• 當前位置：創(chuàng)新互聯(lián) >> 常見問題 >> 虛擬主機 >> 主機管理 >> 服務器虛擬化安全管理的步驟一

服務器虛擬化安全管理的步驟一

• 作者：創(chuàng)新互聯(lián) 文章來源：虛擬主機 點擊數(shù)： 更新時間：2013-04-19
• 2007年市場上大家關(guān)心的是數(shù)據(jù)中心在虛擬化方面的效率問題，2008年大家卻開始越來越關(guān)注虛擬化的“安全性”問題了。
  　　 當2007年虛擬機開始大行其道的時候，許多IT部門皆表示他們會把運行速度作為首要考量。（不必驚訝，因為大部分企業(yè)都是從測試和應用開發(fā)箱入手來推進虛擬化實施的，而不是運行核心商業(yè)應用的服務器。
  　　 根據(jù)IDC的調(diào)查顯示，有75%規(guī)模超過1000人的企業(yè)已經(jīng)開始采用虛擬化。然而Gartner的副總裁Neil MacDonald在2007年10月的Symposium/ITxpo大會上預測，到2009年，60%虛擬機的安全性將大大弱于相應的物理服務器。
  　　 安全專家Chris Hoff指出，目前大部分關(guān)于虛擬化安全問題的探討都是流于表面，人們通常是拿虛擬服務器與物理服務器來比較說事。的確，目前某些IT部門都犯了一種根本的錯誤： 他們讓服務器組單槍匹馬地去進行虛擬化工作 – 而把IT團隊的安全、儲存和網(wǎng)絡專家關(guān)在了門外。 這將會造成與虛擬化技術(shù)或產(chǎn)品內(nèi)在缺陷無關(guān)的安全問題。
  　　 的確，由于大部分IT團隊推進虛擬化的速度太快，以至于他們自己有點跟不上。 倘若你沒有與專家一起規(guī)劃虛擬化， 那么擴展虛擬機數(shù)量并在虛擬機上運行大型應用就是一件令人擔憂的事了。因為，他們根本沒有足夠的精力來顧及虛擬化的安全問題。
  　　 接下來，我們來詳細看看企業(yè)打造安全虛擬化的10大步驟：
  　　 1. 控制虛擬機增長過快
  　　 創(chuàng)建虛擬機只要幾分鐘。 它們的確能很好地隔離一定程度的計算工作。 但你擁有的虛擬機越多，你所面臨的安全風險就越高。 你最好能對所有的虛擬機都保持追蹤。
  　　 要保持對虛擬機的追蹤，這個時候最好的辦法是先從虛擬化簡單的測試和開發(fā)箱入手，繼而轉(zhuǎn)向小型的應用服務器， 然后逐步擴大。 的確，在部署虛擬機的時候適當遵循一定的準則是非常重要的，因為一步登天會增加很大的風險。而如果虛擬機增長過快，那么管理者對虛擬機的追蹤也會變得非常困難，因此適度控制虛擬機增長的速度也相當重要。
  　　 虛擬機的增長過快是一個大問題，它會導致在管理、維護和生產(chǎn)上的落后。同時，如果你無法有效的控制虛擬機的數(shù)量，那些出乎意料的管理問題也會造成成本激增。
  　　 那么該如何控制服務器增長過快呢？ 有一個方法： 像創(chuàng)建物理服務器一樣地去創(chuàng)建虛擬服務器或虛擬機。而VMware的 VirtualCenter 管理工具與Vizioncore的工具也能幫助IT管理虛擬機的增長過快。
  　　 2. 將你現(xiàn)有的流程應用到虛擬機上
  　　 虛擬化最大的魅力或許就在于它的速度： 你可以在幾分鐘內(nèi)就創(chuàng)建一個虛擬機，并在一天之內(nèi)就為你的商業(yè)部門提供新的動力。 這種快速推進方式常能使人樂此不彼。 但在此之前你一定要慎重，要讓虛擬化成為你現(xiàn)有IT流程的一部分，并且將預防安全問題放在第一位。 否則，你會逐漸發(fā)現(xiàn)更多令人頭疼的管理問題。
  　　 考慮虛擬化不僅要站在技術(shù)的角度，而且還要從流程出發(fā)。比方說，如果你是使用ITIL來引導你的IT流程，那么你要事先考慮如何將虛擬化融入到那個流程框架里。 如果你是使用其它IT最佳實踐，也要考慮到融合的問題。
  　　 3. 從你現(xiàn)有的安全工具入手，但要保持謹慎
  　　 你是否需要一套全新的安全與管理工具來保護你的虛擬化環(huán)境？ 不。從你現(xiàn)有的安全工具入手，將它們運用到虛擬環(huán)境中會更務實。 但你要給廠商一點壓力，告訴他們該如何密切留意虛擬化的風險，以及如何與其它產(chǎn)品保持集成。
  　　 在應用物理工具到虛擬化環(huán)境的安全問題上一直都有一種錯誤的觀點， 認為市場上有些安全工具早就加入了虛擬化的概念。但是平臺工具（比如VMware工具）并不是已經(jīng)足夠。比如在使用使用虛擬服務器來作為活動目錄服務器、打印服務器、CRM應用服務器和網(wǎng)站服務器 - 最后這項是一個關(guān)鍵任務應用，繼續(xù)使用防火墻和安全產(chǎn)品來保障安全也是非常重要的。
  　　 另外，還有一些軟件可以保障虛擬機的安全。
  　　 比方說，BlueLane的VirtualShield就宣稱它甚至能在某些補丁沒有及時更新的情況下保護虛擬機的安全，自動掃描潛在的問題，升級問題區(qū)域，并保護它遠離遠程威脅的侵害。
  　　 Reflex Security的Virtual Security Appliance （VSA）是少數(shù)需要引起關(guān)注的產(chǎn)品之一，它對虛擬入侵檢測系統(tǒng)（IDS）尤其有用，在虛擬機所在的物理箱中為其添加了一層安全策略。 這可以防止Hypervisor免遭攻擊，Abbene的團隊表示。
  　　 4. 了解內(nèi)嵌式Hypervisor的價值
  　　 或許你早已聽說過“內(nèi)嵌式”Hypervisor，這是IT管理人必須了解的詞匯。 服務器上的Hypervisor層是虛擬機的根本。 VMware近期發(fā)布的ESX Server 3i就是從安全角度出發(fā)而進行瘦身設(shè)計（32MB）的不包含OS的應用。 （沒有OS也就意味著沒有OS維護上的麻煩。
  　　 像DELL和HP等硬件廠商近期都表示他們會在服務器出貨時預裝這種內(nèi)嵌式VMwareHypervisor。 基本看來，內(nèi)嵌式Hypervisor因為相對較小，因為代碼庫越大，受攻擊的可能性也越大。
  　　 內(nèi)嵌式Hypervisor將會成為未來的一大趨勢，越來越多的服務器廠商會使用它們，有些廠商以前不使用的也會使用它們。
  　　 Hypervisor市場的競爭與創(chuàng)新對企業(yè)來說未嘗不是一件好事，它能激勵廠商爭相提供更加瘦身、智能的Hypervisor軟件。
  　　 降低受攻擊的可能性并非嵌入式Hypervisor的唯一強項。 Mazda的IT小組正期待即將到來的預置了VMware ESX server的DELL服務器，該小組期待的功能之一是所有的VM鏡像都能在SAN上展現(xiàn)。這種集中管理與安全的方式也意味著Mazda能夠訂購一臺沒有硬盤的服務器，從而達到物理安全的目的。
  　　 5. 不要給虛擬機指派過度的權(quán)限
  　　 務必牢記，在你對虛擬機指派管理級別的訪問權(quán)限時，你就等于授權(quán)訪問那臺虛擬機的所有數(shù)據(jù)。所以管理者一定要仔細斟酌備份管理人員需要哪些帳號和訪問權(quán)限。 某些第三方廠商對于虛擬機的儲存和備份安全問題所給出的建議都是過時的。 這些廠商甚至連自己沒有遵照VMware關(guān)于VMware Consolidated Backup的最佳實踐來執(zhí)行。
  　應用開發(fā)員的訪問權(quán)限要盡量降低。 要么降低應用開發(fā)人員的訪問權(quán)限，要么讓他們進行共享訪問，他們無法訪問OS。 這幫助公司控制了虛擬機的增長，同時提高了安全性。
• 虛擬主機服務商的挑戰(zhàn) :上一篇
  虛擬主機的軟硬件組成 :下一篇