虛擬化四大安全隱憂 管理程式待完善

有專家警告說："虛擬伺服器相對物理伺服器而言更容易收到攻擊，這也是管理程式技術開發過程中面臨的新的隱患。 "伺服器虛擬化只需要較少的硬體資源就能運行多重應用程式和作業系統，能允許使用者根據自身需求快速調配新的資源。 但是這些靈活性也導致網路和安全管理者們不禁擔心存在於虛擬環境中的安全隱患會在整個網路中蔓延開去。

"我之所以對虛擬化敬而遠之是因為我對管理程式中的安全問題早有耳聞"，位於美國佛羅里達州的整形和醫療器械供應商Exactech公司的網路系統管理員克雷格.布希表示。 "一台伺服器發生故障不會影響到整個網路，但是如果是管理程式就有可能發生這樣的事，我們必須看到所有的安全問題都得到解決才會考慮介入虛擬化"。

在此我們將虛擬化環境的安全問題歸納為四點：

1.虛擬機器溢出導致安全問題蔓延

IT管理者們擔心管理程式設計過程中的安全隱患會傳染同台物理主機上的虛擬機器，這種現象被稱作"虛擬機器溢出"。

如果虛擬機器能夠從所在管理程式的獨立環境中脫離出來，工業專家們表示入侵者會有機可乘進入控制虛擬機器的管理程式，進而避開專門針對保護虛擬機器而設計的安全控制系統。

"虛擬世界的安全問題正在試圖脫離虛擬機器的控制範圍"，伯頓集團的資深分析師Pete Lindstrom在最近的虛擬化安全網路廣播會議上表示。

"據我所知，沒有那家公司會允許安全問題通過管理程式技術的方式在虛擬主機間相互傳播和蔓延"Catapult系統公司的諮詢師史蒂夫.羅斯表示，他主要負責VMware虛擬化環境的配置和維護。

"這是有可能發生的，入侵者或者安全性漏洞會在虛擬機器之間來回搗亂，但是我們將它們看做是開發過程中的必須面對的問題"Bowdoin大學的系統工程師提姆.安東尼茲表示。 安東尼茲在性能伺服器上使用的是VMware ESX虛擬化程式，他通過在資源集群裡隔絕虛擬機器來儘量回避這樣的問題，這主要依賴應用程式或者虛擬機器資訊的敏感程度。 "我們用隔離虛擬機器的方式來提供安全性"，他表示。

位於芝加哥的Cars.com的技術運作總監Edward Christensen也是採用隔離虛擬機器的方式來保障虛擬環境的安全性。

保障虛擬環境安全的傳統方式是在資料庫和應用程式層間設置防火牆，Christensen表示。 線上自動化公司使用的是VMware公司的虛擬化管理程式在他們的惠普伺服器上進行虛擬機器配置，Christensen表示從網路上離線保存虛擬化環境有助於緩解安全隱憂。 "這對於虛擬化環境來說是比較好的方法"他表示。

2.虛擬機器成倍增長，補丁更新負擔加重

"虛擬機器修補面臨更大的挑戰，因為隨著虛擬機器增長速度加快，補丁修復問題也在成倍上升"伯頓集團的Lindstrom表示。 "證實各個機器上補丁修復的能力在虛擬世界裡更加重要"。

IT管理人們也認同補丁在虛擬化環境中的關鍵性，但是在虛擬機器和物理伺服器補丁之間實質的區別並非在於安全問題，而是量的問題。 "我們需要緊記虛擬化伺服器與物理伺服器一樣也需要補丁管理和日常維護"Catapult公司的羅斯表示。 Transplace公司有三種虛擬化環境--兩個在網路內部，一個在隔離區(DMZ)上--大約有150台虛擬機器。 "管理程式額外增加了層來用於補丁管理，不過無論物理機還是虛擬機器上補丁都非常關鍵"，羅斯表示。

對Bowdoin的Antonowicz來說，應對虛擬伺服器的增長過快是目前優先考慮的問題，當伺服器成倍增長已經超出我們的控制之時，我們也要及時增加補丁伺服器的數量。 過去他們會將40台伺服器作為補丁，但是現在用於安全保障的補丁伺服器數量已經超過了80台。 他希望將來能有一款工具能更好的實現這一進程的自動化。

"在沒有任何物理約束的情況下，虛擬機器的增長速度不斷加快"Antonowicz表示。 "在我們使用更多的虛擬機器之前，我需要瞭解更多補丁自動化的資訊"。

3.在隔離區(DMZ)運行虛擬機器

通常，許多IT管理人都不願在隔離區(DMZ)上放置虛擬伺服器。 其它的IT管理者們也不會在隔離區(DMZ)的虛擬機器上運行關鍵性應用程式，甚至是對那些被公司防火牆保護的伺服器也敬而遠之。 根據伯頓集團的Lindstrom的說法。 不過如果使用者正確採取安全保障措施，這樣做也是可行的。 "你可以在隔離區(DMZ)內運行虛擬化，即使防火牆或隔離設備都是物理機上。 在多數情況下，如果把資源分離出來是比較安全的方式"，他表示。

Bowdoin公司的Antonowicz表示，不管是隔離區還是非隔離區，他都會建立虛擬化環境，他是採用在虛擬資源的集群中限制訪問的辦法。 "每個集群都是自己的資源和入口，因此無法在集群之間來回串聯"，他解釋說。 許多IT管理者們致力於將他們的虛擬伺服器分隔開，將他們置於公司防火牆的保護之下，還有一些做法是將虛擬機器放置在隔離區內-只在上面運行非關鍵性應用程式。 Transplace公司的IT基礎架構總裁斯科特.安克表示，防火牆和在隔離區虛擬機器上運行的應用程式之後就是價值的體現，比如DNS的服務。

"我們在可信賴主機的平臺上運行防火牆。 在我們的隔離區，我們將在少數VMware公司實例上運行物理伺服器，但是在可信賴平臺和非信賴網路之間的鴻溝卻難以跨越"，安克表示。

4.管理程式技術的新特性容易受到駭客的攻擊

任何新的作業系統都是會有漏洞和瑕疵的。 那這是否意味著駭客就有機可乘，發現虛擬作業系統的缺陷進而發動攻擊呢?

工業觀察家們建議安全維護人員要時刻對虛擬化作業系統保持警惕，他們存在潛在導致漏洞和安全隱患的可能性，安全維護人員只靠人工補丁修護是不夠的。

"虛擬化從本質上來說全新的作業系統，還有許多我們尚不了解的方面。 它會在優先硬體和使用環境之間相互影響"位於Ptak的諾埃爾協會創始人兼首席分析師Rich Ptak表示。 "讓情況一團糟的可能性是存在的"。

虛擬化管理程式並非是人們自己所想像的那種安全隱患。 根據對微軟公司銷售旺盛的補丁Windows作業系統的瞭解，象VMware這樣的虛擬化廠商也在致力於開發管理程式技術時控制安全性漏洞的可能性。

"VMware公司與微軟公司相比成績顯著，在各大廠商中走在了行業的前列"互聯網研究集團的負責人彼得.克利斯蒂表示。 "不過管理程式使用的代碼數量相對簡單，比八千萬行的代碼要安全的多"。

(責任編輯：蒙遺善)