面对虚拟化环境修修补补不是安全之道

　　面对虚拟服务器和虚拟环境，扩充型安全方案的问题出在哪里呢？太多的人忘了这一点：VMware公司的虚拟基础架构3（VI3）只是整个虚拟环境（VE）。假定虚拟环境的核心是VMware ESX、VMware ESXi，还可能包括VMware服务器（VMware Server），但整个环境不是就只有这个核心。我们不妨考虑一下贵企业在保护虚拟化环境安全时所要考虑的许多组成部分。

　　VI3包括VMware集群（VMware Clustering）和独立主机，而后者又集成了VMware动态资源调度（DRS）、VMware高可用性（HA）、VMotion和Storage VMotion等内容。

　　接下来，还有贵企业里面使用的存储技术，这是本地存储还是远程存储？比如iSCSI、基于网络附加存储（NAS）的网络文件系统（NFS）、存储区域网络（SAN）物理设备，还是Lefthand Networks公司的虚拟SAN设备（Virtual SAN Appliance）。一旦我们讨论存储，就有必要讨论虚拟机如何访问存储资源：是使用虚拟机的磁盘文件、使用与提供给虚拟化主机的逻辑单元号（LUN）对应的原始磁盘图、使用虚拟机里面的iSCSI启动器、直接通过网络访问NAS或者SAN，还是使用光纤通道N_Port ID虚拟化（NPIV）？

　　如果涉及到网络（几乎总是这样），我们就有必要讨论涉及的网络，以及如何访问虚拟机。虚拟机通过非军事区（DMZ）来加以访问吗？还是通过生产网络、管理网络或者测试网络来访问？虚拟机之间的联系方式是采用某种特殊的应用软件、虚拟专用网（VPN）、安全套接字协议层隧道（SSL Tunnel）、远程桌面协议（RDP）、虚拟桌面基础架构（VDI），还是基于VMware虚拟基础架构客户端（VMware Virtual Infrastructure Client）网络的远程控制台？

　　为了创建及管理虚拟机，现在我们需要引入这个问题：如何管理整个环境？是通过使用VMware软件开发包（SDK）的管理软件、通过IBM的虚拟创新中心（VIC）连接到VMware的虚拟中心（Virtual Center）来管理？还是甚至通过单一主机、VMware实验室管理器（VMware Lab Manager）、VMware生命周期管理器（VMware Life Cycle Manager），还是通过整套服务控制台的剩余部分来管理？

　　所有这一切还只是大致体现了组成虚拟环境的各部分，无论你是使用VMware公司的技术，还是使用其他厂商的技术。整个过程的每一步都需要虚拟化安全。虚拟环境部署后，可以添加扩充型安全方案，但这充其量也就是权宜之计。应当自从一开始部署虚拟基础架构，就应当考虑到安全。

　　切记：虚拟化安全不但适用于虚拟环境，还适用于接触虚拟环境或者与之连接的部分，包括防火墙、路由器、网络、入侵检测和预防系统（IDS/IPS）、存储和交换结构。交换架构里面还包括虚拟局域网（VLAN）和N_Port ID虚拟化（NPIV）。

　　在每一个设计和实施步骤的虚拟化安全规划工作可以帮助你处理一些重要问题，包括数据混合（data comingling）、网络攻击预防、调查取证、审计、灾难恢复和业务连续性。

　　这就是为什么你在考虑虚拟安全时，要考虑的绝不仅仅是ESX服务器。