從虛擬化和雲計算解析IT安全的兩大疑惑

中國IDC圈2月23日報導：虛擬化和雲計算的優點將列入2010年大多數企業IT基礎設施討論中。 虛擬化已經證明它能夠通過伺服器整合和更好地利用資源來節省資金。 在整個伺服器基礎設施、在IT堆疊的其它領域以及在桌面等方面預計將更多地使用虛擬化技術。 salesforce.com等SaaS（軟體即服務）應用的增長以及IT服務的成功展示了集中的遠端計算方法如何還能夠提供更有效率的向使用者提供技術資源的方法，説明雲計算贏得企業決策者的接受。 但是，隨著這個行業開始應用這種新的IT基礎設施，虛擬化對IT安全有什麼影響呢？ 安全專業人員為什麼要擔心？ 據市場研究公司Gartner稱，大約16%的全部企業伺服器目前是虛擬化的，預計到2012年這個比例將提高到50%.這個市場的領先者VMware有15萬多使用者。 微軟的虛擬化產品Hyper-V是免費的，最新版本的Windows伺服器軟體鼓勵使用這個技術並且讓小企業更容易使用這個技術。 同任何技術在各種規模的企業中的重要性的增長一樣，惡意軟體作者預計將對虛擬化環境實施各種攻擊，或者劫持工作負荷或者竊取重要資料。 虛擬化應該與安全一起考慮的例子是支付卡行業的資料安全標準。 這裡已經建立了一個特別興趣組以便討論虛擬化在零售商網路中的作用以及對保護信用卡和轉帳卡支付資料的影響。 對於虛擬化環境有三種主要的攻擊目標：·虛擬機器工作負荷將包括作業系統、應用程式和資料，與傳統伺服器工作負荷類似。·管理程式本身。·用於控制虛擬機器和與其它IT管理產品集成在一起的管理API（應用程式開發介面）。 安全團隊面臨的最大問題首先不包含在虛擬化實施中，因為它通常是在測試和品質保證環境中開始的。 隨著虛擬化普及到更多的產品環境，安全肯定是一個主要的擔心的問題。 這包括評估業務持續性方面，因為中斷或者病毒攻擊影響的工作負荷的比例將高於在一個整合的環境中的影響。 第一個考慮是在虛擬化環境中應用傳統的安全技能。 這是很困難的，因為虛擬機器能夠根據業務需求和工作量的優先次序到處遷移。 這個重點必須放在計畫和熟悉這個不斷變化的環境的可能性。 通過使用虛擬區域網路把虛擬的和物理的網路通訊流量分開是第一步。 隨後是應用能夠監視和檢查虛擬機器主機伺服器之間的通訊的入侵防禦和防火牆系統。 正在考慮應用桌面虛擬化的機構還必須在客戶機系統中部署殺毒軟體，儘管虛擬化這個進程使任何使用補丁或者清除病毒過程更容易和更迅速。 下一個考慮是虛擬化如何有可能改善安全計畫和執行。 由於虛擬機器是隔離的環境，運行需要隔離的多租戶環境是很容易的，甚至在同一個硬體上也是如此。 這對於管理的服務提供者是非常有用的。 虛擬化使他們在同樣資料的物理設備上託管更多的使用者。 虛擬化環境中新的安全方法 增強的虛擬化設備（為具體任務建立的虛擬機器）也將更受機構的歡迎，因為這些設備能夠説明安全職能部門從虛擬化中得到與其它業務同樣的結果。 市場研究公司IDC在2009年12月發表的研究報告稱，虛擬安全設備預算的撥款在未來一年至18個月裡將繼續增長，因為擁有總成本結果比使用單獨的點軟體產品或者專門的硬體產品更好。 正在考慮的安全新方法的其它方面是雲計算。 雲計算對於不同的人意味著不同的事情。 但是，最常用的定義是使用互聯網向使用者可靠的服務。 在雲計算服務中，服務的數量可以根據需要增加或者減少。 這種靈活性和「按使用付費」的計費模式對於大量削減資本開支或者很難獲得預算的機構來說是吸引力的。 雲計算的潛力是巨大的，因為它能夠使IT服務交付更有效率和更節省成本。 然而，雲計算面臨一些重要障礙，其中一個障礙是安全。 由於資料將擺脫企業的直接控制，安全和隱私的擔心是很大的，特別是在要求保留資料和擁有資料的那些行業。 把雲計算建成一個企業可信賴的平臺將是一個一直令人擔心的問題，不管雲計算潛在的節省資金的潛力是多麼誘人。 要記住的一個最大的問題是所有有關的資料都是你的。 儘管這個資料可能位於另一家公司的存放裝置中， 保證這個資料的安全仍然是客戶的責任。 謹慎地與雲計算供應商打交道並且不斷地詢問有關這個供應商如何保證網路安全的問題是非常重要的。 親自訪問資料中心能夠説明建立信任。 如果所有來電到雲計算中不適合這個企業，那麼，利用一個在你的網站遠端系統管理這個系統的可信賴的合作夥伴是一個合適的「中間站」，能夠提供本全面雲計算的成本的好處，同時還保留一些控制權。 SaaS供應商已經展示了如何得到資料的安全和可靠性。 隨著這個過程的繼續增長，安全供應商也在考慮雲計算如何能夠使這個過程更有效。 雲計算服務最有效的地方的例子包括電子郵件存檔和網路安全，因為機構的價值在於更有效地管理這個流程，而不是現場託管這個產品或者服務。 隨著機構推出進一步虛擬化的基礎設施或者把自己的工作量轉移到專有的/或公共的雲計算，安全團隊必須參與圍繞這些戰略轉變建立最佳的做法。 虛擬化和雲計算與安全的結合能夠提供非重要IT功能的更有效的管理和自動化。 在IT資源緊張和預算不變的時代，這是IT部門提供企業保持競爭力所需要的結果的一個重要的機會。 隨著這些技術進入生產領域，正確的安全計畫能夠保證虛擬化或者雲計算提供承諾的好處。