不安全的虚拟化：谁控制了你的虚拟机

　　虚拟服务器发展10年后在企业中已经达到了一个转折点。物理服务器整合带来的资本费用节省已经呈平稳状态，早期因运行效率获得的收益随着过快的增长速度及越来越复杂的虚拟基础设施，其风险也越来越大。而且，商业至关重要的生产应用--下一代的虚拟化技术前沿，需要高水平的服务和严格的安全监督。这对IT界是一个进一步的挑战。

　　下一阶段的虚拟化技术是关于控制、注重实效、性能和灵活性。现在需要的是超越目前普遍库存管理工具的 "命令与控制"管理解决方案。为了在保护负载的同时虚拟化更快，下一代工具需要地址存取控制、政策执行、配置控制以及活动日志。

　　未来的十年将是虚拟化成熟的阶段，从一项可使用的技术到核心数据中心的基础设施层--在很多方面，成为一个新的操作系统，贯穿所有应用堆栈层，影响所有服务器及负载管理。

　　Taneja Group的研究结果显示美国大中型企业18% 至25%的应用负载是通过虚拟化完成，计划到2012年底虚拟化将上升到25%。

　　到目前为止，大多数的虚拟负载在2级或2级以下(低优先级和内部应用)，但是正清楚地向1级进发，商业至关重要的应用虚拟化。事实上,超过70%的企业调查报告说，企业正积极地部署虚拟化服务器，重要应用共享。

　　虚拟化过渡：失去控制

　　虚拟服务器的进一步扩散，伴随着破坏性数据中心技术，最终因其对管理和控制流程影响受到限制。

　　管理者依靠不成熟的监督工具和临时的控制流程面对一个虚拟主机以及在其管理之下的虚拟机的爆炸性的数量。库存管理更加困难，并且利用率因单个的或是超过规定的虚拟机遭到损失，这都是虚拟机扩展的标志。

　　同时从低优先级的负载到1级的关键任务负载的转变过程导致其他的因过渡工作出现的疏漏，降低了工作性效率。关键任务负载取决于一致性，强制执行的服务器配置，并经常依赖于企业、行业或政府法规的敏感数据。没有充分的、强制的安全控制，同关键负载虚拟率紧密联系的风险会继续上升;此外，因人为控制额外负载虚拟化风险也大大增加。

　　影响IT运营的虚拟化不仅仅是一个理论上的关注。根据Taneja Group关于大中型企业资源共享的研究，89%的数据管理员认为管理者因虚拟化管理工具和进程的限制丧失许多宝贵的时间。其中一半的人称至少10%的管理时间流失，20%的管理员认为降低了25%或更多的效率。

　　如今多数企业正达到这个过渡点，这给人们带来一个挑战--在安全和控制问题影响商业用户信任或严重侵蚀IT有效管理虚拟化能力前解决它们。身份危机：虚拟化如何改变数据中心

　　计划的第一步是认识虚拟基础设施安全的元素，在现有的企业安全的环境中，设计仍然适用。总体看来，所有现在关于身份识别数据、网络、系统和应用风险及漏洞的工具和进程应当继承并不断推进，包括访问控制、抗病毒、入侵检测、监测、防火墙等相关战略和技术。

　　此外，虚拟化平台本身也是一系列新型的安全资源，包括管理程序，虚拟主机和虚拟机，虚拟的网络适配器、开关和防火墙，虚拟存储阵列和磁盘等等。在许多情况下，虚拟化引人瞩目的特性也正是它难以控制的地方。

　　虚拟化模糊或者说是擦除了传统IT资源的定义和界限。例如，虚拟机已经不仅仅是服务器，也可以作为存储(收藏在磁盘上的文件集)。虚拟机可以封装敏感文件，因此它也是需要保护的"数据"。虚拟机也经常含有虚拟网络适配器及包含虚拟网关的管理程序。

　　如果服务器也能成为数据和(或)网络设备，并属于许多物理主机之一，那么传统的定义方式就不能称之为有用的了。由此一个IT虚拟资源的细致分类是必须的。

　　谁"拥有"这些新的虚拟资源、服务器、储存或网络小组?谁应该或者必须拥有存取入口，他们可以做什么?不同的角色是如何才能进入每一个资源类型?谁拥有数据保护、恢复和有效计划?

　　基于物理IT资源定义的传统的数据中心职责的分工，并不能充分描述基于虚拟基础设施的支持跨领域工作数据流的必要的访问入口要求或许可条件。　抽象到处创造复杂性

　　虚拟资源之间是经由并不存在于自然环境的抽象层互相移动和连接的。这些联系是动态的，通常比较短暂，管理员可以不再依赖IT栈层间的对应来监测活动或访问控制。可见，跨虚拟域在资源水平上同它在基础设施水平上一样，都在不断降低。

　　虚拟资源易于创建、部署和改装，这些都是促进虚拟资源被采纳的特性，但同时也是阻挡安全和控制计划的障碍。没有锁住这个环境，操作团队如何在执行配置控制的同时鼓励资源的灵活性呢?

　　总所周知，在IT运营中无法管理不能测度的因素。同样的，你无法测度看不见的东西。传统的安全策略集中在因素控制：将影响离散的服务器、网关、文件以及应用等活动可视化。因素是静态的，通常有物理地点。虚拟化改变了规则。现在这些因素在运行中的相互作用已经和它们的配置档案文件的身份同等重要了。一个文件只是一个文件,除非它也是一个虚拟机。换句话说，动态的虚拟基础设施将成为安全和实时控制最重要的因素。

　　控制：虚拟基础设施安全的要素

　　为虚拟化平台做优化需要在综合的安全和控制策略里包含四个必要的部分：访问控制、政策实施、配置控制和日志。优化就是在保持现有的安全设施的同时增加新的虚拟化相关的功能，提高自动化水平。　我们对虚拟化平台优化作出如下建议：

　　1 访问控制和用户角色：集中化合理化的存取方式，减少冗余和低效率;提供有效地分类以适应新型虚拟资源类型、用户角色及存取协议。

　　2 对象和安全政策：简化政策设计和改造过程;支持政策进口/出口;使原有的目录服务器和虚拟基建库存/拓扑结构及用户描述性数据达到平衡;通过标签提高移动/瞬态的虚拟资源的可视性。

　　3 配置控制：支持产业标准化和第三方的配置评估框架;通过角色和对象监控所有配置变化;通过持续的跟踪配置变化提高响应次数;减少自动修复的合规风险。

　　4 日志和政策执行：为快速检定法提供持续、固定、有间隔尺度的日志;支持用户特别日志;使校验活动日志和系统的日志工具达到最优平衡;通过实时的监督和警报减少合规风险。

　　这些改进将能够使虚拟数据中心达到物理基础设施操作运营准备执行的同一水平。

　　首先，重要的是要认识到对于成功的一级负载虚拟化来说，安全控制是必要而不是随意的。规则遵从和普遍存在并持续增长的，影响任何规模的企业，跨越所有行业(HIPAA, Sarbanes-Oxley, PCI DSS等等)。如果现在你的数据或进程还不符合内在规则的审阅，那么将来也必定需要遵从。因此,每家公司的业务焦点、安全技术和法规遵从管理知识在任何考量上都必须加重。

　　并且，我们需要理解虚拟平台厂商提供的安全性能的目的和局限。总的来说，他们是为了使第三方附加安全解决方案而不是取代他们。例如，VMware提供VMsafe技术进行深层次的检查和增强技术虚拟机的控制以支持第三方的入侵检测、抗病毒等相关的解决方案。VMware还有一个强化指南，为保障VM配置记录最佳做法。这些都提高了虚拟化平台的可视度和控制，但是都不是完整的安全解决方案。

　　综上所述，虚拟基础设施提供新的复杂性和机动性的挑战，不仅使安全计划复杂化，而且威胁到商业关键负载限额虚拟化。目前为止的虚拟化管理解决方案已经实现访问和配置控制活动的快速提取和整合的优先级。在我们看来，具有较高的虚拟化管理成熟度是必定的前进，使用新的管理工具强调控制，通过自动化实现效率优化。