VMware JRE中的漏洞是否会妨碍虚拟化的实施

　　问：VMware公司最近发现了一些有关Java运行环境(JRE)的安全漏洞。难道这些漏洞暗示着还会出现更多的漏洞?这些漏洞会成为人们不实施虚拟化的一个理由吗?

　　答：VMware公司已报告了一些有关Java运行环境问题的漏洞，其中几个漏洞可被黑客用来攻击系统。在最近几个月里，其他主要的虚拟化厂商也已经发布了一些补丁。虽然虚拟化不是一项新技术，但直到最近它才得到广泛的采用。由于它在越来越多的配置中使用，各种安全漏洞现在也陆续被发现，这并不奇怪。此外，每当一项技术开始流行起来，它就会引起黑客们的兴趣，黑客会开始积极寻找那些可以被利用的漏洞。

　　一个被破坏的管理程序使得攻击者可以访问一个虚拟服务器上数以千计的台式机，这是一件非常可怕的事情。目前还出现了一些令人吃惊的攻击展示，教人如何逃出一个虚拟机操作系统，侵入本地机，从而“对本地机的操作系统大肆攻击”。Joanna Rutkowska的Blue Pill虚拟rootkit是“无法察觉的”，因为它安装在管理程序上，但这些虚拟机逃逸技术仍停留在实验室阶段，目前还没有看到严重虚拟机安全攻击的报道。在这一点上，这些攻击都是理论上的，如果风险评估认可了实施虚拟化的决定，那么即使未来可能会面临一些安全威胁，也不能阻止公司去实施虚拟化。

　　我可以肯定的是，我们将看到更多的虚拟化漏洞被发现，这就要求我们采用一种有着标准安全强化机制的技术。如果你决定继续实施虚拟化，请确保您的IT团队接受了足够的培训，以便能应对物理和虚拟环境的不同。仅仅使用现有的、保护物理服务器的安全政策和措施去保护虚拟服务器是不够的。例如，当IP地址的改变比虚拟机的创建、弃用或迁移更为频繁时，安全设备和政策需要消除对IP地址的依赖性。

　　在虚拟化的主机内还将有一些网络可见性的损失。传统的网络安全工具不一定能观测到一个单主机中多个虚拟机彼此之间的通信流量，这使得对不良信息流量的监测更加困难。改变管理程序也需要进行一次全面回顾，从而防止“虚拟机散乱现象”(VM sprawl)，如果真的发生这种现象，虚拟化实例会突然弹出但没有人能够对它们进行持续跟踪。我强烈推荐你们去实施分割(以避免多个虚拟机产生混乱，这些虚拟机运行在一个主机的多个不同安全态势和要求的区域上)，并把高级权限的虚拟机隔离在它们自己的网段上。同时，你还需要监测对虚拟化资源的访问和所有的管理活动，这样在遇到任何重大的事件时就能够发出警报信息。

　　毫无疑问，虚拟化有许多好处，它可降低因购买软件所有权而产生的总成本，但是你必须跟踪虚拟化威胁的最新发展，并了解为了保护虚拟化技术而进行的研究和创新。 VMware公司的技术资源中心是一个学习虚拟化知识的好地方，因为它有很多关于如何保护虚拟基础设施的指导。