安全仍是服務器虛擬化發展的最大阻力

 

Gartner的安全和基礎設施安全分析師NeilMacDonald說，并不是虛擬服務機沒有物理服務器安全。虛擬機在許多方面比單獨的服務器更安全，因為虛擬機隔離性更好并且依靠一個主機服務器。許多虛擬機放在一臺物理服務器上的物理安全問題比每個虛擬機分別放在單獨的硬件上更簡單。

 

MacDonald稱，這些虛擬服務器中的每一個虛擬機仍是一個單獨的服務器。每一個虛擬機都有自己的操作系統和配置。這個設置也許是、也許不是根據母公司規定的標準設置的。每一個虛擬機必須要像非虛擬機一樣使用補丁和維護以便及時修復潛在的安全漏洞。但是，這樣做會更復雜。

 

據位于科羅拉多州Loveland的信貸報告和金融服務機構Kroll FactualData的主要技術設計師ChrisSteffen說，從理論說，攻擊者有可能專門攻擊管理程序層，或者控制一個虛擬機并利用它攻擊其它的虛擬機。然而，這種事情在自然環境中還從來沒有發生過。因此，這個威脅暫時還是理論上的。

 

Steffen說，你可能還會遇到專門攻擊你的服務器中BIOS芯片的病毒。但是，我們還沒有看到太多的BIOS病毒。

 

Steffen和MacDonald都認為，虛擬機的最大問題是IT或者安全經理因為不能在出現風險的時候及時發現風險而失去對虛擬機的控制。

 

美國國家安全局不僅從內心擔心這個問題，而且還把這個問題帶到了軟件開發實驗室，提出了一個名為“NetTop”的虛擬化服務器管理方案。這個方案要求虛擬服務器的配置要防止在同一臺服務器上運行的虛擬機相互干擾。但是，它沒有解決所有的潛在的配置問題。不過，這個方案確實把一個具體技術層中的所有的安全流程和開發流程都集中在了一起。

 

MacDonald說，大多數公司不需要這種層次的保護。這種層次的保護是為那些在海外服役的特種部隊設計的。但是，大多數企業確實有許多緊迫的安全問題，有些問題他們還沒有認識到，或者不完全理解。那是一個根本的問題。

 

下面是目前人們最擔心的服務器虛擬化的五大安全問題：

 

1.管理失敗和責任

 

MacDonald說，虛擬服務器的主要問題是責任。與物理服務器不同，物理服務器是數據中心或者IT經理直接負責的，而虛擬服務器經常被人們遺忘。應該要求業務部門配置虛擬機并且保證其安全嗎?IT經理應該更接近物理主機嗎?一個集中的主系統管理員應該負責一個企業的全部虛擬化資產嗎?

 

MacDonald說，人們不理解這個問題：當你增加虛擬服務器的時候，除了應用程序、操作系統和硬件之外，你又增加了另一層技術。你必須要保證它的安全。

 

2.補丁與管理

 

缺少責任可能出現的最明顯的風險是跟不上為企業的每一個虛擬機使用補丁、維護和保證安全的不斷的、勞動密集型的流程。與虛擬機所處的物理服務器不同，物理服務器是由IT經理推出和配置的，IT經理還安裝了最新的補丁。而虛擬機是由幾個星期或者幾個月之前創建、設置和使用補丁的服務器鏡像創建的。

 

MacDonald說，大多數企業都保持少量的通用的“黃金”鏡像，從這些鏡像推出或者重新推出用于許多用途的新的虛擬機。但是，在經過辛苦的設置支持具體的應用程序或者業務需求之后，大多數企業會把數十個或者數百個服務器鏡像存儲在DVD或者硬盤上。

 

MacDonald說，你可以對虛擬機拍一個快照，把這個虛擬機寫入硬盤，這樣，你下一次就不用創建同樣的虛擬機，并且可以利用這個虛擬機進行災難恢復。在需要時，就推出在離線庫中存儲的許多虛擬機中的一個虛擬機即可。但是，大部分虛擬機都沒有最新的殺毒軟件特征和補丁。有些人在推出虛擬機的時候應該對虛擬機進行檢查。但是，有些人經常不檢查，通常也沒有進行檢查的方法。

 

微軟和VMware都用自己的基本基礎設施產品提供了補丁管理的時間表。這兩家公司都需要把磁盤鏡像存儲在庫中，以便定期地發布，這樣它們就能夠使用補丁。

 

然而，對于擁有數百個虛擬機鏡像的庫的企業來說，這是一個繁重的流程。這個流程沒有解決正在運行的虛擬機的補丁狀態問題，或者在幾個星期或者幾個月的時間里安裝新的病毒特征的問題。當然，VMware、惠普和許多新興企業現在都使用管理產品設法幫助IT實現大都數工作的自動化。

 

3.可見性和遵守法規

 

虛擬服務器的設計至少在數據中心中應該是可見的。虛擬機需要的所有的存儲、帶寬、地面空間或者電力都來自于虛擬機所處的物理服務器。數據中心管理員如果沒有監視每一個主機中的虛擬機之間的全部聯系記錄，這些虛擬機就變成了一個幾乎失控的看不見的網絡。

 

MacDonald說，虛擬交換機的應用讓虛擬機能夠相互之間溝通和跨網絡地溝通。但是，除非你在那個虛擬網絡中應用了物理服務器上使用了同樣的控制措施，如虛擬嗅探器、虛擬防火墻等，否則，你就看不到正在運行什么東西。

 

還有許多遵守法規和應用的問題。不會因為你沒有嗅探器看不到虛擬服務器之間傳送的數據包這些數據包就不存在。MacDonald說，你也許有一個HIPPA(健康保險可攜性及責任性法案)控制的工作量與一個非HIPPA工作量進行溝通，或者PCI法案工作量與非PCI法案工作量相互之間溝通。這將使你處于不利的地位。你也許知道你是否查看了那個網絡的數據包。但是，這些數據包并不是來自于你查看的那臺機器。因此，除非你采取額外的步驟，否則你不會知道真實的情況。

 

微軟、VMware和思杰都在他們的基本產品中建立了對這些溝通的可見性和控制。但是，這個功能的水平還不足以達到保護用戶安全的程度。

 

思科沒有參與這件事，瞻博網絡也沒有參與這件事。我們還沒有達到這樣一個轉折點，讓傳統的網絡廠商都感到他們能夠進入虛擬機領域。

 

在許多情況下，用戶既不知道也不在乎某些風險。在上個月在拉斯維加斯舉行的2009年RSA會議上，虛擬安全軟件提供商SecurePassage實施并且發表的一項調查顯示，72%的受訪者沒有使用任何類型的虛擬防火墻。主要原因是受訪者不了解虛擬網絡中的情況、管理虛擬安全的困難和缺少對于虛擬防火墻構成的理解。

 

VMware建在其VSphere版本的虛擬基礎設施產品中的應用程序編程接口VMSafe能夠使第三方安全廠商把它們的應用程序應用到VMware虛擬機。VMware在RSA會議上還宣布稱，它在vSphere軟件中內置了RSA的預防數據丟失的軟件以增強安全性。

 

思杰首席技術官SimonCrosby在RSA會議上進行的安全辯論中稱，安全應該建在應用程序中，而不應該建在管理程序或者虛擬基礎設施管理產品中。

 

4.虛擬機蔓延

 

缺少對虛擬機監管的另一個后果是虛擬機蔓延。虛擬機蔓延是虛擬機沒有控制的擴散。IT經理、開發人員或者業務部門的經理為了某些具體的應用需要一些額外的服務器。他們推出了這些虛擬服務器，但是，后來忘記了并且失去了對這些虛擬服務器的跟蹤。

 

虛擬機蔓延浪費資源，創建了可能訪問敏感數據的沒有人監視的服務器。當以后出現問題的時候，整個公司和IT部門要清除這些虛擬機是很痛苦的。

 

要強迫業務部門經理填寫申請表并且說明他們為什么需要額外的虛擬機，做什么用，需要多長時間減緩這個流程的速度。但是，還要給每一個人一些時間考慮每一個虛擬機是否有必要。

 

Steffen說，如果他們需要更換一臺他們已經在運行的一臺服務器，我們不會那樣做。但是，采用虛擬機，你有可能讓虛擬機完全失去控制。有這樣多的虛擬機，你不能對保證虛擬機的安全做任何事情。

 

SecurePassage對RSA會議參加者的調查顯示，42%的受訪者擔心虛擬機蔓延，特別是擔心對業務部門經理隨意增加虛擬機缺乏控制。業務部門經理隨意增加新的虛擬機，不與IT部門進行協調并且保證管理和保護這些虛擬機。

 

5.管理虛擬設備

 

MacDonald稱，有關虛擬基礎設施的最佳事情之一是能夠購買或者測試第三方廠商的產品，讓這種產品在幾分鐘之內就設置完成并且開始運行，而不用在測試服務器上騰出地方，安裝軟件，讓這個產品與操作系統和網絡溝通，然后在幾個小時之后再觀察這個產品是否做它該做的事情。

 

遺憾的是，虛擬設備也是虛擬的盲目買進的產品。每一套設備都有自己的操作系統和應用程序，每一個都有自己的設置和補丁狀態。你不知道那里有什么或者誰在維護它，或者不知道長期的風險是什么。它有全部設置好的和準備運行的應用程序和操作系統。你可以在五分鐘之內試驗這個新的反垃圾郵件服務器。但是，你不知道這套設備中是什么操作系統，是否使用了補丁。如果沒有使用補丁，誰將向你提供這個補丁。