虚拟机环境的安全隐患

　　新的应用者把虚拟化看作是企业计算的圣杯。虚拟化能够实现单独的服务器和数据库的整合以提供更经济的运营。用一台虚拟机运行整合的计算机还能够消除保持待机服务器和数据处理机器运行浪费的电源。

　　然而，一个虚拟的计算环境还能够设置意想不到的安全障碍。例如，虚拟化有时候会绕过依赖硬连接发挥作用的网络安全标准。

　　另一个安全漏洞是某些虚拟机能够“隐藏起来”避免安全部门发现它们，因为这些虚拟机并不是一直开机的。因此，安全网络扫描经常会错过不安全的虚拟服务器，因为这些虚拟服务器在扫描的时候没必须要启动和运行才能够被发现。

　　虚拟环境的移动性也能造成安全的难题。虚拟机能够“走开”：由于它们的容器能够下载到台式电脑并且放在存储棒上，移动虚拟机就可以随着存储棒离开物理的安全环境。

　　管理的主机服务公司BlackMesh的首席执行官Eric Mandel说，虚拟化能够实施。系统能够像在本地环境中运行一样安全。使用虚拟化的背后的思路是在一个物理机器上创建多个系统镜像。同样的安全概念也适用于虚拟镜像，就像适用于本地系统一样，只是这个主机系统必须也要锁死。在任何环境中都必须要考虑安全风险问题。

　　真正的隔离?

　　在理论上，在虚拟环境中运行的计算机进程是与在同一个物理硬件上运行的其它虚拟机隔离的。每一个虚拟机实例都能够存储在一个物理硬盘上，关机和携带离开以便继续隔离和保证安全。但是，在实践上，安全问题的担心并不总是那样简单。

　　一个虚拟机是由这个主机系统定义的。在每一台物理服务器上只有一个主机系统。但是，同一个主机系统能够创建许多虚拟机。

　　一旦定义了一个虚拟机，这个虚拟机就能够按照自己的实例运行。它也许能够访问允许其它虚拟服务机访问的资源，也许不能访问这些资源，如虚拟硬盘、CD/DVD光驱、磁带等。这意味着每一个虚拟机可以是与同一个物理硬件上的其它虚拟机完全独立的。然而，这个虚拟环境经过设置还可以让虚拟机共享这些同样的资源。

　　Mandel说，在这种情况下，一个虚拟机实例能够感染共享的数据，进而影响到正在共享同样的资源的虚拟机。这个主机系统是与这个问题隔离的，因为它有只有它才能访问的独立的硬盘。

　　Mandel警告说，最常见的、现实世界中的托管的多个虚拟服务器对一台物理服务器的影响是虚拟实例之间争夺系统资源。多个虚拟服务器能够在一台物理服务器上过分使用的资源通常包括硬盘输入/输出、内存、处理器等。

　　不能让人信服

　　并非所有的对虚拟化技术的宣传都认为虚拟化的应用会出现安全问题。虚拟软件厂商正在研制一些工具防止出现安全问题。

　　Untangle公司首席技术官Dirk Morris说，我们听说过这些担心的问题。不存在任何真正的虚拟安全漏洞。与好处相比，虚拟机的风险是很小的。他的公司提供开源软件网络网关设备。

　　Morris补充说，Untangle已经对自己的数据中心进行了虚拟化，并且一直没有遇到问题。他的公司在一个虚拟机器上运行了20个不同的服务器。他说，虚拟化确实改变了备份的事情。虚拟化可能会带来安全问题。但是，我们到目前为止还没有遇到。

　　存在意见分歧

　　然而，对于在与其它计算设备一起使用时不安全的虚拟化也许是什么样子还没有结论。一般来说，正是虚拟化厂商宣传不存在安全问题。Secure Computing公司负责全球技术战略额副总裁Scott Montgomery说，虚拟化没有向安全环境中增加任何东西。它是节省成本的一种强大工具。但是，虚拟化不是万灵药。它不能解决你的全部问题。虚拟机不能降低安全。它只是让安全情况与原来不同。VMware公司的人说，虚拟化会增加安全。我不会走那么远。

　　Montgomery举例说，如果一个虚拟机一个月都没有连接到网络。当它重新连接到网络的时候，所有的安全措施都过时了。这是虚拟化的一个具体问题。你如何修复过时的病毒特征?他指出，一些厂商有做这个事情的工具。

　　其它担心的问题

　　虚拟化安全是这个行业中争论比较多的问题。有支持的也有反对的。

　　安全公司Core Security负责产品管理的副总裁Fred Pinkett说，一个防火墙是在硬件设备上设置的。现在，一个虚拟机环境中的所有的系统能够在防火墙外面进行通讯。产品现在能够控制虚拟机内部的这种情况。增加另一个层次和新的边界的任何东西都会产生新的安全问题。

　　人们也许不常听说涉及到利用虚拟化安全漏洞的引人注目的数据突破事件。但是，这并不意味着不存在这种可能性。如果好人能够发现这种安全漏洞，坏蛋也照样会发现这种漏洞。

　　虚拟环境与物理环境风险相同

　　Montgomery谨慎地指出，让我感到紧张的是虚拟化能够让你把许多数据放在一个物理平台上。这让虚拟化访问所有的平台。同一个地方的数据库和网络服务器可能存在风险。很少有厂商讨论这个问题。

　　访问服务器应用程序和数据能够更容易。如果一个服务器被攻破，另一个也面临风险，从而出现交叉的问题。

　　安全厂商坚持认为要特别对待在一个网络上的虚拟机环境中隐藏的漏洞。虚拟机软件厂商也许没有提供这些解决方案，需要第三方参与。

　　Stonesoft公司高级解决方案架构师Kim Lassila说，我认为人们要理解的关键问题是对于虚拟平台和物理平台来说，威胁都是一样的。不使用虚拟安全解决方案，要保护虚拟环境是很困难的。

　　他不补充说，有他的想法的人都不会不使用防火墙就把物理的企业网络连接到互联网。对于虚拟环境也是如此。

　　Lassila说，服务器、台式电脑和任何其它工作量在物理平台上与在虚拟平台上的风险是一样的。这是因为操作系统和软件应用程序是一样的。

　　黑客的诱惑

　　Lassila担心的另一个问题是虚拟化有可能为黑客留下一个可利用的后门。有关虚拟化的两个因素使这个问题成为令人担心的问题。

　　一个因素是普遍存在的误解，认为虚拟化平台能够神奇地使虚拟化的服务器、台式电脑或者网络更安全。这样思考问题，管理员就不会认识到需要担心安全问题。

　　第二个因素是虚拟网络是无形的。因此，管理员不能物理地把一个网络分析器连接到虚拟网络以便观察通讯状况。

　　Lassila说，如果没有专门为虚拟化环境设计的安全解决方案的帮助，就很难监视、监督和控制虚拟网络中的通讯。