解析虚拟服务器10大安全隐患

　　2. 将你现有的流程应用到虚拟机上

　　虚拟化最大的魅力或许就在于它的速度：你可以在几分钟内就创建一个虚拟机，并在一天之内就为你的商业部门提供新的动力。这种快速推进方式常能使人乐此不彼。但在此之前你一定要慎重，要让虚拟化成为你现有IT流程的一部分，并且将预防安全问题放在第一位，IDC的Elliott说道。你会逐渐发现更多令人头疼的管理问题。

　　“流程很重要，”他说。 “考虑虚拟化不仅要站在技术的角度，而且还要从流程出发。” “比方说，如果你是使用ITIL来引导你的IT流程，那么你要事先考虑如何将虚拟化融入到那个流程框架里，”Elliott建议说。如果你是使用其它IT最佳实践，也要考虑到融合的问题。

　　Hoff给我们举了个例子： “如果你有一个服务器强化文件(指新服务器的安全和安装标准)，你就应当在你的虚拟服务器上依样画瓢”。

　　在Arch Coal公司，Abbene的IT团队也是这么做的： “我们采用最佳实践来确保物理服务器的安全，并将此照搬到每一台虚拟机上，”Abbene说道。通过像强化操作系统，在每一台虚拟机上运行防护软件，确保补丁管理，保持虚拟箱符合同样被应用在物理服务器上的流程这样的步骤，他说。

　　3. 从你现有的安全工具入手，但要保持谨慎

　　你是否需要一套全新的安全与管理工具来保护你的虚拟化环境? 不。从你现有的安全工具入手，将它们运用到虚拟环境中会更务实，Hoff说道。但你要给厂商一点压力，告诉他们该如何密切留意虚拟化的风险，以及如何与其它产品保持集成。

　　“在应用物理工具到虚拟化环境的安全问题上一直都有一种错误的观点，”IDC的Elliott说道。 “市场上有些安全工具早就加入了虚拟化的概念。这意味着你必须要给厂商更多的压力”。

　　“不要以为平台工具(比如VMware工具)对你来说已经足够，”Elliott说道。 “你要把目光瞄向遗留管理厂商。给那些遗留厂商一点压力，让他们去多做一些，并为他们提供指引。”

　　Mazda North America的CIO Jim DiMarzio就在他的企业中采用了这套战略。如同Arch Coal公司一样，Mazda NA在其虚拟服务器的核心上运行了VMware的ESX Server 3软件，并在最近增加了虚拟机的数量。 DiMarzio表示他希望在2008年3月前拥有150架虚拟机。他使用虚拟服务器来作为活动目录服务器、打印服务器、CRM应用服务器和网站服务器 – 最后这项是一个关键任务应用，因为Mazda使用这些网络应用来向其所有的经销商提供信息，DiMarzio说道。

　　为了保障这些虚拟机的安全，DiMarzio决定继续使用他现有的防火墙和安全产品，包括IBM的Tivoli Access Manager, Cisco firewall tools，以及Symantec's IDS monitoring tools。

　　在Arch Coal公司，Abbene与他的团队都在使用他们现有的安全工具，还有BlueLane 和 Reflex Security的调查工具。 “那些安全与变革厂商都在努力迎头赶上，”Abbene说道。

　　比方说，BlueLane的VirtualShield就宣称它甚至能在某些补丁没有及时更新的情况下保护虚拟机的安全，自动扫描潜在的问题，升级问题区域，并保护它远离远程威胁的侵害。

　　Reflex Security的Virtual Security Appliance (VSA)是少数需要引起关注的产品之一，它对虚拟入侵检测系统(IDS)尤其有用，在虚拟机所在的物理箱中为其添加了一层安全策略。这可以防止Hypervisor免遭攻击，Abbene的团队表示。

　　Abbene表示他的IT团队也讨论了添加第二个内部防火墙来进一步隔离虚拟机的事宜，但他担心这会对虚拟应用的使用造成影响。

　　IDC的Elliott表示还有一些其它的虚拟化安全工具值得IT去关注：比如PlateSpin就是一款著名的从物理到虚拟的工作负荷转换和管理工具;Vizioncore是一款文件层次备份工具;Akorri是一款绩效管理和工作负荷平衡工具;而最近被Dell收购的储存厂商EqualLogic以其 iSCSI 储存区域网络(SAN)产品来优化虚拟化而闻名。

　　4. 了解内嵌式Hypervisor的价值

　　或许你早已听说过“内嵌式”Hypervisor，这是IT管理人必须了解的词汇。服务器上的Hypervisor层是虚拟机的根本。 VMware近期发布的ESX Server 3i就是从安全角度出发而进行瘦身设计(32MB)的不包含OS的应用。 (没有OS也就意味着没有OS维护上的麻烦。)

　　像DELL和HP等硬件厂商近期都表示他们会在服务器出货时预装这种内嵌式VMwareHypervisor。基本看来，内嵌式Hypervisor因为相对较小，所以更安全，IDC的Elliot表示。 “代码库越大，受攻击的可能性也越大，这由你选择的架构而定。”

　　内嵌式Hypervisor将会成为未来的一大趋势，Elliott表示，越来越多的服务器厂商会使用它们，有些厂商以前不使用的也会使用它们。 Phoenix Technologies是一家BIOS软件领域的龙头厂商，近期它宣布加入Hypervisor的阵营，第一款产品将命名为 HyperCore：这是一款针对桌面型和笔记本电脑的Hypervisor，它能让用户在开机后就能使用网页浏览器和email客户端，而不需等到启动windows。 (HyperCore将会被嵌入到电脑的BIOS中。)