技術(shù)指南：如何保護(hù)數(shù)據(jù)中心虛擬化安全
盡管服務(wù)器虛擬化技術(shù)以爆炸式速度席卷全世界的數(shù)據(jù)中心，但維護(hù)虛擬環(huán)境安全的技術(shù)卻嚴(yán)重滯后。據(jù)隸屬惠普公司的網(wǎng)絡(luò)安全解決方案提供商TippingPoint的產(chǎn)品線管理總監(jiān)詹姆斯.考利格的說(shuō)法，這個(gè)事實(shí)可能會(huì)讓某些部署了虛擬化的企業(yè)為服務(wù)器安全問(wèn)題而頭疼不已。考利格在今年初參加倫敦舉行的信息化安全歐洲2010峰會(huì)時(shí)表達(dá)了這番觀點(diǎn)。
根據(jù)Gartner咨詢公司的數(shù)據(jù)統(tǒng)計(jì)：從某方面來(lái)說(shuō)，2009年下半年至少有16%的企業(yè)級(jí)工作負(fù)載是在虛擬服務(wù)器上運(yùn)行的，但是這個(gè)比例到了2012年有望增長(zhǎng)到50%--即以X86為基礎(chǔ)的虛擬機(jī)將達(dá)到大概5800萬(wàn)個(gè)。但是Gartner咨詢公司也預(yù)測(cè)稱，這些虛擬服務(wù)器中大約有60%的安全性要遜于他們所取代的物理服務(wù)器。
Forrester研究公司也指出，采用虛擬化管理程序軟件的企業(yè)中有98%正在使用VMware虛擬化技術(shù)。這意味著如果VMware軟件被發(fā)現(xiàn)存在零日漏洞的話，黑客可能會(huì)通過(guò)諸如電子郵件，網(wǎng)絡(luò)或者域名服務(wù)器等各種途徑來(lái)發(fā)動(dòng)攻擊。
虛擬服務(wù)器的安全性為什么就不如他們所取代的物理服務(wù)器呢？考利格所提到的某些導(dǎo)致服務(wù)器安全級(jí)別較低的原因包括：
*許多服務(wù)器虛擬化項(xiàng)目實(shí)施之初就沒(méi)有將安全問(wèn)題考慮在內(nèi)
*所有的虛擬工作負(fù)載存在虛擬軟件受到安全威脅的可能
*不同信任級(jí)別的虛擬工作負(fù)載通常被整合在單個(gè)物理主機(jī)上，沒(méi)有進(jìn)行足夠的隔離
*許多企業(yè)對(duì)管理程序/虛擬機(jī)監(jiān)管層管理訪問(wèn)的足夠控制和管理工具
這些對(duì)虛擬環(huán)境的實(shí)際威脅以管理程序?yàn)橹行目梢詣澐譃閹讉€(gè)類別：
黑客攻擊：這會(huì)涉及對(duì)管理程序的干擾或者插入流氓管理程序。由于管理程序是在處理器專屬級(jí)別上運(yùn)行的，因?yàn)楣芾沓绦蛏线\(yùn)行的任何操作系統(tǒng)都很難甚至不可能偵測(cè)到這些威脅。從理論上來(lái)說(shuō)，控制了管理程序的黑客會(huì)控制任何在物理服務(wù)器上運(yùn)行的虛擬機(jī)。
虛擬機(jī)溢出：會(huì)導(dǎo)致虛擬機(jī)溢出的漏洞會(huì)允許黑客威脅到特定的虛擬機(jī)，將黑客攻擊從虛擬服務(wù)器升級(jí)到控制底層的管理程序。
虛擬機(jī)跳躍：與虛擬化溢出類似，虛擬機(jī)跳躍會(huì)允許攻擊從一個(gè)虛擬機(jī)轉(zhuǎn)而去威脅在同一個(gè)物理硬件上運(yùn)行的其他虛擬服務(wù)器。
虛擬機(jī)被盜：這是一種用電子方式竊取虛擬機(jī)文件然后四處傳播和運(yùn)行的能力。是一種相當(dāng)于竊取了完整的物理服務(wù)器的攻擊，而且無(wú)需進(jìn)入安全的數(shù)據(jù)中心和移除計(jì)算設(shè)備。
所有這些威脅方式是當(dāng)企業(yè)部署虛擬環(huán)境時(shí)，他們使用了一種全新的關(guān)鍵任務(wù)元素：管理程序。由于對(duì)管理程序的成功攻擊會(huì)導(dǎo)致對(duì)所有托管的工作負(fù)載都造成威脅--而對(duì)個(gè)別虛擬工作負(fù)載的成功攻擊也會(huì)對(duì)管理程序造成威脅，因此企業(yè)的管理程序應(yīng)該被認(rèn)定為關(guān)鍵任務(wù)軟件并進(jìn)行適當(dāng)?shù)陌踩雷o(hù)，考利格強(qiáng)調(diào)說(shuō)。
在傳統(tǒng)的IT環(huán)境中，網(wǎng)絡(luò)流量可以使用一系列服務(wù)器安全防護(hù)系統(tǒng)來(lái)偵測(cè)惡意行為以實(shí)現(xiàn)監(jiān)控，檢查和過(guò)濾。但是虛擬環(huán)境的問(wèn)題是通過(guò)虛擬交互及運(yùn)行的虛擬機(jī)之間的通信很大一部分是無(wú)形的：它不是通過(guò)有線電纜來(lái)實(shí)現(xiàn)通信，也就無(wú)法用正常方式來(lái)實(shí)施監(jiān)控?？祭裾J(rèn)為只有一種解決方案可以解決這個(gè)問(wèn)題"那就是必須建立虛擬機(jī)到虛擬機(jī)的流量可視化和控制"。
一個(gè)復(fù)雜的問(wèn)題是虛擬數(shù)據(jù)中心中經(jīng)常會(huì)出現(xiàn)職責(zé)的分離。服務(wù)器和運(yùn)營(yíng)團(tuán)隊(duì)通常負(fù)責(zé)虛擬交換機(jī)的配置和管理。幾乎或者完全沒(méi)有綜合性的應(yīng)用工具和安全控制。對(duì)于網(wǎng)絡(luò)和安全團(tuán)隊(duì)而言，這會(huì)導(dǎo)致實(shí)施配置審核可視性的缺失，就很難對(duì)拓?fù)浜团渲米兓M(jìn)行偵測(cè)，考利格強(qiáng)調(diào)會(huì)所"網(wǎng)絡(luò)和安全團(tuán)隊(duì)必須掌控訪問(wèn)層的一舉一動(dòng)"。
考利格推薦了三種方式來(lái)實(shí)現(xiàn)這一目標(biāo)：
1.硬件方式
硬件途徑會(huì)涉及迫使ESX主機(jī)之間的流量由入侵檢測(cè)系統(tǒng)加以審核?？祭衩枋鲞@個(gè)系統(tǒng)的每個(gè)ESX托管都配置了獨(dú)一無(wú)二的出入虛擬本地局域網(wǎng)，配置了虛擬本地局域網(wǎng)的入侵檢測(cè)系統(tǒng)要配置每個(gè)入口虛擬本地局域網(wǎng)和出口虛擬本地局域網(wǎng)。這樣能保證所有虛擬機(jī)到虛擬機(jī)的流量可以通過(guò)有線發(fā)送到入侵檢測(cè)系統(tǒng)進(jìn)行審核，只有干凈的流量才能在每個(gè)入口/出口虛擬本地局域網(wǎng)之間進(jìn)行通行。這種方法的不足之處就是在多個(gè)數(shù)據(jù)中心和災(zāi)難恢復(fù)站點(diǎn)進(jìn)行復(fù)制的成本太高。
2.完全虛擬化的方式
采用這種方式，每個(gè)ESX主機(jī)都配置了虛擬入侵檢測(cè)系統(tǒng)和防火墻，每個(gè)虛擬機(jī)配置的協(xié)議可以判斷什么流量應(yīng)該被檢測(cè)。這種方式能保證所有被許可的內(nèi)部虛擬機(jī)流量都能被檢測(cè)到，而且當(dāng)虛擬機(jī)在物理主機(jī)之間遷移時(shí)，安全協(xié)議也會(huì)隨之一起遷移，不過(guò)不足之處是這種方式是影響體系架構(gòu)的性能為代價(jià)的。
3.綜合方式
這是一種可以大幅度緩解完全虛擬化方式所導(dǎo)致的虛擬受損的折衷方式。這種方式是在每個(gè)虛擬機(jī)上運(yùn)行虛擬轉(zhuǎn)向器，虛擬機(jī)配置了什么流量應(yīng)該被改變方向-轉(zhuǎn)向物理入侵檢測(cè)系統(tǒng)的協(xié)議來(lái)進(jìn)行檢測(cè)。入侵檢測(cè)系統(tǒng)只允許通過(guò)檢測(cè)的干凈流量在虛擬機(jī)之間進(jìn)行通行。
因此什么是最佳方法？考利格表示什么是適合企業(yè)用戶的最佳方法要取決于企業(yè)自身的目標(biāo)和預(yù)算以及面對(duì)風(fēng)險(xiǎn)的態(tài)度。某些成功的解決方案可能會(huì)涉及這些三種方法中其中兩種方法的結(jié)合使用。
考利格表示，好消息是隨著安全公司研發(fā)出能提供必備功能的更多產(chǎn)品，構(gòu)建和實(shí)施這些解決方案可能在不久的將來(lái)將變得更加容易。
【編輯推薦】
