虚拟管理的“命门”_中国投影网新闻

防护之道

　　创新性专业虚拟化安全设备厂商的关注点并未停留在虚拟化技术已成为新的攻击对象这一点上，相反，他们已开始在其安全解决方案中应用虚拟化技术，比如Reflex公司的VSA和Blue Lane公司的虚拟盾(VirtualShield)。尽管我们乐意将"设备"这个词专门用于形容带有三相插头的物体(指物理服务器)，但我们还是认识到自己在打一场不可能赢的战争：VMware已在全力推动一个概念--专为特定目的而开发或者经过预配置的"随机访问"的专业虚拟机，以满足特定的安全或管理需求，并且其他许多厂商也已开始趋之若鹜地进入这一新兴领域;尽管目前为止尚无大型厂商正式昭告天下，我们仍然可以预测，赛门铁克公司(Symantec)等传统安全厂商很快会携专业化产品大规模杀入这一市场。

　　但是，这对于IT部门而言是好事吗?

　　"我忍不住在想，如果有些厂商只是简简单单浏览了一下市场上的虚拟化产品，就说'嗨，我怎么才能让所有这些使用VMware产品的部门采购我的安全产品呢?'"西普雷生动地分析道，"用户或者消费者也肩负着一定的责任，那就是探讨其网络中真正的威胁是什么，然后自然便知道需要什么样的工具。"

　　尽管如此，没人会因为采购了某些设备从而防止自己的组织成为下一个TJX而被解雇。VMware公司那些脑筋灵活的高管们当然深谙此道，最近他们买下了Determina公司，后者销售的内存防火墙可以保护系统内存不致发生堆栈溢出。尽管这类产品可以保护的范围很窄，但却是至关重要的一环。对于某些应用来说，Determina内存防火墙在提升整体性能方面起到了恰到好处的推动作用。

　　此外，VMware也吸收了Determina的LiveShield技术。应用此技术，无需重启服务器即可于运行过程中，在内存中打补丁。当然，这对于VMware来说可谓轻车熟路，因为该技术与其自身的二进制仿真系统相近，后者在加载时会重写部分可执行代码。

　　尽管给运行中的操作系统或应用软件打补丁的想法听起来很动人，但这丝毫不能减轻打补丁之前对之进行测试的难度。通常，延缓了整个过程的并非服务器重启操作，而是测试环节。

　　这也正是Blue Lane公司补丁仿真产品(有物理设备版和针对VMware产品的虚拟设备版)的切入点。这类产品的原理是，捕获到达的攻击，并在入侵包接近服务器之前，切实起到补丁软件的作用，立即进行修复。尽管Blue Lane的反对者大有人在，但我们在美国佛罗里达现实世界实验室(Florida Real-World Labs)对虚拟盾进行的测试表明，该产品名副其实。而且，微软也对该物理设备进行了测试，并鉴于其完美无缺的互操作性，"签发了批准令"。

　　在虚拟世界，有了这三款产品，网络就可以固若金汤了。内存防火墙可防止内存溢出;而借助Blue Lane的技术，IT部门可腾出足够的时间对补丁进行完全测试;一旦测试完毕，即可用LiveShield在系统运行过程中完成打补丁这一环。

　　最后，我们希望虚拟机能在桌面系统中起到日益重要的作用，笔记本电脑和台式机从设计之初就支持管理员锁定的虚拟机分区，对所有运行区域进行持续不断的监测，删除用户安装的恶意软件，去除人为错误导致的安全隐患。

　　如果我们有什么建议给你的话，那就是提升安全意识。我们的读者调查问卷中的最后一个问题是开放性的，询问读者对于虚拟化安全还关注其他哪些问题，或者有什么意见。当然，不出所料，有些受访者对某些厂商颇有微辞，但在回答中不断出现的一句话则是："直到参与了这个调查，我才开始关心……"

　　如果知识就是力量，最好确保你已然是全副武装。