涉密網(wǎng)絡(luò)內(nèi)虛擬化技術(shù)的應(yīng)用與研究

楊同慶 黨 政

（北方通用電子集團(tuán)有限公司 陜西 710100）

0 引言

近年來(lái)，隨著虛擬化技術(shù)越來(lái)越成熟，其對(duì)提高資源利用率、保證業(yè)務(wù)連續(xù)性和靈活的移植性等特點(diǎn)，被越來(lái)越廣泛的應(yīng)用到各個(gè)領(lǐng)域，已經(jīng)成為信息化發(fā)展的必然趨勢(shì)，涉密網(wǎng)絡(luò)將不可避免地受到影響。

1 虛擬化技術(shù)的優(yōu)勢(shì)

虛擬化技術(shù)的本質(zhì)是增加一個(gè)虛擬化層，通過(guò)虛擬化層將下層資源的抽象成另一種形式，并提供給上層使用，虛擬化技術(shù)改變了傳統(tǒng)的 IT基礎(chǔ)架構(gòu)。通過(guò)虛擬化技術(shù)將后臺(tái)的服務(wù)器、存儲(chǔ)等資源虛擬成一個(gè)個(gè)虛擬計(jì)算機(jī)交付給終端用戶使用，原來(lái)在用戶個(gè)人計(jì)算機(jī)上運(yùn)行的應(yīng)用軟件和操作系統(tǒng)，都將轉(zhuǎn)移到后臺(tái)虛擬機(jī)上運(yùn)行。

1.1 提高了系統(tǒng)運(yùn)行效率，節(jié)省了成本

首先，服務(wù)器虛擬化使為機(jī)房的空間節(jié)省了，減少了能耗，節(jié)約了資源。傳統(tǒng)的網(wǎng)絡(luò)部署一個(gè)新的應(yīng)用系統(tǒng)，為了避免應(yīng)用系統(tǒng)之間沖突，通常就必須增加一臺(tái)服務(wù)器，這樣一來(lái)將隨著業(yè)務(wù)應(yīng)用的增加，服務(wù)器變得越來(lái)越多。由于這些服務(wù)器運(yùn)行的應(yīng)用程序比較單一，一般情況下資源利用率只有5%～15%。大量的資源處于閑置狀態(tài)，致使資源浪費(fèi)。如果利用服務(wù)器虛擬化技術(shù)，就能夠把一臺(tái)物理服務(wù)器劃分為若干個(gè)虛擬服務(wù)器，每個(gè)應(yīng)用系統(tǒng)單獨(dú)運(yùn)在一臺(tái)虛擬服務(wù)器上。這樣，一臺(tái)物理服務(wù)器就能夠運(yùn)行多個(gè)應(yīng)用系統(tǒng)，服務(wù)器的利用率就得到了很大的提高。同時(shí)虛擬化服務(wù)器能夠動(dòng)態(tài)的進(jìn)行資源調(diào)度，當(dāng)某臺(tái)服務(wù)器負(fù)載過(guò)重時(shí)，系統(tǒng)可以借用其他虛擬服務(wù)器的閑置資源，重新分配任務(wù)，當(dāng)運(yùn)行峰值過(guò)后，就會(huì)將資源“物歸原主”。有實(shí)驗(yàn)證明，利用虛擬化技術(shù)后，服務(wù)器硬件資源的平均利用率能達(dá)到60%～80%。

其次，應(yīng)用程序交付虛擬化技術(shù)能夠大大的節(jié)省應(yīng)用軟件費(fèi)用，傳統(tǒng)模式下，必須將應(yīng)用軟件安裝在用戶計(jì)算機(jī)上中才能使用，應(yīng)用軟件的費(fèi)用是按照安裝的用戶數(shù)量來(lái)計(jì)算的。然而一般工程類(lèi)設(shè)計(jì)軟件和仿真軟件的價(jià)格十分昂貴。通過(guò)虛擬化的應(yīng)用程序交付技術(shù)，把類(lèi)似于UG、ANSYS等大型的仿真設(shè)計(jì)軟件部署在服務(wù)器上，通過(guò)應(yīng)用交付的方式推送給用戶終端，所有的用戶終端都可以通過(guò)網(wǎng)絡(luò)直接使用服務(wù)器上的應(yīng)用軟件，這樣，實(shí)際的軟件LECENCE數(shù)量是按照服務(wù)器的安裝數(shù)量來(lái)計(jì)算的，軟件成本得到了大大降低。

另外，一個(gè)虛擬化終端桌面的部署和撤銷(xiāo)都十分的方便，這樣就可以節(jié)省一些臨時(shí)使用計(jì)算機(jī)的費(fèi)用，比如外包服務(wù)、協(xié)同的資料處理、臨時(shí)集中辦公等，而通過(guò)桌面虛擬化，可以為這些業(yè)務(wù)快速部署的相應(yīng)的虛擬計(jì)算機(jī)，待工作結(jié)束后，只需撤銷(xiāo)相應(yīng)的虛擬機(jī)即可，無(wú)需為其再單獨(dú)購(gòu)買(mǎi)計(jì)算機(jī)終端。

1.2 簡(jiǎn)化了網(wǎng)絡(luò)管理，提高了效率

傳統(tǒng)模式下，部署的應(yīng)用需要多臺(tái)服務(wù)器和終端用戶時(shí)，需要分別為它們安裝各類(lèi)操作系統(tǒng)和應(yīng)用軟件，費(fèi)時(shí)費(fèi)力。通過(guò)虛擬化技術(shù)，只需部署一個(gè)封裝好操作系統(tǒng)和應(yīng)用程序的虛擬機(jī)，大大減少了時(shí)間和部署的復(fù)雜性。同時(shí)，虛擬機(jī)可以在不同的服務(wù)器上實(shí)時(shí)遷移，保證業(yè)務(wù)應(yīng)用的連續(xù)性，極大地方便了管理和維護(hù)。

其次，采用虛擬桌面技術(shù)，可以將所有的終端計(jì)算機(jī)管理“回收”到數(shù)據(jù)中心，管理人員足不出戶即可對(duì)虛擬桌面和相關(guān)的應(yīng)用系統(tǒng)進(jìn)行管理和維護(hù)，管理人員只需為虛擬桌面鏡像打一次補(bǔ)丁，那么所有終端的桌面系統(tǒng)也就全部更新了。這就使得管理人員對(duì)用戶的現(xiàn)場(chǎng)支持工作大幅減少，管理效率大大提高。同時(shí)，由于桌面虛擬化的平臺(tái)無(wú)關(guān)性，無(wú)論你的物理位置在哪里，只要你能夠上網(wǎng)，登錄你的賬號(hào)就可以訪問(wèn)你的桌面和應(yīng)用，從而實(shí)現(xiàn)“讓?xiě)?yīng)用如影隨行”。

1.3 虛擬化技術(shù)為涉密網(wǎng)絡(luò)的保密管理提供了新的思路

對(duì)于涉密網(wǎng)絡(luò)，除了安全保密技術(shù)防護(hù)手段外，管理制度和安全策略的有效落實(shí)更加重要。但是，由于用戶終端計(jì)算機(jī)分布分散、各種安全保密軟件使得網(wǎng)絡(luò)環(huán)境十分復(fù)雜、終端計(jì)算機(jī)多而管理人員不夠等等問(wèn)題，使得管理制度和安全策略的有效落實(shí)和監(jiān)管變得十分困難。同時(shí)，由于個(gè)人終端計(jì)算機(jī)上大量的存儲(chǔ)了涉密文件，如果發(fā)生違規(guī)操作（如違規(guī)外聯(lián)、移動(dòng)存儲(chǔ)介質(zhì)交叉使用、輸入輸出監(jiān)管不嚴(yán)）、操作系統(tǒng)故障、安全策略失靈、監(jiān)督不到位、甚至終端計(jì)算機(jī)丟失或被盜等問(wèn)題，都會(huì)發(fā)生失泄密事件。而且實(shí)踐證明現(xiàn)有的終端安全防護(hù)手段并不是牢不可破，系統(tǒng)固有的端口、漏洞和服務(wù)等總有辦法打開(kāi)并被利用。

利用虛擬化技術(shù)，可以將資源集中，用服務(wù)器虛擬出來(lái)的計(jì)算機(jī)來(lái)代替實(shí)體計(jì)算機(jī)，為統(tǒng)一規(guī)范高效的安全保密管理提供了平臺(tái)。在服務(wù)器上就可以對(duì)所有用戶終端桌面進(jìn)行管理、監(jiān)控、安全策略配置，可以嚴(yán)格控制終端計(jì)算機(jī)的使用權(quán)限，不允許用戶私自進(jìn)行軟件安裝和數(shù)據(jù)導(dǎo)入導(dǎo)出。終端計(jì)算機(jī)本地?zé)o數(shù)據(jù)，即使終端計(jì)算機(jī)被盜或丟失也不會(huì)發(fā)生泄密。

2 虛擬化技術(shù)應(yīng)用帶來(lái)的問(wèn)題和風(fēng)險(xiǎn)

2.1 資源高度集中產(chǎn)生的風(fēng)險(xiǎn)

新的優(yōu)勢(shì)恰恰是新的風(fēng)險(xiǎn)，虛擬化使數(shù)據(jù)和軟硬件資源全部集中到了數(shù)據(jù)中心，也使得原本分散在用戶終端計(jì)算機(jī)的安全保密風(fēng)險(xiǎn)集中到了中心機(jī)房，這就要求服務(wù)器的防護(hù)措施、中心機(jī)房的供電、防火、防盜、保密等都必須提到一個(gè)相當(dāng)高的水平。如果服務(wù)器發(fā)生違規(guī)操作或被黑客攻破，大量數(shù)據(jù)可能會(huì)被瞬間被竊??；如果存儲(chǔ)設(shè)備發(fā)生損壞，所有的數(shù)據(jù)就會(huì)全部丟失；如果發(fā)生網(wǎng)絡(luò)故障，所有和計(jì)算機(jī)相關(guān)的工作將全部癱瘓。同時(shí)，少數(shù)管理人員掌握了虛擬機(jī)的所有控制權(quán)，如果管理人員違規(guī)操作或忠誠(chéng)出現(xiàn)問(wèn)題，后果不堪設(shè)想。

2.2 虛擬化技術(shù)使網(wǎng)絡(luò)邊界變得模糊

在傳統(tǒng)的物理網(wǎng)絡(luò)中，存在物理安全區(qū)域，可以清晰地定義網(wǎng)絡(luò)安全邊界，可以通過(guò)域、VLAN等隔離措施很容易對(duì)各區(qū)域的邊界進(jìn)行劃分，數(shù)據(jù)傳輸?shù)谋Ｗo(hù)和檢測(cè)可以通過(guò)部署網(wǎng)絡(luò)監(jiān)控與審計(jì)系統(tǒng)、入侵檢測(cè)系統(tǒng)、密碼機(jī)和防火墻系統(tǒng)、漏洞掃描系統(tǒng)等技術(shù)防護(hù)手段來(lái)實(shí)現(xiàn)。然而，在采用了虛擬化技術(shù)的網(wǎng)絡(luò)中，服務(wù)器、應(yīng)用系統(tǒng)、終端桌面都是虛擬化的，都集中部署在數(shù)據(jù)中心，這就使得網(wǎng)絡(luò)邊界變得模糊起來(lái)，不同安全級(jí)別的虛擬機(jī)可能會(huì)部署到同一臺(tái)物理主機(jī)上，服務(wù)器和終端桌面的I P地址也是變動(dòng)的，這樣就使得虛擬主機(jī)之間的數(shù)據(jù)無(wú)法得到有效的監(jiān)測(cè)和保護(hù)，也會(huì)使高安全級(jí)別的服務(wù)器有可能受到來(lái)自低級(jí)別用戶的破壞和攻擊。

2.3 數(shù)據(jù)安全面臨巨大挑戰(zhàn)

采用虛擬技術(shù)以后，所有的服務(wù)器、應(yīng)用系統(tǒng)和終端桌面都以鏡像的形式存儲(chǔ)到了后臺(tái)的磁盤(pán)陣列中，所以，為了滿足文件系統(tǒng)的訪問(wèn)需要，一般會(huì)采取 NAS 架構(gòu)的存儲(chǔ)系統(tǒng)進(jìn)行數(shù)據(jù)存儲(chǔ)，采用域控的方式進(jìn)行權(quán)限控制。這種方式下，系統(tǒng)管理員有權(quán)限打開(kāi)所有用戶目錄，并獲取數(shù)據(jù)。這就意味著，只要獲得管理員權(quán)限就可以十分簡(jiǎn)便地獲取、檢索、修改客戶端用戶的所有信息。同時(shí)，虛擬機(jī)在各物理機(jī)之間互相遷移，存在終端用戶可以使用恢復(fù)數(shù)據(jù)的方式獲取其他用戶數(shù)據(jù)的可能。虛擬化下數(shù)據(jù)的保密防護(hù)任務(wù)仍然十分艱巨。

3 應(yīng)對(duì)措施和方法研究

3.1 分級(jí)保護(hù)技術(shù)標(biāo)準(zhǔn)依然適用

為指導(dǎo)涉密信息系統(tǒng)的安全保密工作，國(guó)家相關(guān)部門(mén)制定了一系列的指導(dǎo)性要求和規(guī)范。這些標(biāo)準(zhǔn)能否使用虛擬化環(huán)境的涉密網(wǎng)絡(luò)呢？答案是肯定的，分級(jí)保護(hù)技術(shù)標(biāo)準(zhǔn)提的是要求，并未限制實(shí)現(xiàn)這些要求的方法。所以傳統(tǒng)的涉密網(wǎng)絡(luò)可以按照標(biāo)準(zhǔn)要求進(jìn)行技術(shù)防護(hù)，虛擬化環(huán)境的涉密網(wǎng)絡(luò)也可以，只是實(shí)現(xiàn)的方式不同，傳統(tǒng)的網(wǎng)絡(luò)通過(guò)在網(wǎng)絡(luò)和計(jì)算機(jī)終端部署各種各樣的安全產(chǎn)品和軟件進(jìn)行技術(shù)防護(hù)。虛擬化環(huán)境下，也應(yīng)該采取訪問(wèn)控制、身份鑒別、密碼保護(hù)、安全審計(jì)、信息流轉(zhuǎn)控制、邊界安全防護(hù)等技術(shù)防護(hù)措施對(duì)數(shù)據(jù)中心的服務(wù)器和虛擬機(jī)進(jìn)行保密技術(shù)防護(hù)。當(dāng)然，這些防護(hù)方法有需要進(jìn)一步的研究。

3.2 加強(qiáng)數(shù)據(jù)中心管理

虛擬化環(huán)境下，數(shù)據(jù)中心的各項(xiàng)防護(hù)措施和指標(biāo)都必須提高到一個(gè)想到高的水平，我們除了通過(guò)加大數(shù)據(jù)中心的硬件環(huán)境的投資來(lái)提高數(shù)據(jù)中心的供電、防火、防盜、災(zāi)備等反面防護(hù)級(jí)別，還需要采取一系列的措施來(lái)強(qiáng)化數(shù)據(jù)中心的管理。例如，提高中心機(jī)房管理人員的涉密等級(jí)，對(duì)管理人員進(jìn)行嚴(yán)格的政治審查，加強(qiáng)管理人員的思想教育和保密培訓(xùn)；增加監(jiān)控和電子門(mén)禁等措施加強(qiáng)中心機(jī)房出入管理，嚴(yán)格門(mén)禁權(quán)限的審批和監(jiān)督，要求必須有兩個(gè)以上的人員才能進(jìn)入機(jī)房；加強(qiáng)服務(wù)器的操作管理，采用分段密碼的方式對(duì)服務(wù)器和網(wǎng)絡(luò)設(shè)備的管理密碼進(jìn)行管理，管理密碼分別由不同的人員進(jìn)行掌握，任何操作須雙方同時(shí)在場(chǎng)；采取最小化原則對(duì)管理員用戶權(quán)限進(jìn)行授權(quán)；強(qiáng)化災(zāi)難備份，建設(shè)異地災(zāi)備系統(tǒng)，采取同樣強(qiáng)度的安全保密措施對(duì)災(zāi)備中心進(jìn)行防護(hù)；強(qiáng)化備份恢復(fù)和應(yīng)急響應(yīng)制度，提高災(zāi)難恢復(fù)的演練頻率，保證網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行?？傊仨殞?shù)據(jù)中心的各項(xiàng)壓力指標(biāo)和保密管理措施提高到一個(gè)相當(dāng)高的層次。

3.3 加強(qiáng)身份認(rèn)證和訪問(wèn)控制

虛擬化環(huán)境下，用戶通過(guò)網(wǎng)絡(luò)來(lái)訪問(wèn)所有的資源，所以必須采取措施加強(qiáng)用戶的身份鑒別和訪問(wèn)控制，例如，采用USBKEY（或指紋）加口令的雙因子認(rèn)證方式進(jìn)行身份認(rèn)證；采用強(qiáng)認(rèn)證機(jī)制，對(duì)所有應(yīng)用系統(tǒng)用戶和用戶身份進(jìn)行綁定；對(duì)虛擬化網(wǎng)絡(luò)劃分安全域和VLAN；加強(qiáng)安全審計(jì)和日志分析，記錄和檢查用戶終端操作日志；關(guān)閉用戶終端桌面的數(shù)據(jù)接口，防止用戶把虛擬機(jī)上的數(shù)據(jù)下載到本地；關(guān)閉軟件安裝權(quán)限，禁止用戶自行安裝軟件；對(duì)虛擬機(jī)進(jìn)行一定程度的隔離，將處理涉密數(shù)據(jù)的虛擬機(jī)和處理非密數(shù)據(jù)的虛擬機(jī)分別安裝到不同的服務(wù)器上，為每臺(tái)虛擬服務(wù)器分配獨(dú)立的硬盤(pán)分區(qū)。

在虛擬化環(huán)境下構(gòu)建多重防御體系，將數(shù)據(jù)中心的服務(wù)器區(qū)和桌面虛擬化區(qū)進(jìn)行邏輯隔離，在數(shù)據(jù)中心形成多層防護(hù)環(huán)措施，當(dāng)某一層被攻擊者突破后，整個(gè)系統(tǒng)的安全防護(hù)依然有效。在服務(wù)器和虛擬終端之間采用傳統(tǒng)的安全防護(hù)技術(shù)，例如物理防火墻、入侵檢測(cè)等防護(hù)手段，而在數(shù)據(jù)中心內(nèi)部，部署虛擬化的安全設(shè)備，可以根據(jù)需要虛擬出多臺(tái)防護(hù)設(shè)備，防守各個(gè)訪問(wèn)路徑，形成多層次的防御體系。

3.4 采用加密技術(shù)

在虛擬化環(huán)境下，所有的數(shù)據(jù)集中存儲(chǔ)，采用密碼技術(shù)能夠?qū)崿F(xiàn)數(shù)據(jù)的保密性、完整性保護(hù)。采用專(zhuān)業(yè)的加密設(shè)備或加密軟件進(jìn)行數(shù)據(jù)加密存儲(chǔ)，加密算法由前端用戶指定，即文件的加密證書(shū)和用戶KEY（或指紋）進(jìn)行綁定，確保數(shù)據(jù)被非法獲取后不能夠打開(kāi)，降低了數(shù)據(jù)中心數(shù)據(jù)泄密的風(fēng)險(xiǎn)。同時(shí)，嚴(yán)格數(shù)據(jù)外發(fā)流程，采取多層審核的機(jī)制，設(shè)置外發(fā)數(shù)據(jù)有效時(shí)限，過(guò)期自動(dòng)銷(xiāo)毀。此外，加強(qiáng)加密系統(tǒng)的安全審計(jì)，確保所有操作的可追溯性。

4 結(jié)束語(yǔ)

虛擬化技術(shù)作為新一代信息革命的代表，它的影響力已經(jīng)擴(kuò)展到了涉密信息系統(tǒng)，但是作為一個(gè)新的技術(shù)，虛擬化技術(shù)固有的安全保密風(fēng)險(xiǎn)不容忽視，比如虛擬化技術(shù)的核心技術(shù)仍然被外國(guó)公司掌握，國(guó)內(nèi)信息技術(shù)和信息安全廠商雖然研發(fā)出自己的虛擬化操作系統(tǒng)、虛擬化管理平臺(tái)、安全保密技術(shù)防護(hù)產(chǎn)品等，但基本上都是在國(guó)外虛擬化技術(shù)之上進(jìn)行安全加固，產(chǎn)品的有效性和成熟度還有待檢驗(yàn)，也沒(méi)有經(jīng)過(guò)國(guó)家保密機(jī)構(gòu)測(cè)評(píng)。但是總的來(lái)說(shuō)，虛擬化技術(shù)的出現(xiàn)，為涉密網(wǎng)絡(luò)應(yīng)用和安全保密管理帶來(lái)新的思路，也提出新的挑戰(zhàn)。我們應(yīng)當(dāng)主動(dòng)迎接這種機(jī)遇和挑戰(zhàn)，發(fā)動(dòng)各方力量，突破關(guān)鍵技術(shù)，尋找出一個(gè)適合虛擬化涉密網(wǎng)絡(luò)的建設(shè)方案，為涉密網(wǎng)絡(luò)保駕護(hù)航。

[1]Hess，K，Newman.虛擬化技術(shù)實(shí)戰(zhàn)[M].北京：人民郵電出版社，2012.

[2]馮登國(guó)，張敏，張妍，徐震.云計(jì)算安全研究[J].軟件學(xué)報(bào)，2011，22（01）：71-83.

[3]郭春梅，孟慶森.服務(wù)器虛擬化技術(shù)及安全研究[J].信息網(wǎng)絡(luò)安全，2011（09）.

[4]張志國(guó).服務(wù)器虛擬化安全風(fēng)險(xiǎn)及其對(duì)策研究[J].晉中學(xué)院學(xué)報(bào)，2010，27（03）：83-85.

[5]昆明 服務(wù)器虛擬化技術(shù)及其應(yīng)用[J]民營(yíng)科技，2012，05.

[6]盧國(guó)強(qiáng).云計(jì)算環(huán)境下的泛聯(lián)路由平臺(tái)[J].信息安全與技術(shù)，2010（10）：108-110.

[7]寧芝方正涉密信息系統(tǒng)虛擬化安全初探[J]保密科學(xué)技術(shù)2012，2：71-74.

[8]湯貞飛 基于數(shù)據(jù)中心談實(shí)現(xiàn)虛擬化災(zāi)難備份[J]信息安全2012，1：18-20.