在之前文章“虛擬安全技巧：易受攻擊的點(diǎn) ”中，我們介紹了虛擬安全中的物理安全、如何保護(hù)管理控制臺(tái)以及阻止虛擬機(jī)內(nèi)部的攻擊?，F(xiàn)在我們來看看其他一些方面。

常用工具和API的安全防護(hù)

虛擬安全策略中還應(yīng)該包含其它的一些易攻擊點(diǎn)，包括登陸程序和API。

通常而言，虛擬機(jī)都會(huì)建立客戶端OS到管理程序間的訪問通道。例如,在VMware中通過VMware Tools來建立這種通道。VMware Tools中包含了一組驅(qū)動(dòng)和程序，可以實(shí)現(xiàn)宿主機(jī)和客體機(jī)之間的多種交互，包括時(shí)間同步、內(nèi)存管理、遠(yuǎn)程管理的文件拷貝和粘貼服務(wù)等。VMware Tools還可以允許從客體機(jī)OS向宿主機(jī)文件系統(tǒng)內(nèi)的文件寫入數(shù)據(jù)，以及記錄故障診斷相關(guān)的虛擬機(jī)信息等等。惡意程序會(huì)向這些日志文件中寫入大量的數(shù)據(jù)從而占滿整個(gè)宿主機(jī)的數(shù)據(jù)存儲(chǔ)空間，相比物理安全這也是一種全新的潛在風(fēng)險(xiǎn)。

管理程序中還會(huì)提供很多API，供第三方應(yīng)用完成同管理程序和虛擬機(jī)之間的通訊。雖然API很難被攻擊，但畢竟也是潛在的安全漏洞之一。在不使用時(shí)，禁用和限制這種交互，可以提供對(duì)API更好的防護(hù)。您可以添加對(duì)日志文件增長的限制條件，或者是完全禁止這種操作，限制到宿主機(jī)系統(tǒng)和VM控制臺(tái)的訪問。

虛擬磁盤文件的安全

在物理安全中，幾乎可以忽略失竊的情況，從數(shù)據(jù)中心偷走一臺(tái)物理服務(wù)器或是其它硬件可沒那么容易。但是在虛擬安全領(lǐng)域，數(shù)據(jù)中心本身就是安全隱患。

由于虛擬機(jī)可以被壓縮成一個(gè)虛擬磁盤文件，因此移動(dòng)起來很方便——例如，可以拷貝到閃存中裝走。攻擊者甚至不需要登陸到數(shù)據(jù)中心內(nèi)部，只要可以訪問宿主機(jī)的數(shù)據(jù)存儲(chǔ)設(shè)備就可以了。黑客登陸宿主機(jī)后，通過客戶端的管理終端Secure Copy工具可以訪問存儲(chǔ)的數(shù)據(jù)和下載文件。

其它一些可能的途徑包括訪問備份存儲(chǔ)設(shè)備或者是虛擬機(jī)存儲(chǔ)設(shè)備所在的網(wǎng)絡(luò)。黑客通過簡單地從宿主機(jī)下載整個(gè)虛擬磁盤文件到任意一臺(tái)工作站上，然后把它拷貝到可移動(dòng)USB上就可以隨身攜帶走。在其它地點(diǎn)，只要安裝相同的管理程序軟件，然后mount磁盤或啟動(dòng)虛擬機(jī)就可以訪問該虛擬機(jī)上的所有內(nèi)容。

把虛擬磁盤文件安全作為安全策略的一部分是很有必要的。限制到主機(jī)數(shù)據(jù)存儲(chǔ)區(qū)域的訪問、定期登陸檢查是否被攻擊、建設(shè)物理上分離的存儲(chǔ)網(wǎng)絡(luò)等方法，保證只有存儲(chǔ)設(shè)備和宿主機(jī)可以訪問。

另外請(qǐng)了解一點(diǎn)，當(dāng)從數(shù)據(jù)中心執(zhí)行刪除或移動(dòng)某臺(tái)虛擬機(jī)等操作后，該虛擬機(jī)的數(shù)據(jù)依然在磁盤上。如果在同一磁盤上創(chuàng)建了新的虛擬機(jī)，很可能兩臺(tái)虛擬機(jī)使用了同一塊數(shù)據(jù)存儲(chǔ)區(qū)域（這僅適用于虛擬磁盤是完全分配的情況）。通常，只有新虛擬機(jī)向存儲(chǔ)區(qū)寫入數(shù)據(jù)時(shí)才會(huì)分配空間。由于老的數(shù)據(jù)在一定時(shí)間內(nèi)不會(huì)被完全清除，所以存在通過某種方式被訪問的可能。為了防止出現(xiàn)這種情況，您可以通過在創(chuàng)建新磁盤時(shí)選擇立即清除數(shù)據(jù)存儲(chǔ)區(qū)，或者是使用一些基于操作系統(tǒng)內(nèi)的相關(guān)工具來實(shí)現(xiàn)。

【編輯推薦】

1. 設(shè)計(jì)云計(jì)算API必須注意的三大黃金規(guī)則
2. Web API之爭：REST登頂 SOAP遭遇滑鐵盧
3. 用跨平臺(tái)虛擬安全工具強(qiáng)化虛擬安全
4. 虛擬安全技巧：易受攻擊的點(diǎn)