BeyondTrust公司發(fā)現(xiàn)，許多企業(yè)過于信賴虛擬化技術(shù)廠商以尋求保護。

據(jù)近日發(fā)布的一項調(diào)查聲稱，雖然許多企業(yè)熱衷于對系統(tǒng)運行進行虛擬化處理，但是這股熱情并沒有蔓延到采用良好的安全做法上。

在參與安全廠商BeyondTrust調(diào)查的346名管理員當中，近一半(42%)聲稱，他們沒有經(jīng)常使用任何安全工具，作為運行虛擬系統(tǒng)的一個環(huán)節(jié);一半以上(57%)承認，他們使用現(xiàn)有的映像模板來制作新的虛擬映像。

此外，近三分之二(64%)的調(diào)查對象聲稱，所在企業(yè)沒有部署在發(fā)布新的映像或模板之前要求安全審批的任何控制措施。

BeyondTrust公司的產(chǎn)品營銷高級主管Michael Yaffe表示，創(chuàng)建新的虛擬映像時不安全的做法是普遍出現(xiàn)在管理員當中的一個系統(tǒng)性問題。他告訴媒體：“當這些人克隆映像時，我們發(fā)現(xiàn)他們實際上使整個企業(yè)的模板長期存在安全漏洞。”

他繼續(xù)說，除非在復制之前對那些模板進行了安全方面的盡職調(diào)查工作，否則重大的安全缺陷就有可能擴散到整個企業(yè)。“雖然VMware是一款幫助企業(yè)提高工作效率的出色工具，但如果你事先沒有做好應有的盡職調(diào)查工作，它會帶來相當大的安全風險——這歸因于其規(guī)模和范圍以及人們能夠使用它。”

BeyondTrust的項目管理高級主管Morey Haber解釋，因骯臟的模板而擴散的安全漏洞可能出現(xiàn)在虛擬機上的訪客操作系統(tǒng)，也可能出現(xiàn)在虛擬軟件本身里面。

與發(fā)布調(diào)查結(jié)果的同時，BeyondTrust還發(fā)布了面向VMware vCenter的一個新插件，可以在現(xiàn)有的VMware控制臺里面為虛擬機管理員提供安全漏洞方面的信息。該工具為控制臺增添了一個選項卡，可以顯示所有運行中虛擬機的安全漏洞和安全風險。

Haber說：“如果管理員克隆一個機器或回滾恢復快照，那些機器帶來的安全風險就會出現(xiàn)在管理員面前。管理員就可以做出決策，決定應該開啟虛擬機、關(guān)閉虛擬機還是任其保留狀態(tài)。”

如果企業(yè)必須遵守支付卡行業(yè)數(shù)據(jù)安全標準(PCI)和《健康可攜性及責任性法案》(HIPAA)之類的合規(guī)法則，這項功能特別重要。Haber說：“當你需要遵守任何這些監(jiān)管要求時，不該啟用安全漏洞已存在了30天以上的機器。”

他補充說：“我們的技術(shù)讓你可以在那些儀表板上以近乎實時的方式查看那些數(shù)據(jù)，那樣你就能進行合理的評估了。”

Simon Crosby是虛擬機環(huán)境安全軟件開發(fā)商Bromium公司的首席技術(shù)官兼聯(lián)合創(chuàng)始人，他表示，雖然這項調(diào)查的結(jié)果令人關(guān)注，但是它們遠遠談不上令人震驚。他在接受采訪時說：“很顯然，虛擬化徹底改變了操作做法;令人遺憾的是，安全做法滯后于管理虛擬基礎設施的操作做法。”

他補充說，雪上加霜的是，傳統(tǒng)的安全工具在虛擬機環(huán)境下效果不是很好。

他繼續(xù)說，此外，系統(tǒng)操作人員認為，從某種角度來看，虛擬化為他們的環(huán)境提供了物理機環(huán)境所沒有的安全性。他說：“由于虛擬機隱藏在數(shù)據(jù)中心里面，他們認為自己更安全了。實則不然。”

他補充說，安全廠商們在背后助長了這種觀點。他說：“我感到非常擔憂的是，安全行業(yè)采用的語言絕對不可信。每一家安全廠商都承諾很安全，其實它們都在撒謊。”

他繼續(xù)說：“每一款產(chǎn)品聽起來都一個樣，它們都可以讓你安全無虞。可是沒有一款產(chǎn)品能說到做到。”