虚拟机管理程序面临险境

　　随着虚拟化逐渐进入到企业的底层计算结构，桌面虚拟化和服务器输入/输出带来的难题有望得到解决。但随着虚拟化技术不断推广，虚拟化的安全性变得越来越重要，因为入侵者可能会找到办法从闯入的某台虚拟机，进而潜入到虚拟机管理程序本身，从而攻击门户大开的敏感数据、信息流量以及整个系统的资源。

　　Core Security Technologies这家网络安全软件公司在今年初就证明了可能会发生这一幕。VMware客户机虚拟化软件（包括VMware Player、VMware ACE和VMware Workstation）都有"共享文件夹"（Shared Folder）特性，让客户机可以写入到主机操作系统上的文件，而其他客户机可以共享其内容。Core Security公司的工程师表示，在某些情况下，这个共享文件夹可能被用来把病毒或特洛伊木马程序植入到主机的操作系统。这个安全威胁披露后，VMware随即向客户发布了危急安全公告。

　　VMware此后发布了VMsafe API（应用编程接口），让第三方安全供应商可以开发能监控及保护虚拟机管理程序、从而防范这种威胁的产品。现在二十家厂商在使用VMsafe API，致力于开发虚拟化安全产品。其中一家厂商Apani Networks正在设计一种方法，把其EpiForce产品在企业网络中创建的安全区扩大到运行虚拟机的服务器。EpiForce可以把整个网络分成几个网段，为每个网段分配EpiForce强制执行的一个安全区等级。它可以通过检查用户权限、要求对处理敏感数据的虚拟机发来的数据进行加密，为虚拟机实施粒度级别细得多的安全机制。

　　Apani公司的高级技术主管George Tehrani表示，该公司正致力于让EpiForce方法能够随时可用，那样就可以为刚创建的虚拟机指定相应的安全区。他表示，VMware的VMsafe API让Apani可以为虚拟基础架构3控制台提供这样的功能：指定EpiForce安全策略，并同时更新策略和其他管理功能。VMsafe"将统一管理控制台，从而节省管理虚拟机的时间和成本，"他说。所有功能将通过虚拟基础架构3来管理，而不是分别使用虚拟基础架构3控制台和安全控制台。

　　赛门铁克的知名工程师Bruce McCorkendale表示，VMware的安全API非常必要。赛门铁克正使用VMsafe API，把其产品扩展到虚拟机领域。他表示，开发可监控虚拟机管理程序的安全产品为安全软件厂商提供了比他们留意防范的入侵者"更高的权限视角"（privilege perspective）。就权限而言，公司网络是比较平坦的：谁只要获得或骗过服务器管理员角色，就有机会进入服务器。虚拟机管理程序的权限视角更像是塔楼看守人的视角：他能在被人发现之前发现对方。

　　通过虚拟机管理程序，安全专家们就可以"对虚拟机采取前所未有的控制力度"；McCorkendale表示，而对物理服务器实行这种力度的隔离和监控比较难。