絕密：實(shí)現(xiàn)虛擬化安全的新方法

2010-06-18 09:48:22

云計算

虛擬化 現(xiàn)有的安全方面的經(jīng)驗在虛擬環(huán)境里是可以獲得延續(xù)的。然而不幸的是，在為VSO提供物理資源的資源池級別上，從設(shè)計原理看，并不具備和用戶進(jìn)行交互的能力。

成都創(chuàng)新互聯(lián)擁有10多年成都網(wǎng)站建設(shè)工作經(jīng)驗,為各大企業(yè)提供成都網(wǎng)站建設(shè)、成都網(wǎng)站制作服務(wù)，對于網(wǎng)頁設(shè)計、PC網(wǎng)站建設(shè)（電腦版網(wǎng)站建設(shè)）、手機(jī)APP定制開發(fā)、wap網(wǎng)站建設(shè)（手機(jī)版網(wǎng)站建設(shè)）、程序開發(fā)、網(wǎng)站優(yōu)化（SEO優(yōu)化）、微網(wǎng)站、域名注冊等，憑借多年來在互聯(lián)網(wǎng)的打拼，我們在互聯(lián)網(wǎng)網(wǎng)站建設(shè)行業(yè)積累了很多網(wǎng)站制作、網(wǎng)站設(shè)計、網(wǎng)絡(luò)營銷經(jīng)驗，集策劃、開發(fā)、設(shè)計、營銷、管理等網(wǎng)站化運(yùn)作于一體，具備承接各種規(guī)模類型的網(wǎng)站建設(shè)項目的能力。

傳統(tǒng)的安全方法在虛擬化的世界里依然是可以使用的。用戶不僅需要對服務(wù)器和相關(guān)的應(yīng)用做保護(hù)，而且需要監(jiān)控哪些人可以對哪些資源進(jìn)行訪問，對進(jìn)入數(shù)據(jù)中心的訪問者做鑒定和管理。賦予在數(shù)據(jù)中心內(nèi)工作的用戶以適當(dāng)?shù)耐P(guān)權(quán)限，并在他們完成認(rèn)證后給予相對應(yīng)的訪問權(quán)限。

另外，您還需要確保那些數(shù)據(jù)中心內(nèi)可以做數(shù)據(jù)更改操作的人員都是擁有授權(quán)才這么做的，也就是說現(xiàn)有的安全方面的經(jīng)驗在虛擬環(huán)境里是可以獲得延續(xù)的。如果您把現(xiàn)有的終端用戶服務(wù)進(jìn)程都遷移到了虛擬機(jī)和VSO上，那么傳統(tǒng)的安全方法也應(yīng)該位于同一級別上。

然而不幸的是，在為VSO提供物理資源的資源池級別上，從設(shè)計原理看，并不具備和用戶進(jìn)行交互的能力。資源池內(nèi)的物理機(jī)僅僅是裝載了虛擬化引擎的宿主機(jī)而已。因此，也只有管理員和技術(shù)人員可以跟物理機(jī)對話。

在這些環(huán)境里（資源池和VSO），通常運(yùn)行時都帶有一個特定的安全文本文件，而該文件是可以被中央目錄服務(wù)所訪問的。我們需要考慮分離不同環(huán)境中各自的安全文本文件。畢竟，如果資源池僅僅供管理員和技術(shù)人員訪問，看起來我們根本沒有必要把資源池相關(guān)的安全文本文件開放為用戶共享模式。

事實(shí)上，用戶不需要對資源池做任何操作。對于最終用戶而言，他們也不需要和網(wǎng)絡(luò)環(huán)境中的路由器或交換機(jī)做交互。因此，您需要為資源池和VSO創(chuàng)建獨(dú)立的安全文本文件。例如，如果您運(yùn)行了VMware或Citrix的虛擬機(jī)管理程序，而您的網(wǎng)絡(luò)服務(wù)運(yùn)行于windows服務(wù)器上，那么資源池的安全文本文件會自動實(shí)現(xiàn)和VSO安全文本文件的分離（圖1）。這也就是為什么宿主機(jī)環(huán)境（通常情況下是linux）和VSO通常運(yùn)行于不同操作系統(tǒng)的原因。這種方式也自然實(shí)現(xiàn)了兩個安全文本文件的隔離。

（圖一）

然而，如果宿主機(jī)和虛擬機(jī)所運(yùn)行的操作系統(tǒng)相同的情況下，您就需要手動分離資源池和VSO的安全文本文件。這種情況一般發(fā)生在采用了微軟的Hyper-V虛擬化管理程序，之上運(yùn)行Windows網(wǎng)絡(luò)環(huán)境的時候。同樣，當(dāng)我們運(yùn)行了Linux網(wǎng)絡(luò)環(huán)境而同時又采用了同一Linux系統(tǒng)下的虛擬化管理程序時也會發(fā)生。

以Windows網(wǎng)絡(luò)環(huán)境為例，您需要分別為資源池和VSO創(chuàng)建獨(dú)立的活動目錄樹，然后同時斷開它們之間的所有連接。在兩個獨(dú)立的架構(gòu)中創(chuàng)建分離的安全文本也是為了防止發(fā)生從一個環(huán)境向另一個環(huán)境中的滲漏（圖2）。

（圖二）

實(shí)現(xiàn)資源池的安全

為資源池創(chuàng)建獨(dú)立的安全文本僅僅是實(shí)現(xiàn)虛擬架構(gòu)安全的第一步。您還需要和其它的一些安全措施來配合使用。如下是一些額外的考慮：

掌控所有到資源池的訪問以確保只有被信任的個體才具備訪問權(quán)限。每個訪問資源池的個體應(yīng)該具備一個命名賬戶，而該賬戶和普通用戶用來訪問VSO的賬戶命名應(yīng)該是有所區(qū)別的。

掌控所有到資源池管理工具的訪問。只有被信任的個體擁有訪問資源池組件，如物理服務(wù)器、虛擬化管理程序、虛擬網(wǎng)絡(luò)、共享存儲，及其它內(nèi)容相關(guān)的管理工具的權(quán)限。向未被認(rèn)證的用戶開放管理工具的訪問權(quán)限，就等同于向那些惡意操作開放了IT系統(tǒng)架構(gòu)。

管理虛擬化引擎或管理程序的訪問，以及其上運(yùn)行的虛擬機(jī)。所有的虛擬機(jī)都應(yīng)該是首先通過系統(tǒng)管理員來創(chuàng)建和保護(hù)的。如果某些最終用戶，如開發(fā)人員、測試人員或培訓(xùn)者，需要和網(wǎng)絡(luò)環(huán)境中的虛擬機(jī)交互，那么這些虛擬機(jī)應(yīng)該是通過資源池的管理員來創(chuàng)建和管理的。

控制虛擬機(jī)文件的訪問。通過合理的訪問權(quán)限來實(shí)現(xiàn)所有包含了虛擬機(jī)的文件夾以及虛擬機(jī)所在壓縮文件的安全。無論是在線的還是離線的虛擬機(jī)文件都必須獲得嚴(yán)格的管理和控制。理論上來講，您需要同時對虛擬機(jī)文件的訪問做監(jiān)管。

通過在宿主機(jī)上盡可能實(shí)現(xiàn)最小化安裝來減少主機(jī)可能被攻擊的接口。請確保虛擬化管理程序的安裝盡可能的可靠。

部署適合的安全工具。為了支持合理的安全策略，您的系統(tǒng)架構(gòu)應(yīng)該包含各種必要的工具，如系統(tǒng)管理工具、管理清單、監(jiān)管和監(jiān)視工具等等，包括一些常用的安全設(shè)備。

分離網(wǎng)絡(luò)流量。在一個正確設(shè)置的資源池系統(tǒng)中，應(yīng)該包含有幾個不同的私有網(wǎng)絡(luò)用于：管理數(shù)據(jù)流量、在線遷移流量以及存儲系統(tǒng)流量。所有的這些網(wǎng)絡(luò)都應(yīng)該和系統(tǒng)架構(gòu)中的公網(wǎng)流量相分離。

#p#

深層防護(hù)策略

除了安全文本文件的隔離外，您還應(yīng)該考慮對虛擬化環(huán)境采用深層防護(hù)策略。這個像城堡一樣的CDS防護(hù)模型是由Resolution Enterprise Ltd.,公司提出來，該公司位于英屬哥倫比亞省維多利亞地區(qū)，是一家獨(dú)立的數(shù)據(jù)中心業(yè)務(wù)咨詢公司，致力于推動深層防護(hù)方式。很多企業(yè)的傳統(tǒng)服務(wù)提供網(wǎng)絡(luò)都采用了深層防護(hù)策略，通過執(zhí)行相應(yīng)的策略實(shí)現(xiàn)對資源池的保護(hù)（圖3）。

用戶可以對資源池或者VSO采用CDS防護(hù)模式。如下的表1也顯示了在您通過部署CDS模式對資源池進(jìn)行保護(hù)時，分別在五個不同的層次上需要去考慮的問題。在這個表里，也同時列出了在對最終用戶網(wǎng)絡(luò)和終端網(wǎng)絡(luò)（如資源池網(wǎng)絡(luò)）分別部署CDS模型時采取的組件之間的差異。

表1

#p#

預(yù)防過度管理

改善資源池安全性的另外一個方法就是限制資源池管理的數(shù)量。擁有兩個具備系統(tǒng)環(huán)境完全訪問權(quán)的管理員已經(jīng)足夠了。然后，根據(jù)數(shù)據(jù)中心規(guī)模大小的不同，您可以基于每個角色所需完成的任務(wù)內(nèi)容分配不同的權(quán)限和角色定義。資源池管理員應(yīng)該可以管理VSO網(wǎng)絡(luò)。如果您有足夠的人手，那么最好把不同的管理角色分開。如果做不到的話，至少要確保管理在每個不同的環(huán)境中使用不同權(quán)限的管理角色登錄。請理解，如果管理員在某個環(huán)境中扮演了指定的角色，那么他在不同的環(huán)境中完成同一動作時所扮演的角色是不同的。

最后，任何時候都要注意對虛擬機(jī)的保護(hù)。例如，虛擬機(jī)在暫停休息的狀態(tài)下和活動的虛擬機(jī)相比其風(fēng)險更高。因為當(dāng)虛擬機(jī)處于保存狀態(tài)時，會在內(nèi)存中生成一個文件，而該文件保留了虛擬機(jī)所有相關(guān)內(nèi)容。通過分析這個文件可以找到相應(yīng)的用戶名和密碼相關(guān)信息。同樣，如果有人竊取了虛擬機(jī)文件并帶出了辦公室，也會帶來很大的風(fēng)險。一旦他們在私有環(huán)境中搭建了該虛擬機(jī)，那么就很容易闖入我們的環(huán)境中。

【編輯推薦】

1. 調(diào)查發(fā)現(xiàn)：企業(yè)虛擬化部署安全不足
2. 五招提升虛擬服務(wù)器安全
3. Gartner:至少60%虛擬服務(wù)器安全性低于常規(guī)

分享題目：絕密：實(shí)現(xiàn)虛擬化安全的新方法
路徑分享：http://www.fisionsoft.com.cn/article/dpojdpc.html