需避免的虛擬化四大安全隱患 |
發(fā)布時(shí)間: 2015/8/22 12:04:54 |
\\\"我之所以對(duì)虛擬化敬而遠(yuǎn)之是因?yàn)槲覍?duì)管理程序中的安全問(wèn)題早有耳聞\\\",位于美國(guó)佛羅里達(dá)州的整形和醫(yī)療器械供應(yīng)商Exactech公司的網(wǎng)絡(luò)管理員克雷格。布什表示。\\\"一臺(tái)服務(wù)器發(fā)生故障不會(huì)影響到整個(gè)網(wǎng)絡(luò),但是如果是管理程序就有可能發(fā)生這樣的事,我們必須看到所有的安全問(wèn)題都得到解決才會(huì)考慮介入虛擬化\\\".在此我們將虛擬化環(huán)境的安全問(wèn)題歸納為四點(diǎn): 1.虛擬機(jī)溢出導(dǎo)致安全問(wèn)題蔓延IT管理者們擔(dān)心管理程序設(shè)計(jì)過(guò)程中的安全隱患會(huì)傳染同臺(tái)物理主機(jī)上的虛擬機(jī),這種現(xiàn)象被稱作\\\"虛擬機(jī)溢出\\\". 如果虛擬機(jī)能夠從所在管理程序的獨(dú)立環(huán)境中脫離出來(lái),工業(yè)專家們表示入侵者會(huì)有機(jī)可乘進(jìn)入控制虛擬機(jī)的管理程序,進(jìn)而避開(kāi)專門(mén)針對(duì)保護(hù)虛擬機(jī)而設(shè)計(jì)的安全控制系統(tǒng)。 \\\"虛擬世界的安全問(wèn)題正在試圖脫離虛擬機(jī)的控制范圍\\\",伯頓集團(tuán)的資深分析師PeteLindstrom在最近的虛擬化安全網(wǎng)絡(luò)廣播會(huì)議上表示。 \\\"據(jù)我所知,沒(méi)有那家公司會(huì)允許安全問(wèn)題通過(guò)管理程序技術(shù)的方式在虛擬主機(jī)間相互傳播和蔓延\\\"Catapult系統(tǒng)公司的咨詢師史蒂夫。羅斯表示,他主要負(fù)責(zé)VMware虛擬化環(huán)境的配置和維護(hù)。 \\\"這是有可能發(fā)生的,入侵者或者安全漏洞會(huì)在虛擬機(jī)之間來(lái)回?fù)v亂,但是我們將它們看做是開(kāi)發(fā)過(guò)程中的必須面對(duì)的問(wèn)題\\\"Bowdoin大學(xué)的系統(tǒng)工程師提姆。安東尼茲表示。安東尼茲在性能服務(wù)器上使用的是VMwareESX虛擬化程序,他通過(guò)在資源集群里隔絕虛擬機(jī)來(lái)盡量回避這樣的問(wèn)題,這主要依賴應(yīng)用程序或者虛擬機(jī)信息的敏感程度。\\\"我們用隔離虛擬機(jī)的方式來(lái)提供安全性\\\",他表示。 位于芝加哥的Cars.com的技術(shù)運(yùn)作總監(jiān)EdwardChristensen也是采用隔離虛擬機(jī)的方式來(lái)保障虛擬環(huán)境的安全性。 保障虛擬環(huán)境安全的傳統(tǒng)方式是在數(shù)據(jù)庫(kù)和應(yīng)用程序?qū)娱g設(shè)置防火墻,Christensen表示。在線自動(dòng)化公司使用的是VMware公司的虛擬化管理程序在他們的惠普服務(wù)器上進(jìn)行虛擬機(jī)配置,Christensen表示從網(wǎng)絡(luò)上脫機(jī)保存虛擬化環(huán)境有助于緩解安全隱憂。\\\"這對(duì)于虛擬化環(huán)境來(lái)說(shuō)是比較好的方法\\\"他表示。 2.虛擬機(jī)成倍增長(zhǎng),補(bǔ)丁更新負(fù)擔(dān)加重\\\"虛擬機(jī)修補(bǔ)面臨更大的挑戰(zhàn),因?yàn)殡S著虛擬機(jī)增長(zhǎng)速度加快,補(bǔ)丁修復(fù)問(wèn)題也在成倍上升\\\"伯頓集團(tuán)的Lindstrom表示。\\\"證實(shí)各個(gè)機(jī)器上補(bǔ)丁修復(fù)的能力在虛擬世界里更加重要\\\". IT管理人們也認(rèn)同補(bǔ)丁在虛擬化環(huán)境中的關(guān)鍵性,但是在虛擬機(jī)和物理服務(wù)器補(bǔ)丁之間實(shí)質(zhì)的區(qū)別并非在于安全問(wèn)題,而是量的問(wèn)題。\\\"我們需要緊記虛擬化服務(wù)器與物理服務(wù)器一樣也需要補(bǔ)丁管理和日常維護(hù)\\\"Catapult公司的羅斯表示。Transplace公司有三種虛擬化環(huán)境——兩個(gè)在網(wǎng)絡(luò)內(nèi)部,一個(gè)在隔離區(qū)(DMZ)上——大約有150臺(tái)虛擬機(jī)。\\\"管理程序額外增加了層來(lái)用于補(bǔ)丁管理,不過(guò)無(wú)論物理機(jī)還是虛擬機(jī)上補(bǔ)丁都非常關(guān)鍵\\\",羅斯表示。 對(duì)Bowdoin的Antonowicz來(lái)說(shuō),應(yīng)對(duì)虛擬服務(wù)器的增長(zhǎng)過(guò)快是目前優(yōu)先考慮的問(wèn)題,當(dāng)服務(wù)器成倍增長(zhǎng)已經(jīng)超出我們的控制之時(shí),我們也要及時(shí)增加補(bǔ)丁服務(wù)器的數(shù)量。過(guò)去他們會(huì)將40臺(tái)服務(wù)器作為補(bǔ)丁,但是現(xiàn)在用于安全保障的補(bǔ)丁服務(wù)器數(shù)量已經(jīng)超過(guò)了80臺(tái)。他希望將來(lái)能有一款工具能更好的實(shí)現(xiàn)這一進(jìn)程的自動(dòng)化。 \\\"在沒(méi)有任何物理約束的情況下,虛擬機(jī)的增長(zhǎng)速度不斷加快\\\"Antonowicz表示。\\\"在我們使用更多的虛擬機(jī)之前,我需要了解更多補(bǔ)丁自動(dòng)化的信息\\\". 3.在隔離區(qū)(DMZ)運(yùn)行虛擬機(jī)通常,許多IT管理人都不愿在隔離區(qū)(DMZ)上放置虛擬服務(wù)器。其它的IT管理者們也不會(huì)在隔離區(qū)(DMZ)的虛擬機(jī)上運(yùn)行關(guān)鍵性應(yīng)用程序,甚至是對(duì)那些被公司防火墻保護(hù)的服務(wù)器也敬而遠(yuǎn)之。根據(jù)伯頓集團(tuán)的Lindstrom的說(shuō)法。不過(guò)如果用戶正確采取安全保障措施,這樣做也是可行的。\\\"你可以在隔離區(qū)(DMZ)內(nèi)運(yùn)行虛擬化,即使防火墻或隔離設(shè)備都是物理機(jī)上。在多數(shù)情況下,如果把資源分離出來(lái)是比較安全的方式\\\",他表示。 Bowdoin公司的Antonowicz表示,不管是隔離區(qū)還是非隔離區(qū),他都會(huì)建立虛擬化環(huán)境,他是采用在虛擬資源的集群中限制訪問(wèn)的辦法。\\\"每個(gè)集群都是自己的資源和入口,因此無(wú)法在集群之間來(lái)回串聯(lián)\\\",他解釋說(shuō)。許多IT管理者們致力于將他們的虛擬服務(wù)器分隔開(kāi),將他們置于公司防火墻的保護(hù)之下,還有一些做法是將虛擬機(jī)放置在隔離區(qū)內(nèi)-只在上面運(yùn)行非關(guān)鍵性應(yīng)用程序。Transplace公司的IT基礎(chǔ)架構(gòu)總裁斯科特。安克表示,防火墻和在隔離區(qū)虛擬機(jī)上運(yùn)行的應(yīng)用程序之后就是價(jià)值的體現(xiàn),比如DNS的服務(wù)。 \\\"我們?cè)诳尚刨囍鳈C(jī)的平臺(tái)上運(yùn)行防火墻。在我們的隔離區(qū),我們將在少數(shù)VMware公司實(shí)例上運(yùn)行物理服務(wù)器,但是在可信賴平臺(tái)和非信賴網(wǎng)絡(luò)之間的鴻溝卻難以跨越\\\",安克表示。 4.管理程序技術(shù)的新特性容易受到黑客的攻擊任何新的操作系統(tǒng)都是會(huì)有漏洞和瑕疵的。那這是否意味著黑客就有機(jī)可乘,發(fā)現(xiàn)虛擬操作系統(tǒng)的缺陷進(jìn)而發(fā)動(dòng)攻擊呢? 工業(yè)觀察家們建議安全維護(hù)人員要時(shí)刻對(duì)虛擬化操作系統(tǒng)保持警惕,他們存在潛在導(dǎo)致漏洞和安全隱患的可能性,安全維護(hù)人員只靠人工補(bǔ)丁修護(hù)是不夠的。 \\\"虛擬化從本質(zhì)上來(lái)說(shuō)全新的操作系統(tǒng),還有許多我們尚不了解的方面。它會(huì)在優(yōu)先硬件和使用環(huán)境之間相互影響\\\"位于Ptak的諾埃爾協(xié)會(huì)創(chuàng)始人兼首席分析師RichPtak表示。\\\"讓情況一團(tuán)糟的可能性是存在的\\\". 虛擬化管理程序并非是人們自己所想象的那種安全隱患。根據(jù)對(duì)微軟公司銷售旺盛的補(bǔ)丁Windows操作系統(tǒng)的了解,象VMware這樣的虛擬化廠商也在致力于開(kāi)發(fā)管理程序技術(shù)時(shí)控制安全漏洞的可能性。 \\\"VMware公司與微軟公司相比成績(jī)顯著,在各大廠商中走在了行業(yè)的前列\(zhòng)\\"互聯(lián)網(wǎng)研究集團(tuán)的負(fù)責(zé)人彼得?死锼沟俦硎。\\\"不過(guò)管理程序使用的代碼數(shù)量相對(duì)簡(jiǎn)單,比八千萬(wàn)行的代碼要安全的多\\\"。 服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)!虛擬主機(jī)域名注冊(cè)頂級(jí)提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |