IT管理者如何應(yīng)對(duì)虛擬風(fēng)險(xiǎn)？

　　服務(wù)器虛擬化技術(shù)將繼續(xù)吸引來(lái)那些希望通過(guò)服務(wù)器整合來(lái)節(jié)約數(shù)據(jù)中心成本、能源和空間的企業(yè)機(jī)構(gòu)的大量投資。但是很少有IT經(jīng)理意識(shí)到虛擬機(jī)數(shù)據(jù)量增加對(duì)他們基礎(chǔ)架構(gòu)的潛在安全風(fēng)險(xiǎn)。

虛擬化安全隱患

　　雖然現(xiàn)在還沒(méi)有報(bào)告有哪些安全攻擊是針對(duì)虛擬機(jī)的，但是安全專家認(rèn)為，黑客想方設(shè)法找到虛擬架構(gòu)漏洞只是一個(gè)時(shí)間問(wèn)題。

　　David Lynch是虛擬機(jī)生命周期管理專業(yè)廠商Embotics的營(yíng)銷副總裁。他坦言，現(xiàn)在他還沒(méi)有看到任何程序是故意針對(duì)攻擊hypervisor的——hypervisor允許多虛擬機(jī)在一個(gè)物理系統(tǒng)中訪問(wèn)硬件資源——但是，這只是一個(gè)時(shí)間問(wèn)題。

　　他說(shuō)：“在未來(lái)一年內(nèi)可能將出現(xiàn)針對(duì)hypervisor的攻擊，黑客肯定是有機(jī)可乘的。如果你參加了像Black Hat這樣的技術(shù)安全大會(huì)的話，你就會(huì)發(fā)現(xiàn)虛擬化技術(shù)已經(jīng)成為他們熱議的話題。很多人致力于這個(gè)領(lǐng)域，也有很多人關(guān)注這個(gè)領(lǐng)域。”

　　Warwickshire County Council最近啟動(dòng)了一個(gè)將他們的虛擬環(huán)境擴(kuò)展到175個(gè)主數(shù)據(jù)中心和二級(jí)數(shù)據(jù)中心內(nèi)的計(jì)劃。他們選擇Hyper-V以及微軟WindowsServer 2008操作系統(tǒng)來(lái)支持服務(wù)器虛擬化、臺(tái)式機(jī)虛擬化以及應(yīng)用虛擬化。

　　Warwickshire County Council技術(shù)開發(fā)經(jīng)理Chris Page表示：“我們沒(méi)有發(fā)現(xiàn)任何在Hyper-V內(nèi)的安全風(fēng)險(xiǎn)，也沒(méi)有在虛擬系統(tǒng)中的任何可能危及安全的情況，但是從理論上來(lái)講這些都是可能發(fā)生的。”

　　虛擬服務(wù)器通常被認(rèn)為是可以加強(qiáng)IT架構(gòu)安全性的，因?yàn)樘摂M服務(wù)器將獨(dú)立的操作系統(tǒng)和應(yīng)用相互分離，虛擬化機(jī)箱之間沒(méi)有任何相互影響，因此將木馬入侵的幾率降至最低。

　　但是Lynch認(rèn)為這種分離可能會(huì)引起另外一種問(wèn)題，因?yàn)楣芾砗桶踩ぞ邔⒏鶕?jù)物理特性來(lái)識(shí)別服務(wù)器，而物理服務(wù)器彼此看上去都是一樣的。

　　他說(shuō)：“另外還有一個(gè)問(wèn)題，那就是虛擬機(jī)是可移動(dòng)的，因?yàn)樘摂M機(jī)可以輕易被帶出安全區(qū)域，避過(guò)入侵檢查系統(tǒng)或者防火墻。例如，虛擬機(jī)可以被保存在USB設(shè)備上，在接入服務(wù)器之前可能是在數(shù)據(jù)中心之外的。”

　　雖然虛擬化技術(shù)是復(fù)雜的，但是沒(méi)有什么自動(dòng)化可言。這就意味著需要許多手動(dòng)管理和控制，技術(shù)人員應(yīng)該具備某種作出適當(dāng)決策的能力。

　　Lynch表示：“這就可能出現(xiàn)更多的人為錯(cuò)誤以及對(duì)獨(dú)立系統(tǒng)更少的審核和追蹤。”

安全策略

　　Page認(rèn)為，即使虛擬機(jī)受到攻擊導(dǎo)致癱瘓的話，我們也是非常容易將這些風(fēng)險(xiǎn)隔離開來(lái)，通過(guò)系統(tǒng)恢復(fù)來(lái)最大程度上減少宕機(jī)時(shí)間。

　　他說(shuō)：“虛擬機(jī)可以在后端保留任何一個(gè)系統(tǒng)的副本或者在服務(wù)器上備份系統(tǒng)，這樣在事故發(fā)生的時(shí)候就可以快速啟動(dòng)備份。”

　　任何對(duì)虛擬化系統(tǒng)的安全風(fēng)險(xiǎn)都可能因?yàn)榄h(huán)境分區(qū)的程度不同而具有不同的特性和大小。但是Lynch表示，IT安全技術(shù)人員至少要知道虛擬系統(tǒng)需要不同對(duì)待，適用于物理系統(tǒng)的安全措施有時(shí)候并不適用于虛擬系統(tǒng)，這是非常重要的。

　　他表示：“他們需要開始考慮怎樣控制虛擬機(jī)、如何將發(fā)生故障的部分隔離開來(lái)、應(yīng)該制訂怎樣的策略來(lái)防止?jié)撛诘娘L(fēng)險(xiǎn)。”

　　他說(shuō)：“最后一件必須做的事就是重新制訂他們的安全策略來(lái)適應(yīng)虛擬化技術(shù)，安全技術(shù)人員應(yīng)該清醒地意識(shí)到物理服務(wù)器和虛擬服務(wù)器之間存在著本質(zhì)的區(qū)別。”

　　Lynch坦言，這個(gè)問(wèn)題還沒(méi)有引起IT管理者的足夠重視，但是政府和金融機(jī)構(gòu)——他們更加重視安全性——已經(jīng)意識(shí)到了其中更得重要性，他們應(yīng)該防患于未然。