虛擬化成功部署必須突破的5大難關
原創【51CTO.com快譯6月24日外電頭條】2009年走過了將近一半，我們看到虛擬服務器正在按部就班的發展。所有之前的瘋狂預測，包括第三方虛擬化API、虛擬NIC驅動、大規模客戶升級，還有對hypervisor的入侵，暫時還沒有大規模爆發的跡象，但關于虛擬化未來美好的前景而言，是毋庸置疑的，有興趣的讀者可以參看51CTO.com的獨家報道《51CTO獨家調查：中國虛擬化應用才剛上路》《虛擬化在中國系列：萬網CTO談虛擬化在IDC》。
關于虛擬化的安全性，在真實世界中唯一出現的主要供應商的脆弱性報告是微軟的升級漏洞，而這是有關Xbox 360中運行的嵌入hypervisor，在Hyper-V或Virtual PC中沒有發現漏洞。
無論如何，虛擬化已經成為主流，在過去幾年中虛擬機大量占據了數據中心，IT安全專家們在不斷重復著hypervisor如果受侵會帶來的可怕后果。黑帽大會在繼續討論潛在的風險和漏洞。Gartner預計去年年底hypervisor就會出現需要修補的大漏洞，很高興他們沒有預測對。而VMware在2008年也發布了19個小型的安全補丁，甚至有人提出《安全仍是服務器虛擬化發展的最大阻力》。
但現實情況是，虛擬化是簡單的軟件問題。它本質上還是軟件，無論怎樣嚴格書寫，效率有多高，在代碼和設計上總會出現缺陷，并且會越來越多，這和任何復雜的，廣泛流行的應用程序都是一樣的，51CTO.com的讀者可以通過查看《使用虛擬化最常見的安全問題》，避免一部分虛擬化安全陷阱。
因此，什么才是最可能出現的威脅？虛擬服務器只是服務器。虛擬化的硬件抽象和靈活性讓你能夠更容易地進行創建、部署和安排，同時也更容易出現問題甚至丟失。在虛擬世界，你的最大威脅不是揮舞著BIOS病毒或者想方設法控制主機的壞人。相反，最薄弱的環節可能是你自己，如果你缺乏規劃，不知道怎樣照顧、維護和管理狂野的虛擬農場。如果51CTO.com的讀者對虛擬化的安全問題有興趣，可以參看《如何降低服務器虛擬化的四大安全風險》。
搭建常規防御
無論是小型還是大型的虛擬商店都有一個長長的安全問題清單。你應該關注潛在的漏洞，避免客戶虛擬機威脅到主機或hypervisor，信息安全咨詢公司Neohapsis的CTO Greg Shipley說，但你應該更關心沒打補丁的客戶虛擬機，防止它們遺忘在測試主機，或者由于不完善的現場遷移規則在主機間穿梭。
每個人都可以從基本的風險管理思想中受益，Shipley說。大多數企業都有基本的安全設計和底層架構，用來搭建物理和虛擬環境。雖然是老生常談，但從總體上解決安全問題比任何單一用途的虛擬機工具都更有效。也可以說，先把你的物理環境搭建好，然后才能談到虛擬機的安全問題。
任何沒打補丁的服務器都會帶來安全風險，更不用說那些管理權下放給業務部門或開發團隊的測試或生產虛擬機，這是嚴重的風險所在。即使你擁有自動化的補丁管理系統或正式的內部補丁管理策略，你仍不能百分百的確信所有的虛擬機操作系統和應用實例都是最新的。攻擊者將會搜尋你的網絡，從普遍的漏洞開始，比如沒打補丁的Win2K3服務器上的漏洞。壞人不會在乎服務器是物理的還是虛擬的，他們只是尋找可以攻破的目標。
傳統的自動修補策略不考慮離線服務器。在物理世界中，一個斷了電的服務器是無法工作的。但在虛擬世界，暫停或存檔的服務器可以通過虛擬化補丁管理工具進行更新。虛擬機模板和基準鏡像必須保證維護和修補，當然我們也不妨從原始的物理機安全防御體系中吸取營養，有興趣的讀者可以參看51CTO.com的文章《虛擬IDC可借鑒傳統IDC安全防范手段》。
將單點故障降到最低
假設所有的服務器都在你控制之下，那就來解決其他的共同風險。如果你想進一步鞏固服務器，請留意單點故障。在供應商免費提供的入門級平臺上運行多個生產虛擬機不會讓你省錢。它們性能受限，或這沒有現場遷移能力，這還意味著你的虛擬機都被困在同一臺物理服務器上。如果有一天這臺物理服務器出了問題，你所有的虛擬機都會掉線，多個系統都會中斷，而根據51CTO.com之前的文章《虛擬機數量增加意味著安全風險加大》。
在過去，你可以靠傳統的一臺服務器一個盒子的模型合理的避開風險和硬件故障。但在虛擬世界里，隨著每臺主機上的客戶機越來越多，風險也越來越大。因此，在試圖通過整合來節省資金的同時，也必須準備好以防萬一的計劃。
基本的設計方案應該包括至少三臺主機，提供現場遷移選擇，增強高峰性能，以及保證硬件升級、維護和打補丁的靈活性，確保不出現生產中斷。幾乎所有的虛擬化供應商都已經增加了入門級的功能，但獲得真正高可用性的唯一方法也只有支付更高的許可費，你需要從虛擬化節約的成本中劃出這部分費用。
在軟件支持上，Citrix的XenServer提供免費的XenMotion，具有高可用性功能。微軟承諾Hyper-V今年晚些時候也會具有現場遷移能力。VMware的vSphere Essentials Plus針對小企業提供三臺服務器的集中管理，具有高可用性，而更進一步的vSphere Advanced擁有普遍用途的vMotion，性能更加出眾。
檢查物理主機內部
當被入侵的客戶服務器開始傳染其他服務器時，就會發生“混合威脅”。傳統的安全工具可以在物理堆棧檢測到異常行為，并發出警報。但是，由于虛擬化網絡的通信方式設計在一臺單一的物理主機里，黑客可能利用被入侵的虛擬機攻擊同一臺主機上的其他虛擬機。這樣傳統的通過網線的監測系統是不能發出警報的。
一些供應商開發了虛擬安全設備來對付這種陰暗的行為，尋找不經過物理網線的虛擬網絡流量，并提供虛擬防火墻和入侵檢測和預防。VMware在其VMsafe旗下有很多合作伙伴，提供特有的安全API，目的是使虛擬機的可見度能夠類似于我們已經習慣的傳統物理IP安全方式。
加強控制
所有的主要供應商和少數第三方供應商提供了集中式的虛擬農場管理工具。管理員可以從單獨的控制臺控制和查看每一個虛擬機，這些工具是跨平臺的，從而能夠控制不同結構的環境。但是，這些控制臺也存在著管理權限和角色的沖突。在過去，大企業可以依靠物理手段來進行訪問限制，控制誰可以碰到某一臺特定的服務器。而虛擬化移除了那些墻壁，基于網絡的控制臺可以讓任何人坐在辦公桌前操縱虛擬農場。
虛擬機的管理和服務器管理員的職責應當明確界定。處理敏感的醫療、金融或其他重要隱秘數據的服務器必須明確區別開。對所有虛擬設備、控制臺和CLI管理應進行周密的考慮，IP接入規則和網絡管理條例也必須明確界定。
避免交叉對話
除了對主機網絡的管理，對虛擬機遷移渠道的控制也應成為你主要考慮的問題，這關系到網絡的性能和安全性。無論是vMotion還是XenMotion都擁有在兩臺主機之間現場遷移虛擬機的良好能力。數據傳輸應該發生在類似于iSCSI SAN的私有安全網絡結構上。為現場遷移而設置專門的網絡分段在所有虛擬主機平臺上都應該是理所當然的工作。
關于虛擬化安全市場上的眾多新產品，Neohapsis公司的Shipley說，他沒有看到任何值得花錢的東西。大多數企業“應該把建立虛擬環境下的標準操作流程放在第一位，”他說，“太多的企業缺乏基本的管理、漏洞和補丁管理工具。”
把基本的東西做到位之后，在虛擬機防火墻或主機內部的虛擬安全設備上繼續投資才會變得有意義。
【編輯推薦】
【51CTO.com譯稿，非經授權請勿轉載。合作站點轉載請注明原文譯者和出處為51CTO.com，且不得修改原文內容。】
原文：The Biggest Threat? It May Be You 作者：Joe Hernick
