如何降低服務(wù)器虛擬化的四大安全風(fēng)險(xiǎn) |
發(fā)布時(shí)間: 2012/8/4 18:14:40 |
如何降低服務(wù)器虛擬化的四大安全風(fēng)險(xiǎn)雖然服務(wù)器虛擬化可提高運(yùn)營效率和管理的靈活性并且減少擁有的總成本,但是,服務(wù)器虛擬化也增加了安全風(fēng)險(xiǎn)。 據(jù)市場研究公司Gartner稱,從現(xiàn)在至2009年,60%的虛擬機(jī)都沒有物理服務(wù)器那樣安全。這些安全挑戰(zhàn)包括: 1、IP地址依賴性:在虛擬化環(huán)境中,IP地址經(jīng)常隨著虛擬機(jī)的創(chuàng)建而變化,撤下來或者從一個(gè)物理主機(jī)轉(zhuǎn)移到另一個(gè)主機(jī),從而引起傳統(tǒng)的保護(hù)機(jī)制中的問題。 2、虛擬機(jī)蔓延:虛擬機(jī)很容易從以前存在的鏡像中創(chuàng)建,經(jīng)常會(huì)出現(xiàn)大量的沒有適當(dāng)?shù)木S護(hù)或者以已知的安全漏洞為基礎(chǔ)的虛擬機(jī)。成功地攻擊有安全漏洞的虛擬機(jī)能夠使那些虛擬機(jī)作為攻擊其它虛擬機(jī)的攻擊平臺(tái)。 3、不能監(jiān)視內(nèi)部主機(jī)通訊:服務(wù)器虛擬化引進(jìn)了一個(gè)“軟交換機(jī)”的概念,允許虛擬機(jī)在一臺(tái)單個(gè)的主機(jī)中相互通訊。監(jiān)視和保護(hù)這些通訊需要特殊的工具,而且選擇性有限。 4、對于安全政策的豎井式的方法:遺憾的是,許多安全廠商對于安全都采取豎井式的方法,建議對于每一個(gè)虛擬機(jī)的需求都采取不同的解決方案。Gartner分析師Neil MacDonald最近在接受采訪時(shí)表示,管理不善或者一個(gè)簡單的老錯(cuò)誤都會(huì)在虛擬領(lǐng)域產(chǎn)生許多安全問題。事實(shí)是我們在物理領(lǐng)域使用的工具與在虛擬領(lǐng)域使用的工具是不同的。 考慮到必須要解決這些挑戰(zhàn)以實(shí)現(xiàn)服務(wù)器虛擬化的好處,需要一種新的方法,一種能夠解決虛擬環(huán)境和物理環(huán)境安全問題的跨平臺(tái)的解決方案?缙脚_(tái)的虛擬安全工具能夠幫助機(jī)構(gòu)在整個(gè)數(shù)據(jù)中心強(qiáng)制執(zhí)行動(dòng)態(tài)安全政策,不必再權(quán)衡虛擬化的好處和保持強(qiáng)大的安全。 跨平臺(tái)虛擬安全工具管理控制臺(tái)應(yīng)該能夠部署在網(wǎng)絡(luò)的任何地方,并且有權(quán)最大限度地實(shí)現(xiàn)靈活性。管理控制臺(tái)一般向系統(tǒng)記錄和Windows事件記錄中寫入詳細(xì)的記錄數(shù)據(jù),從而減輕了把這些工具與現(xiàn)有的管理控制臺(tái)集成在一起的工作。 要消除安全政策對于IP地址的依賴性,跨平臺(tái)虛擬安全要保證政策強(qiáng)制執(zhí)行,不管這個(gè)機(jī)器的平臺(tái)或者位置是什么。安全管理員能夠消除與規(guī)則變化有關(guān)的經(jīng)營開支。事實(shí)上,強(qiáng)制和堅(jiān)持執(zhí)行政策的各種情況包括: 1、當(dāng)物理服務(wù)器和端點(diǎn)移動(dòng)到網(wǎng)絡(luò)的不同地方的時(shí)候。 2、物理服務(wù)器和端點(diǎn)轉(zhuǎn)變?yōu)樘摂M機(jī)。 3、虛擬機(jī) 4、正在使用或者停用 5、從一個(gè)物理主機(jī)轉(zhuǎn)移到另一個(gè)物理主機(jī)。 跨平臺(tái)虛擬安全把物理機(jī)器與虛擬機(jī)放在一個(gè)邏輯的安全區(qū),并且通過確保流氓虛擬機(jī)不是這個(gè)邏輯區(qū)的成員并且不能同與它們無關(guān)的安全區(qū)進(jìn)行通訊來防止虛擬機(jī)蔓延。事實(shí)上,它們之間是相互看不到的。通過嚴(yán)格控制對各個(gè)區(qū)域的訪問,被攻破的虛擬機(jī)的攻擊平臺(tái)區(qū)域?qū)@著減少。跨平臺(tái)方法通常是以分布式的 P2P架構(gòu)為基礎(chǔ)的,允許升級(jí)到成千上萬的實(shí)例。只需點(diǎn)擊幾下鼠標(biāo)就能完成政策管理,更新部分或者全部端點(diǎn)政策。 其它好處包括: 1、消除由一種豎井式的方法給數(shù)據(jù)中心安全造成的管理復(fù)雜性,通過一個(gè)單個(gè)的控制臺(tái)保護(hù)主機(jī)。 2、不用重新配置即可滿足遵守法規(guī)的要求。 3、消除與防火墻和虛擬局域網(wǎng)有關(guān)的經(jīng)營成本。 4、利用一種分布式架構(gòu)消除瓶頸和單個(gè)的故障點(diǎn)。 當(dāng)評(píng)估一個(gè)跨平臺(tái)的虛擬安全解決方案時(shí),請考慮如下要求: 1、跨平臺(tái)支持(虛擬的和物理的):理想的解決方案將支持在虛擬化環(huán)境中常見的x86操作系統(tǒng)以及其它常見的和很少見的架構(gòu),如Solaris、AIX、HP-UX、RedHat、Windows和基于IP的非服務(wù)器設(shè)備。 2、不依賴IP地址:理想的解決方案應(yīng)該強(qiáng)制執(zhí)行安全政策,不管這個(gè)計(jì)算機(jī)的IP地址是什么,保證在移植或者物理移動(dòng)時(shí)政策的一致性。 3、在同一臺(tái)主機(jī)上隔離虛擬機(jī):要保護(hù)虛擬機(jī)防止出現(xiàn)由于安全漏洞引起的虛擬機(jī)蔓延,理想的解決方案是能夠在同一臺(tái)物理主機(jī)上把虛擬機(jī)相互隔離開。 4、方便地升級(jí):要支持增長不出現(xiàn)瓶頸,要尋找能夠在分布式架構(gòu)中運(yùn)行的解決方案。 5、有選擇的加密:尋找能夠根據(jù)政策提供有選擇的加密的解決方案,不要采用“要么全加密要么全不加密”的解決方案,以實(shí)現(xiàn)最佳的性能與保護(hù)比例。 6、集中的管理:要利用管理的效率,可以尋求一個(gè)提供單點(diǎn)安全管理的解決方案。 7、基于主機(jī)的實(shí)施:要達(dá)到安全政策的最大精細(xì)程度和移動(dòng)性,要尋求一個(gè)在主機(jī)上強(qiáng)制執(zhí)行政策的解決方案。 8、對基礎(chǔ)設(shè)施和應(yīng)用程序透明:要減少部署時(shí)間和兼容性問題,理想的解決方案對于網(wǎng)絡(luò)和應(yīng)用程序的操作是透明的。 9、強(qiáng)大的活動(dòng)和審計(jì)登記:理想的解決方案應(yīng)該登記詳細(xì)的活動(dòng)數(shù)據(jù)并且創(chuàng)建一個(gè)服務(wù)器和端點(diǎn)以及管理控制臺(tái)的審計(jì)跟蹤記錄。 10、基于認(rèn)證的身份識(shí)別:尋求一個(gè)使用X.509第三版證書的解決方案以保證操作者的證書不被假冒。 服務(wù)器虛擬化運(yùn)營好處和經(jīng)濟(jì)好處是毋庸置疑的?缙脚_(tái)虛擬安全消除了服務(wù)器虛擬化和強(qiáng)大的安全之間的取舍,應(yīng)用一種合乎邏輯的擴(kuò)展到物理和虛擬數(shù)據(jù)中心的安全模式,保持虛擬機(jī)遷移的一致性。簡言之,跨平臺(tái)虛擬安全能夠讓機(jī)構(gòu)全面地向服務(wù)器虛擬化過渡,同時(shí)簡化其強(qiáng)制執(zhí)行安全政策的方法。 本文出自:億恩科技【mszdt.com】 服務(wù)器租用/服務(wù)器托管中國五強(qiáng)!虛擬主機(jī)域名注冊頂級(jí)提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |