服务器 频道

认识虚拟化的主要安全问题

  【IT168 专稿】多年来,人们一直很担心虚拟化环境内部的安全性。许多人误以为,就因为是虚拟化环境,那么这种环境本身肯定天生就很安全。其实并非如此。虚拟化环境存在与物理环境基本上同样的安全问题。

  另外,另一个不同阵营中有人认为,往某个环境引入虚拟化根本上改变了安全理念。同样并非如此。当然,虚拟化会带来一些改变。虚拟机管理程序带来了一类新的安全问题,但不一定是截然不同的大批问题。就像是往某个环境添加其他任何新的组件那样――架构师和系统工程师们需要对这个新组件有一个正确的认识,然后在实施方面进行全面的规划工作。

  为了更深入地了解虚拟化安全问题,我采访了一位大名鼎鼎、直言不讳的安全专家Edward L. Haletky,他是AstroArch咨询公司的总裁、DABCC公司的分析师兼VMware社区专家,也是一名出版作者。

  《InfoWorld》:构建VMware VI3时,人们最常犯的安全错误是什么?

  Edward Haletky:那就是使用没有考虑到安全区域之间差异的扁平化虚拟网络(flat virtual network)。

  《InfoWorld》:刚刚发布的VMware vSphere 4产品有望解决VMware VI3没有考虑到的问题吗?

  Haletky:会解决几个问题。VMsafe将让安全工具的使用更有效。然而,大多数(即便不是所有)改进之处也会加大受攻击面。

  《InfoWorld》:那么你怎么看待新的VMsafe API?它会带来哪些变化?

  Haletky:VMsafe会大大改变虚拟化安全性,现在可以通过它来构建能够查看整个虚拟化主机的工具。比如就虚拟网络而言,原来每三只虚拟交换机就需要一个代理,现在每个VMware ESX/ESXi主机需要一个代理。然而,使用能够识别VMsafe的应用程序也会加大受攻击面,因为多出了运行代理的虚拟设备。所以,再也不应该为虚拟机使用扁平化虚拟网络了。

  《InfoWorld》:你对像Catbird这些公司提供的第三方解决方案有什么看法?另外,VMware收购Blue Lane Technologies会带来什么?

  Haletky:我认为,所有的第三方工具(比如Catbird的V-Security和Reflex System的vTrust)都会与VMware vShield Zones有一番激烈竞争。它们的功能大同小异,但Zones的集成度更高。不过,这两款第三方产品目前提供的功能都要比Zones丰富得多。

  《InfoWorld》:由于占用资源比较少,VMware ESXi似乎更安全。确实如此吗?还是它存在的安全问题与VI3一样多?或者是它存在不同的安全问题?是不是人们对ESXi的安全问题似乎比较松懈?

  Haletky:VMware ESXi有着与VMware ESX一样的许多安全问题。确保虚拟化安全要做的绝不仅仅是加固虚拟化主机。即便如此,许多人还是误以为VMware ESXi来得更安全。事实并非如此,因为它没有深层防御功能。任何进程都可以在虚拟机管理程序里面运行,并不仅仅限于主要的对象类型,比如vSwitch或虚拟机容器。大多数人还认为VMware ESXi是一个硬件设备,于是只采取了VMware推荐的多项安全加强措施中的一两项,又没有关注管理或访问VMware ESXi的方式。另外,我认为大多数人在启用安装的ESXi系统上的SSH功能。如果他们这么做,其实没有真正的安全可言,因为ESXi内部没有深层防御功能。

  《InfoWorld》:你能不能说说人们可能还没有认识到VMware存在的最主要的两三个安全问题吗?

  Haletky:正如我在前面讲过的那样,第一个就是使用扁平化虚拟网络作为虚拟网络,而不是使用更稳健、更有保障的网络。这在使用VMsafe vApps时会很有必要。另一个问题是,许多人把管理工具与ESX主机服务控制台放在了防火墙的两侧,这么做是错误的。因为这样一来,他们就得开启许多不必要的端口。相反,他们应当把ESX管理控制台和vCenter工具放在防火墙的同一侧,并且限制只能使用一个协议,比如加密的远程桌面协议(RDP)。这样一来,管理员可以访问虚拟机,进而访问管理工具。最后一个常见的安全问题是,没有使用部署环境的网络/虚拟化主机,这种环境下的网络/虚拟化主机可以防范零日攻击。相反,有些人直接部署到生产环境;如果操作出错,虽然可以删除虚拟机,但这会在磁盘上留下痕迹。

  《InfoWorld》:你认为VMware的虚拟机管理程序与Xen和Hyper-V等竞争产品相比,安全性是更高、更低还是一样?

  Haletky:这个问题很难回答。虚拟机管理程序也许更安全,但关键在于虚拟机管理程序周围的部分是不是更安全。由于使用了VMsafe和VMDirectPath,VMware vSphere 4的受攻击面比VI3更大。不过对Xen和Hyper-V而言,它们有着不同的受攻击面,彼此类似,但与VMware的受攻击面不同。不过,关键在于直接或间接接触虚拟化主机的部分。

  《InfoWorld》:你很快就要出版有关虚拟化的一本书。这本书将着重探讨哪些内容?

  Haletky:这本书名叫《VMware vSphere和虚拟基础架构的安全性:保护ESX和虚拟化环境的安全》,关注直接或间接接触虚拟化主机的所有那些部分,以及组成虚拟化环境的那些组件。没错,该书会介绍如何加固ESX和ESXi,但另外还介绍了存储、操作、管理、虚拟桌面基础架构(VDI)和取证分析等方面。增加了安全方面的内容,包括虚拟化管理员常常没有考虑到、但绝对会影响虚拟化主机安全性的所有那些方面。

0
相关文章