虛擬安全技巧：安全規(guī)則
在之前文章“虛擬安全技巧：易受攻擊的點 ”中，我們介紹了虛擬安全中的物理安全、如何保護管理控制臺以及阻止虛擬機內(nèi)部的攻擊?，F(xiàn)在我們來看看其他一些方面。
常用工具和API的安全防護
虛擬安全策略中還應(yīng)該包含其它的一些易攻擊點，包括登陸程序和API。
通常而言，虛擬機都會建立客戶端OS到管理程序間的訪問通道。例如,在VMware中通過VMware Tools來建立這種通道。VMware Tools中包含了一組驅(qū)動和程序，可以實現(xiàn)宿主機和客體機之間的多種交互，包括時間同步、內(nèi)存管理、遠程管理的文件拷貝和粘貼服務(wù)等。VMware Tools還可以允許從客體機OS向宿主機文件系統(tǒng)內(nèi)的文件寫入數(shù)據(jù)，以及記錄故障診斷相關(guān)的虛擬機信息等等。惡意程序會向這些日志文件中寫入大量的數(shù)據(jù)從而占滿整個宿主機的數(shù)據(jù)存儲空間，相比物理安全這也是一種全新的潛在風險。
管理程序中還會提供很多API，供第三方應(yīng)用完成同管理程序和虛擬機之間的通訊。雖然API很難被攻擊，但畢竟也是潛在的安全漏洞之一。在不使用時，禁用和限制這種交互，可以提供對API更好的防護。您可以添加對日志文件增長的限制條件，或者是完全禁止這種操作，限制到宿主機系統(tǒng)和VM控制臺的訪問。
虛擬磁盤文件的安全
在物理安全中，幾乎可以忽略失竊的情況，從數(shù)據(jù)中心偷走一臺物理服務(wù)器或是其它硬件可沒那么容易。但是在虛擬安全領(lǐng)域，數(shù)據(jù)中心本身就是安全隱患。
由于虛擬機可以被壓縮成一個虛擬磁盤文件，因此移動起來很方便——例如，可以拷貝到閃存中裝走。攻擊者甚至不需要登陸到數(shù)據(jù)中心內(nèi)部，只要可以訪問宿主機的數(shù)據(jù)存儲設(shè)備就可以了。黑客登陸宿主機后，通過客戶端的管理終端Secure Copy工具可以訪問存儲的數(shù)據(jù)和下載文件。
其它一些可能的途徑包括訪問備份存儲設(shè)備或者是虛擬機存儲設(shè)備所在的網(wǎng)絡(luò)。黑客通過簡單地從宿主機下載整個虛擬磁盤文件到任意一臺工作站上，然后把它拷貝到可移動USB上就可以隨身攜帶走。在其它地點，只要安裝相同的管理程序軟件，然后mount磁盤或啟動虛擬機就可以訪問該虛擬機上的所有內(nèi)容。
把虛擬磁盤文件安全作為安全策略的一部分是很有必要的。限制到主機數(shù)據(jù)存儲區(qū)域的訪問、定期登陸檢查是否被攻擊、建設(shè)物理上分離的存儲網(wǎng)絡(luò)等方法，保證只有存儲設(shè)備和宿主機可以訪問。
另外請了解一點，當從數(shù)據(jù)中心執(zhí)行刪除或移動某臺虛擬機等操作后，該虛擬機的數(shù)據(jù)依然在磁盤上。如果在同一磁盤上創(chuàng)建了新的虛擬機，很可能兩臺虛擬機使用了同一塊數(shù)據(jù)存儲區(qū)域（這僅適用于虛擬磁盤是完全分配的情況）。通常，只有新虛擬機向存儲區(qū)寫入數(shù)據(jù)時才會分配空間。由于老的數(shù)據(jù)在一定時間內(nèi)不會被完全清除，所以存在通過某種方式被訪問的可能。為了防止出現(xiàn)這種情況，您可以通過在創(chuàng)建新磁盤時選擇立即清除數(shù)據(jù)存儲區(qū)，或者是使用一些基于操作系統(tǒng)內(nèi)的相關(guān)工具來實現(xiàn)。
【編輯推薦】
