虚拟管理的“命门”_中国投影网新闻

　　TPM的目标是提供入侵检测与预防;比如说，采用英特尔的技术，即可提供主机平台上可信的虚拟机监测记录。在任何软件加载之前，TPM握有生杀大权，并在启动结果中显示使用者信心(Owner Confidence)，同时在每个系统加载时对之进行认证。简而言之，只有在虚拟机管理程序处于已知的、可信的状态时，TPM才会将平台的控制权转交给它。

　　这些概念听起来有些耳熟吧?在Vista的高级版本中，微软采用的是基于芯片组的TPM，凭之提供BitLocker功能，以对本地硬盘上的数据进行加密。英特尔和AMD的未来硬件平台也计划采用TPM建立与附加外设的可信路径，且凭此建立并存储数据路径的硬件层加密密钥。有了这个加密过程，再加上对虚拟化组件的确认过程，要想拦截TPM或者虚拟机管理程序的控制权变得难上加难，而IT部门也因此更有信心确保操作系统与虚拟机管理程序之间的通信往来毫发无损。

　　潜在风险

　　就像一个人开车时不系安全带，时刻担心会被闪电击中一般，跟很可能会"狠咬你一口"的虚拟化沾上边儿，要冒些险，那也是再正常不过的事。举例来说，胖服务器和由虚拟机管理程序驱动的服务器，其客户操作系统的安全都有可能面临跟传统服务器一样的威胁。未打补丁的或没有受到良好保护的公共服务器总是会处于危险之中，不管它是台独立运行的机器，还是大型主机平台上的诸多虚拟机之一。

　　尽管如此，组织暴露于风险之中的程度与其对虚拟化和服务器整合的依赖程度呈正比，亦即每个平台上分布的虚拟机越多，未检测到的Intrahost问题扩散的风险也越大。事实上，传统的外部安全设施也都无法检测Intrahost威胁。外部防火墙和其他安全工具无法检查或控制Intrahost的交通，因为在这些通信中，信息包从不给主机以机会对有线基础设施进行深入检测。还有些问题虽在现实世界得到普遍关切，而在复杂的主机托管环境中却沦为"阳光照不到的角落"。这些问题包括：外来的或可疑的Intrahost干扰伪装成合法通信，那意味着端口检测、病毒行为、或者其他恶意软件;直接(被盯上的)或偶然的拒绝服务攻击，这些攻击由于CPU周期、输入/输出资源、或者虚拟化网络带宽等问题，会对其他客户虚拟机造成影响。

　　"单纯从操作的角度看，'将所有的鸡蛋放在同一个蓝子里'，风险会成倍增长，这与其说与不断增长的威胁数量有关，不如说是因为IT无能。" Neohapsis的西普雷表示，同时他还补充说，这同早期存储区域网络(SAN)时代，IT部门面临的问题如出一辙。"多数组织可以通过在设计时加大容量、迅速实现虚拟服务器的迁移、以及不断追加补丁等做法，管理这类风险。"最后一条怎么反复强调也不为过。

　　"即使我认为VMware在减少攻击面方面干得漂亮，ESX/VI3仍然只是个源于Linux的操作系统，也正基于此，才需要给它打补丁。" 西普雷表示，"问题在于，给ESX服务器打补丁这件事本身，更加危险，对系统构成的侵犯也更深入，因为你停掉的不只是一个操作系统，同时停止运行的还有它管理的所有操作系统。"

　　值得庆幸的是，迄今为止出现的VMware产品的关键补丁少之又少。

　　在虚拟世界中求生存

　　现在，所有人都在视目以待，静候危及虚拟机管理程序或者虚拟机监视器安全的首个攻击的产生。要确保你的网络没有成为众矢之的，就得对主机运营情况进行密切监测，以将攻击面降到最低。在虚拟机管理程序或更高一层中找出第三方设备驱动程序的位置，以改善其性能，在降低安全风险的同时还要能承受轻微打击。

　　在主机平台和客户操作系统上关闭不必要的仿真设备、无关的特性和用不到的服务。记住：虚拟机也是机器。尽管这点勿庸置疑，但面对虚拟机，IT部门仍需要拿出对待传统服务器的勤奋与关切，包括坚持安全策略和指导方针在内。在我们的调查中，有36%的受访者承认，他们尚未部署任何IT安全或者保护计划;还有23%的人表示，其安全政策正在制定之中。由于有超过70%的受访者已经部署了至少一个主机平台，因此很明显，未打补丁或者未受保护的虚拟化服务器迟早会成为攻击对象。

　　此外，还要确保对安全设置、许可、以及环境设置进行恰如其分的配置，以使虚拟机能够与新主机保持一致。尽管环境灵活性是VMware ESX等企业级产品的核心优势，但未经详细筹划即匆忙转移虚拟机的做法势必会引火烧身。

　　"在减少被攻击面和整体暴露范围方面，我发现不少组织会将VMware管理工具从网络的其余部分中移出，并限定哪些人以及哪些程序拥有对此软件的访问权限。"西普雷分析道："显而易见，在数据中心内建立防火墙是大势所趋，但这个结果并非单纯是由VMware驱动的。同时，也有些更富进取心的IT团队，已开始思考在网络分割方面推行'最低特权'模式的概念，而且组织可以通过严格限制对VMware管理基础设施的访问权限，降低风险预测。"

　　此外，西普雷还强调说，IT部门绝不能在需要强化的网络区域部署虚拟化主机，比如，允许ESX软件将客户虚拟机移入或移出隔离区。

检测。还有些问题虽在现实世界得到普遍关切，而在复杂的主机托管环境中却沦为"阳光照不到的角落"。这些问题包括：外来的或可疑的Intrahost干扰伪装成合法通信，那意味着端口检测、病毒行为、或者其他恶意软件;直接(被盯上的)或偶然的拒绝服务攻击，这些攻击由于CPU周期、输入/输出资源、或者虚拟化网络带宽等问题，会对其他客户虚拟机造成影响。

　　"单纯从操作的角度看，'将所有的鸡蛋放在同一个蓝子里'，风险会成倍增长，这与其说与不断增长的威胁数量有关，不如说是因为IT无能。" Neohapsis的西普雷表示，同时他还补充说，这同早期存储区域网络(SAN)时代，IT部门面临的问题如出一辙。"多数组织可以通过在设计时加大容量、迅速实现虚拟服务器的迁移、以及不断追加补丁等做法，管理这类风险。"最后一条怎么反复强调也不为过。

　　"即使我认为VMware在减少攻击面方面干得漂亮，ESX/VI3仍然只是个源于Linux的操作系统，也正基于此，才需要给它打补丁。" 西普雷表示，"问题在于，给ESX服务器打补丁这件事本身，更加危险，对系统构成的侵犯也更深入，因为你停掉的不只是一个操作系统，同时停止运行的还有它管理的所有操作系统。"

　　值得庆幸的是，迄今为止出现的VMware产品的关键补丁少之又少。

　　在虚拟世界中求生存

　　现在，所有人都在视目以待，静候危及虚拟机管理程序或者虚拟机监视器安全的首个攻击的产生。要确保你的网络没有成为众矢之的，就得对主机运营情况进行密切监测，以将攻击面降到最低。在虚拟机管理程序或更高一层中找出第三方设备驱动程序的位置，以改善其性能，在降低安全风险的同时还要能承受轻微打击。

　　在主机平台和客户操作系统上关闭不必要的仿真设备、无关的特性和用不到的服务。记住：虚拟机也是机器。尽管这点勿庸置疑，但面对虚拟机，IT部门仍需要拿出对待传统服务器的勤奋与关切，包括坚持安全策略和指导方针在内。在我们的调查中，有36%的受访者承认，他们尚未部署任何IT安全或者保护计划;还有23%的人表示，其安全政策正在制定之中。由于有超过70%的受访者已经部署了至少一个主机平台，因此很明显，未打补丁或者未受保护的虚拟化服务器迟早会成为攻击对象。

　　此外，还要确保对安全设置、许可、以及环境设置进行恰如其分的配置，以使虚拟机能够与新主机保持一致。尽管环境灵活性是VMware ESX等企业级产品的核心优势，但未经详细筹划即匆忙转移虚拟机的做法势必会引火烧身。

　　"在减少被攻击面和整体暴露范围方面，我发现不少组织会将VMware管理工具从网络的其余部分中移出，并限定哪些人以及哪些程序拥有对此软件的访问权限。"西普雷分析道："显而易见，在数据中心内建立防火墙是大势所趋，但这个结果并非单纯是由VMware驱动的。同时，也有些更富进取心的IT团队，已开始思考在网络分割方面推行'最低特权'模式的概念，而且组织可以通过严格限制对VMware管理基础设施的访问权限，降低风险预测。"

　　此外，西普雷还强调说，IT部门绝不能在需要强化的网络区域部署虚拟化主机，比如，允许ESX软件将客户虚拟机移入或移出隔离区。

检测。还有些问题虽在现实世界得到普遍关切，而在复杂的主机托管环境中却沦为"阳光照不到的角落"。这些问题包括：外来的或可疑的Intrahost干扰伪装成合法通信，那意味着端口检测、病毒行为、或者其他恶意软件;直接(被盯上的)或偶然的拒绝服务攻击，这些攻击由于CPU周期、输入/输出资源、或者虚拟化网络带宽等问题，会对其他客户虚拟机造成影响。

　　"单纯从操作的角度看，'将所有的鸡蛋放在同一个蓝子里'，风险会成倍增长，这与其说与不断增长的威胁数量有关，不如说是因为IT无能。" Neohapsis的西普雷表示，同时他还补充说，这同早期存储区域网络(SAN)时代，IT部门面临的问题如出一辙。"多数组织可以通过在设计时加大容量、迅速实现虚拟服务器的迁移、以及不断追加补丁等做法，管理这类风险。"最后一条怎么反复强调也不为过。

　　"即使我认为VMware在减少攻击面方面干得漂亮，ESX/VI3仍然只是个源于Linux的操作系统，也正基于此，才需要给它打补丁。" 西普雷表示，"问题在于，给ESX服务器打补丁这件事本身，更加危险，对系统构成的侵犯也更深入，因为你停掉的不只是一个操作系统，同时停止运行的还有它管理的所有操作系统。"

　　值得庆幸的是，迄今为止出现的VMware产品的关键补丁少之又少。

　　在虚拟世界中求生存

　　现在，所有人都在视目以待，静候危及虚拟机管理程序或者虚拟机监视器安全的首个攻击的产生。要确保你的网络没有成为众矢之的，就得对主机运营情况进行密切监测，以将攻击面降到最低。在虚拟机管理程序或更高一层中找出第三方设备驱动程序的位置，以改善其性能，在降低安全风险的同时还要能承受轻微打击。

　　在主机平台和客户操作系统上关闭不必要的仿真设备、无关的特性和用不到的服务。记住：虚拟机也是机器。尽管这点勿庸置疑，但面对虚拟机，IT部门仍需要拿出对待传统服务器的勤奋与关切，包括坚持安全策略和指导方针在内。在我们的调查中，有36%的受访者承认，他们尚未部署任何IT安全或者保护计划;还有23%的人表示，其安全政策正在制定之中。由于有超过70%的受访者已经部署了至少一个主机平台，因此很明显，未打补丁或者未受保护的虚拟化服务器迟早会成为攻击对象。

　　此外，还要确保对安全设置、许可、以及环境设置进行恰如其分的配置，以使虚拟机能够与新主机保持一致。尽管环境灵活性是VMware ESX等企业级产品的核心优势，但未经详细筹划即匆忙转移虚拟机的做法势必会引火烧身。

　　"在减少被攻击面和整体暴露范围方面，我发现不少组织会将VMware管理工具从网络的其余部分中移出，并限定哪些人以及哪些程序拥有对此软件的访问权限。"西普雷分析道："显而易见，在数据中心内建立防火墙是大势所趋，但这个结果并非单纯是由VMware驱动的。同时，也有些更富进取心的IT团队，已开始思考在网络分割方面推行'最低特权'模式的概念，而且组织可以通过严格限制对VMware管理基础设施的访问权限，降低风险预测。"

　　此外，西普雷还强调说，IT部门绝不能在需要强化的网络区域部署虚拟化主机，比如，允许ESX软件将客户虚拟机移入或移出隔离区。