IT安全正面臨著些許悖論。一方面管理員面臨著許多和安全相關(guān)的問(wèn)題。另一方面，行業(yè)才剛剛開(kāi)始了解和虛擬化相關(guān)的安全含義。那么虛擬數(shù)據(jù)中心應(yīng)該做些什么以解決虛擬化安全問(wèn)題呢？

　　在探究虛擬化安全之前，讓我們從觀察hypervisor開(kāi)始。hypervisor被諸如VMware ESX和微軟Hyper-V這樣的虛擬化平臺(tái)所使用，有關(guān)攻擊hypervisor的傳說(shuō)也很多。

　　其中一個(gè)虛擬化安全傳說(shuō)就是攻擊者能夠危害hypervisor，然后控制運(yùn)行在hypervisor之上的虛擬機(jī)。類(lèi)似的傳說(shuō)是攻擊者可能能夠利用虛擬機(jī)的弱點(diǎn)，然后擺脫該虛擬機(jī)——稱(chēng)之為逃避式攻擊——獲取對(duì)運(yùn)行在服務(wù)器上的其他虛擬機(jī)的控制權(quán)。雖然這類(lèi)攻擊最終可能變成現(xiàn)實(shí)（肯定有眾多的黑客正在從事此活動(dòng)），但是現(xiàn)在沒(méi)有此類(lèi)攻擊法存在。

　　近些年設(shè)計(jì)了一些概念驗(yàn)證攻擊：在精簡(jiǎn)的hypervisor上安裝木馬，然后通過(guò)主機(jī)OS進(jìn)入虛擬機(jī)。這類(lèi)攻擊的想法是木馬將能夠阻止主機(jī)OS和硬件之間的所有通信。一個(gè)好消息是這類(lèi)概念驗(yàn)證攻擊的成功是存在問(wèn)題的。

　　目前并沒(méi)有可信的hypervisor攻擊存在。但是在以后可能發(fā)生改變，因此你有必要仔細(xì)考慮虛擬化安全并應(yīng)用虛擬化平臺(tái)廠商提供的補(bǔ)丁。

　　避免使用Type 2 hypervisor

　　為你的基礎(chǔ)設(shè)施選擇正確的hypervisor是虛擬化安全的關(guān)鍵。當(dāng)今有兩種主要的hypervisor類(lèi)型在使用——Type 1和Type 2。Type 1 hypervisor安裝在服務(wù)器硬件裸機(jī)層。Type 2 hypervisor安裝在服務(wù)器操作系統(tǒng)之上。

　　使用Type 2 hypervisor有很多優(yōu)勢(shì)，尤其是進(jìn)行服務(wù)器維護(hù)時(shí)，但是如果你主要關(guān)注的是虛擬化安全，最好使用Type 1 hypervisor。

　　經(jīng)驗(yàn)已經(jīng)表明Type 2 hypervisor之下的操作系統(tǒng)經(jīng)常被忽視，這可能使Type 2 hypervisor容易遭受攻擊。事實(shí)上，我已經(jīng)看到真實(shí)的情景：Type 2 hypervisor之下的Windows 操作系統(tǒng)甚至不是域成員，因?yàn)樗械挠蚩刂破饕呀?jīng)被虛擬化了，而父操作系統(tǒng)需要在域控制器能夠引導(dǎo)之前引導(dǎo)。

　　即使你所在的組織沒(méi)有忽略父操作系統(tǒng)，但提升虛擬化安全的最好方式之一是減少攻擊面，這已經(jīng)被廣為接受。Type 1 hypervisor比Type 2 hypervisor更小巧，因此具有更小的攻擊面。而且因?yàn)橘Y源沒(méi)有被臃腫的父操作系統(tǒng)所消耗，Type 1 hypervisor同樣能夠比對(duì)應(yīng)的Type 2 hypervisor提供更好的性能。

　　因此，當(dāng)提及虛擬化安全時(shí)，最重要的考慮之一就是你的hypervisor。既然你知道一些有關(guān)hypervisor攻擊方法的傳說(shuō)，那么你可以為基礎(chǔ)設(shè)施中的確存在的虛擬化安全缺陷做些準(zhǔn)備。