企业数据中心虚拟化安全架构的三个重点

ZDNet至顶网服务器频道 05月29日 新闻消息：目前数据中心中普遍采用虚拟化技术，而虚拟平台增加了额外的一层安全要求。当引进新的虚拟化技术时，数据中心增加了新的安全风险，例如，在一个管理管理程序中运行多个虚拟机的风险。同时还有虚拟机镜像和客户操作系统的安全以及物理安全设备的虚拟实例，例如，从一个物理防火墙和入侵防御系统进入运行同样的服务的虚拟镜像。

虚拟安全市场正在迅速解决与客户虚拟机有关的安全问题。虽然从战术方面看管理程序是数据中心中最不容易被利用的部分，但是，从战略上看，管理程序是虚拟数据中心最诱人的攻击目标，因为攻破这一点就可以访问数据中心的多个虚拟系统。

企业应该分析自己使用的虚拟平台的具体风险。重要的是要知道这个架构的变化如何影响到现有的安全管理系统。企业IT部门在向虚拟机迁移或者应用虚拟机之前还应该制定战术的和战略的安全计划。这些安全计划是通过对现有的虚拟安全进行综合分析实现的，同时还要计划应付虚拟平台的未来的安全威胁。规划以及当前架构和安全管理中的小的变化有助于防御未来的管理程序和平台级的虚拟化攻击。

总的来说，作为整个虚拟化安全架构的一部分，IT部门应该把重点放在三个虚拟化方面：

按照位置分开虚拟机

虚拟安全领域经常讨论的问题之一是在隔离区使用虚拟平台。经常看到一个物理虚拟机主机在隔离区运行公共的和专有的虚拟机，这两个安全领域的区分是在软交换机上实施的。在实践上，这种架构没有物理环境的架构那样安全，因为这种架构的虚拟机和物理机器共享运行环境。在物理领域，公共机器应该插入同一台交换机，虚拟局域网应该与专用机器分开。采用虚拟平台，这个计算的区分就消失了。一台主机上所有的虚拟机将共享CPU、内存、总线和网络资源。从理论上说，这个共享的虚拟架构提供了从公共网络向专有网络机器实施直接攻击的线路。这相当于把你的全部隔离区的鸡蛋都放在一个篮子里。虚拟平台上的一切都是由相同的软件共享和管理的。控制虚拟局域网部分的软件也控制这个主机的IP堆栈。那个主机上的IP堆栈中的安全漏洞会使整个客户网络处于危险之中。

消除共享的隔离区资源的安全威胁的解决方案是在物理上把公共的虚拟机与专用的虚拟机分开，在不同的主机上运行和管理这些虚拟机。所有公开的虚拟机都应该放置在公开的主机服务器上，用电缆线连接到物理地分开的网络。对于使用VMware公司的vCenter技术大规模实施虚拟化的企业来说，把公共资源与专用资源集群(许多组主机根据资源组成一个单一的管理池)分开也是很重要的。例如，VMware公司的DRS软件能够在一个集群中的主机之间动态迁移虚拟机。如果公共的和专有的主机在一个集群中是共享的，一个DRS事件就可以根据资源的需求把一个专用的虚拟机迁移到公共主机服务器，从而取消了任何资源区分的好处。

根据服务类型分开虚拟机

一旦根据位置分开虚拟资源之后，下一步就是根据任务或者服务分开虚拟机。换句话说，就是让全部的网络服务器虚拟机在一个资源池和集群中，让所有的应用虚拟机在另一个资源池或者集群中。同在隔离区内分开位置一样，这个架构旨在限制那些与攻破虚拟平台有关的风险。如果一个攻击者能够攻破一个客户虚拟机，在同一个物理主机上运行的其它客户机预计也会被攻破，因为它们共享同样的运行环境。如果在一个主机上运行的所有的虚拟机都是相同的并且都执行同样的任务，而且整个系统没有完全暴露，攻击者不必利用10个虚拟机安全漏洞，能够利用一个虚拟机的漏洞就够了。

另一方面，如果一个主机服务器正在所有的应用层运行(这些应用层包括网络服务器、应用程序服务器和数据库服务器)，攻击者通过利用前端网路浏览器漏洞能够获得后端数据库的访问权限。现在，数据库将有更大的风险，因为它与网络服务器在同一台主机上运行，共享同样的资源。根据服务分开虚拟机有助于缓解这个风险，方法是隔离虚拟应用程序并且让虚拟机保持与具体的硬件资源和集群的联系。利用一种类型的虚拟机任务的安全漏洞不会直接使其它虚拟机任务面临风险。

整个虚拟机生命周期内有预见性的安全管理

虚拟机和平台的主要好处之一是能够方便地创建、移动和撤销虚拟机。当需要新的服务的时候，可以创建虚拟机或者提取存档的虚拟机，然后根据需要进行设置。随着需求的增长，人们可以克隆虚拟机或者动态地为虚拟机分配额外的资源。随着需求的减少，人们可以撤销这些虚拟机的设置，使这些虚拟机不再消耗资源。虚拟机的创建、移动和销毁过程构成了虚拟机的生命周期。

虚拟机在生命周期的每一个步都容易受到安全威胁。当从头开始创建新的虚拟机的时候，重要的是要保证虚拟机使用最新的安全补丁和软件。当克隆虚拟机镜像和移动虚拟机的时候，重要的是保持每一个虚拟机的稳定状态,以便了解这些虚拟机是否需使用了最新的补丁或者是否需要使用补丁。随着时间的推移，很容易重复地克隆一个使用了补丁的镜像，最终使各种虚拟机保持各种补丁水平。由于镜像存储很长时间没有使用，这些虚拟机可能会过时，需要在使用的间歇时间里离线使用补丁，以保证它们在下一次启动的时候尽可能是安全的。同迁移的虚拟机一样，资产管理对于销毁虚拟机和防止闲置的虚拟机在数据中心蔓延成为未知威胁的攻击目标是非常重要的。