候?qū)μ摂M機(jī)鏡像進(jìn)行加密，但這又會(huì)導(dǎo)致性能問題。在安全性要求高或有法規(guī)要求的環(huán)境下，（加密的）性能成本是值得的。加密必須與管理性措施、數(shù)據(jù)泄露保護(hù)（DLP）和審計(jì)蹤跡配合以防止運(yùn)行中虛擬機(jī)的快照（Snapshot）泄露，從而給攻擊者獲取快照中數(shù)據(jù)的機(jī)會(huì)。

　　數(shù)據(jù)混雜

　　另一個(gè)問題是不同等級(jí)的數(shù)據(jù)（或虛擬機(jī)儲(chǔ)存著不同等級(jí)的數(shù)據(jù)）可能交錯(cuò)混雜在同一臺(tái)物理機(jī)器中。在PCI（這里指PCI-DSS，支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)）條款中，我們稱之為混合實(shí)施模式。我建議組合使用虛擬局域網(wǎng)、防火墻、入侵檢測/入侵防護(hù)系統(tǒng)（IDS/IPS）來保證虛擬機(jī)隔離以支持混合實(shí)施模式。我還推薦使用數(shù)據(jù)分類和基于策略的管理（例如，DLP數(shù)據(jù)泄露保護(hù)）來預(yù)防數(shù)據(jù)混雜。在云計(jì)算環(huán)境中，某一最低安全保護(hù)的租戶，其安全性可能成為多租戶虛擬環(huán)境中所有租戶共有的安全性。

　　虛擬機(jī)數(shù)據(jù)清除

　　當(dāng)虛擬機(jī)從一個(gè)物理服務(wù)器間遷移至另一物理服務(wù)器時(shí)，企業(yè)需要確保沒有任何一個(gè)比特?cái)?shù)據(jù)遺留在磁盤上，有關(guān)數(shù)據(jù)可能被其他用戶恢復(fù)或當(dāng)磁盤被回收時(shí)恢復(fù)。對(duì)內(nèi)存/存儲(chǔ)清零或者對(duì)全部數(shù)據(jù)加密是此問題的解決方案。加密密鑰應(yīng)當(dāng)存儲(chǔ)在虛擬環(huán)境以外的一個(gè)基于策略的密鑰服務(wù)器上。此外，如果沒有使用加密或恰當(dāng)?shù)臄?shù)據(jù)擦洗，虛擬機(jī)在運(yùn)行的狀態(tài)下遷移，自身可能面臨風(fēng)險(xiǎn)。

　　虛擬像篡機(jī)鏡改

　　預(yù)先配置的虛擬設(shè)備和鏡像，在你啟動(dòng)之前可能配置不當(dāng)或被篡改過。

　　可隨意遷移的虛擬機(jī)

　　虛擬機(jī)可以從一個(gè)物理服務(wù)器遷移到另外一個(gè)物理服務(wù)器的獨(dú)特能力為審計(jì)和安全監(jiān)測增加了復(fù)雜度。在很多情下，虛擬機(jī)可以在不產(chǎn)生告警或者審計(jì)跟蹤的情況下被重新安置于另一個(gè)物理服務(wù)器（與地理位置無關(guān)）。

來源：CIO時(shí)代網(wǎng)

　　版權(quán)及免責(zé)聲明：凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時(shí)須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章，不代表本網(wǎng)觀點(diǎn)和立場。版權(quán)事宜請(qǐng)聯(lián)系：010-65363056。

延伸閱讀