虚拟机 & 不可忽略的漏洞：虚拟化面临现实安全的考验

虚拟机–不可忽略的漏洞虚拟化面临现实安全的考验

介绍

随着虚拟化技术在过去几年中的迅速普及,一个组织很有可能有一个虚拟机在某个网络环境中.根据IDC 称,虚拟化技术从同期2007年的46%增长至2008年54%。虚拟化提供包括可扩展性，灵活性和迅速部署新的服务器从而节省成本等很多好处,而且它是一种高效节能和界面友好的技术.所有的这些优点,使虚拟化技术在IT 领域迅速地改变。

尽管这么说,但虚拟化技术到底是什么呢?虚拟化技术,是允许在单一的物理硬件创建一个虚拟网络和计算机资源。这些虚拟资源都共享一个物理主机的资源。这是通过在（也称为虚拟机监视器）主机服务器上增加一个额外的管理程序，该管理程序允许多个操作系统同时运行在一台主机上。

早前的虚拟化技术，服务器通常是采用1:1的硬件软件映射，指的是：一个操作系统或应用程序将运行在一个硬件服务器上。对于较大的部署，这往往意味着对在数据中心的几十万台物理服务器的环境。在这样的环境中运行，需要大量的硬件，能源，以及部署和管理成本。在除此之外，这些服务器上仅运行5％至10％的容量，造成资源的巨大浪费。

虚拟机管理程序(Hypervisor)

在计算机系统中的一个管理程序，也称为虚拟机监视器

(VMM),是一种在一台主机上能同时运行多个操作系统的软件

/硬件虚拟平台软件。

有两种类型的虚拟机管理程序:

类型1：（系统虚拟机）虚拟机管理程序是一种硬件控制和监

视其它客户操作系统的软件，一台客户的操作系统运行在该虚

拟机管理程序的另一个层面之上。

类型2：（程序虚拟机)虚拟机管理程序是一种软件应用程序运

行在传统的操作系统平台上，考虑到虚拟机管理程序作为一个

独物的软件层，客户操作系统运行在硬件的第三层以上。

随着虚拟化技术能够在一台单一主机上运行10个或都更多的虚拟化服务器，曾经是1:1比例变成了10:1，甚至20:1时，我们不难看出虚拟化技术带来的眼前利益和长远利益。

虚拟化安全和威胁

任何新技术的出现都会伴随着新的威胁和与之相关的安全问题，虚拟化技术也不例外。2007年10月，Gartner的副总裁MacDonald预测，到2009年，60%的虚拟机(VMs)的安全性将比传统的物理硬件搭建的操作系统低，以下是最近虚拟技术引起的安全威胁：1．虚拟特定攻击–虚拟化技术利用载体开辟了一个新的潜在的攻击者.有一个真实的例子：一个虚拟主机攻击在同一主机上其它虚拟机，甚至通过获得对主机本身的访问权限，取得了共享其它主机和客户机的物理内存和空间。攻击在管理程序本身能够潜在于所有虚拟机之上。

2．传统的威胁–虚拟机暴露的威胁不仅限于在虚拟机上的攻击。即使是没有真实物理硬件的虚拟机，仍然容易受到恶意软件的感染。病毒，木马,Rootits，键盘记录器和其它恶意软件都可以实质地损害虚拟机和主机。受感染的虚拟机在网络上可以象攻击其它物理服务器一样进行攻击其它虚拟主机。

3．管理职责–不象物理服务器一样有专人管理，虚拟机都是透明的，看不到的.通常情况下，一台物理主机上有多个虚拟机，谁负责管理物理主机，谁负责管理这些虚拟机？如果没有出台明确的政策，明确管理和保护的责任，这些虚拟主机的管理问题已成为一项挑战，并可能导致它被黑客所利用。

4．虚拟机的泛滥–虚拟机如此轻松地创建，以至于有时会导致虚拟机的无序扩张。随着时间的推移，虚拟机在工作平台上日益增加，那里的物理资源会被新增加的虚拟机所共享，导致虚拟机的基础设施变得不太理想。虚拟机，像传统的系统一样，需要合理的修补和管理，不这样做可能会导致在网络中出现巨大的安全漏洞。

5.虚拟机的分割- 在传统的网络环境中，重要的服务器通常在他们自己专用的虚拟局域网(VLAN)里，以隔离来自客户机的网络和广域网。然而，虚拟机之间却不像传统物理服务器一样有专门的隔离。有时一台重要的服务器可能被部署到与其它较低优先级的虚拟机同一台物理主机上，这时该服务器没有专门地隔离起来，这时就有可能遇到较高机会的破坏，那些攻击者能够在同一虚拟机管理程序中攻击其它的虚拟主机。

在虚拟环境中的网关安全

上面列出的威胁中,对于传统的威胁来说,绝大多数的组织都有更多的经验.在虚拟化的安全环境中,这是一个很好的开始，像很多特定的威胁仍然来自于网络并通过传统的手段，例如：垃圾邮件，恶意网页等。多年来，服务器和最终用户的个人电脑均受到多种在线威胁的攻击，每年数以百万计的恶意软件被创建。这些恶意软件是通过网页和垃圾邮件的方式“拉到”用户的桌面上。由于虚拟机本质上是“真正”的机器只是与物理方面不关联，然而它们本身也同样容易受到这些攻击。绝大多数的威胁是不会区分虚拟机还是物理主机。垃圾邮件将到达的邮件服务器也是一样，不论它是否是一台虚拟机。虚拟机同样可以执行感染病毒代码。只有这一次，不仅在虚拟机本身正处于危险之中，而且还加上该机器上的所有管理程序。一旦虚拟机管理程序本身受到损害，所有在此上面的虚拟机都会丢失，所有在客户虚拟机的程序和数据都处于危险之中，这时，客户虚拟机并未察觉已经受到攻击。

与比以往任何时候相比，传统的安全的措施和政策必须被遵循通过。反病毒软件必须部署在每个虚拟机和特别是在物理主机系统本身。每个虚拟资源的访问权限必须明确定义，理想情况下，分层安全网关解决方案将部署在网络的网关，入侵防御系统可以阻止非恶意软件的攻击，如SQL注入。反垃圾邮件和Web内容过滤将防止用户通过Internet和电子邮件接触到恶意软件。对于恶意软件而方，绕过这些设备，网关反恶意软件扫描应该在文件到达服务器或最终用户的机器之前被检测或删除掉。

图3显示了恶意软件到达用户虚拟机时的可能性。在这个例子中，网站上的病毒测试样本已被ProSecure 网关安全设置禁止下载。

结束语

虚拟化技术已经改变了计算机世界，它代表着能够迅速地部署新的服务器，硬件资源被最大地使用起来，更加简化了计算机环境。随着越来越多的企业急于部署虚拟机，他们也必须提防虚拟环境中具体的安全问题。作为第一步，商业企业应该首先保护来自网络的一般的安全威胁，例如恶意软件，垃圾邮件，黑客和未知的Web内容等。例如，ProSecure UTM 网关的部署将有助于在单一设备上提供健全的和有效的网关安全解决方案。