服務(wù)器虛擬化安全機(jī)制研究

摘 要：如今，服務(wù)器虛擬化技術(shù)已經(jīng)廣泛地運(yùn)用到各種微客戶機(jī)提供資源的監(jiān)控操作當(dāng)中，為人們的工作生活帶來了很大的便利，同時(shí)具備了訪問、追蹤以及審計(jì)的安全功能，可以采用多種計(jì)算機(jī)技術(shù)，完成各種動(dòng)態(tài)更新的認(rèn)證，與其他的策略規(guī)劃形成配合，這為客戶機(jī)信息在私密性與完整性的保護(hù)上提供了最大程度的保障。

關(guān)鍵詞：服務(wù)器虛擬化；安全機(jī)制

中圖分類號(hào)：TP368

隨著信息化技術(shù)的不斷發(fā)展，服務(wù)器的虛擬化技術(shù)在高效整合資源、提高利用率以及節(jié)能等方面具有廣泛的優(yōu)點(diǎn)，因此得到了推廣和使用。在對服務(wù)器虛擬化的使用核心中，通過對客戶機(jī)的區(qū)分以及資源需求的層次和緊迫程度采取及時(shí)的形態(tài)調(diào)度，從而達(dá)到資源最大化利用的目的。服務(wù)器虛擬化技術(shù)的應(yīng)用，能夠有效利用物理資源，提高安全性和完整性，本文對其安全機(jī)制的實(shí)現(xiàn)過程展開探討和研究。

1 服務(wù)器虛擬化安全機(jī)制分析

在沒有運(yùn)用虛擬化之前，采用的X86計(jì)算環(huán)境包括了應(yīng)用軟件、硬件以及操作系統(tǒng)，通過操作系統(tǒng)對硬件、內(nèi)存、處理器等進(jìn)行直接的控制，同時(shí)支持多用戶運(yùn)行多個(gè)軟件。虛擬化得到廣泛應(yīng)用以后，其取代了操作系統(tǒng)的功能和位置，成為管理者，同時(shí)呈現(xiàn)的也是硬件平臺(tái)，可以創(chuàng)建虛擬環(huán)境，進(jìn)而呈現(xiàn)給用戶，還能形成用戶之間相互獨(dú)立，互不干擾的情況。

1.1 CPU、操作系統(tǒng)以及虛擬化之間的構(gòu)架體系

很多的計(jì)算機(jī)結(jié)構(gòu)都存在兩個(gè)以上的特權(quán)級(jí)來對應(yīng)用軟件進(jìn)行分割，還有一些在管理和操作上對關(guān)鍵資源發(fā)布指令，但如果不是在最高特權(quán)基礎(chǔ)上進(jìn)行運(yùn)行，那么可以通過系統(tǒng)的軟件處理。以下以X86舉例進(jìn)行分析，保護(hù)模式下的處理器有0-3四種級(jí)別權(quán)限，也就是Ring0-Ring3，由高到低。Ring0也是管態(tài)，可以執(zhí)行所有的指令，也擁有處理器的完全控制權(quán)，而Ring3屬于目態(tài)，只提供和管理受限空間。服務(wù)器虛擬化在監(jiān)控器0環(huán)上設(shè)置權(quán)限，以0環(huán)的形式在所托管虛擬機(jī)前呈現(xiàn)，只要客戶在運(yùn)行時(shí)出現(xiàn)0環(huán)，那么就會(huì)出現(xiàn)訪問處理和硬件平臺(tái)交互的情況。為了控制系統(tǒng)的所有資源，通常情況下對敏感指令是不允許的，敏感指令需要通過監(jiān)控審查才得以進(jìn)行，或是可以通過虛擬機(jī)對其進(jìn)行監(jiān)控從而運(yùn)行。

1.2 虛擬機(jī)在監(jiān)控時(shí)的安全機(jī)制

虛擬機(jī)系統(tǒng)進(jìn)行處理時(shí)通常會(huì)對安全管理函數(shù)進(jìn)行轉(zhuǎn)移，因其核心在虛擬機(jī)監(jiān)控器內(nèi)，通過監(jiān)控器的執(zhí)行指令可以保障策略的安全運(yùn)行，但其本身必須保證是可信的，所以其完整性必須通過驗(yàn)證。而監(jiān)控器在執(zhí)行策略時(shí)發(fā)揮了重要的作用，比如可以對敏感虛擬機(jī)出現(xiàn)復(fù)制情況進(jìn)行限制，對虛擬機(jī)和底層的相關(guān)設(shè)備交互情況進(jìn)行控制，對駐留物理主機(jī)進(jìn)行限制，出現(xiàn)敏感數(shù)據(jù)時(shí)對虛擬機(jī)進(jìn)行時(shí)間段的限制[1]。虛擬機(jī)的監(jiān)控器在相同物理CPU、I/O等方面可以實(shí)現(xiàn)共享，應(yīng)用方式包括空間共享、復(fù)用設(shè)備，也可以對安全機(jī)制相互之間的保證進(jìn)行有效的隔離。而獨(dú)立進(jìn)程地址空間的實(shí)現(xiàn)可以通過不同虛擬地址映射，得以實(shí)現(xiàn)自身的空間，進(jìn)程的訪問行為也不會(huì)對其他的空間內(nèi)存造成破壞。虛擬機(jī)的控制器采用的是內(nèi)存保護(hù)機(jī)制，也就是為虛擬機(jī)一一提供地址和空間，采用監(jiān)控器對這些地址和空間進(jìn)行映射，轉(zhuǎn)移到實(shí)際的地址空間中。這里用VMware來舉例，虛擬層的提供可以實(shí)現(xiàn)網(wǎng)絡(luò)安全，比如在VLAN標(biāo)簽、太網(wǎng)層策略等，用以對權(quán)限和角色進(jìn)行定位，對訪問授權(quán)進(jìn)行限制等，同時(shí)還可以為跟蹤審計(jì)機(jī)制提供重要的配置和操作。

1.3 虛擬機(jī)監(jiān)控器可信度分析

虛擬化技術(shù)的核心是虛擬機(jī)的監(jiān)控器，其提供信息的安全度和可行度必須得以確保，而虛擬機(jī)監(jiān)控器的代碼量與通用的操作系統(tǒng)相比較少，所以安全性的驗(yàn)證還是比較簡單的。但是由于其功能的逐漸增強(qiáng)，代碼的復(fù)制越來越多，這就需要采用其他的手段來提供代碼量的安全性。構(gòu)建可信的虛擬化環(huán)境可以采用虛擬機(jī)的監(jiān)控器，由此來提供信任的基礎(chǔ)，而虛擬機(jī)的監(jiān)控器與硬件接觸的非常緊密，可以直接形成系統(tǒng)在硬件和固件上的依賴，也可以利用相關(guān)的硬件技術(shù)來對監(jiān)控機(jī)的啟動(dòng)進(jìn)行驗(yàn)證。對此，Intel公司開創(chuàng)了可信任執(zhí)行技術(shù)，也就是TXT技術(shù)，能夠有效建立可信基礎(chǔ)機(jī)制，增強(qiáng)有效性和安全性。這種技術(shù)是根據(jù)動(dòng)態(tài)可信根將可信計(jì)算的基礎(chǔ)縮小，無論在任何時(shí)刻都能將此技術(shù)應(yīng)用到獨(dú)立的環(huán)境中進(jìn)行安全隔離，在系統(tǒng)的操作中只需要一個(gè)執(zhí)行代碼，通過動(dòng)態(tài)加載來實(shí)現(xiàn)。

TXT建立了可信平臺(tái)是由認(rèn)證代碼模塊、安全模式指令以及檢測安全啟動(dòng)環(huán)境組成，指令的擴(kuò)展時(shí)對現(xiàn)有指令集執(zhí)行，同時(shí)還會(huì)引入有關(guān)安全技術(shù)的指令，執(zhí)行以后能夠及時(shí)切入或退出。認(rèn)證代碼模塊則是由廠商提供，經(jīng)過認(rèn)證，一旦被切入隔離環(huán)境，首先執(zhí)行的認(rèn)證代碼就是用來對安全啟動(dòng)環(huán)境可信性進(jìn)行檢測。而安全環(huán)境的啟動(dòng)則可以通過后續(xù)檢測內(nèi)核等軟件啟動(dòng)，需要檢測啟動(dòng)內(nèi)核，還要確保這種執(zhí)行受到保護(hù)，不能輕易被纂改。

2 服務(wù)器虛擬化安全機(jī)制規(guī)劃

虛擬化技術(shù)取得了不斷的發(fā)展，應(yīng)用范圍也越來越廣，于是在攻擊手段上也呈現(xiàn)了復(fù)雜化和多樣化的特征，如果只采用單純的虛擬技術(shù)對其安全機(jī)制用以提供，已無法滿足安全保密要求，這需要一個(gè)完整的部署和規(guī)劃，才能應(yīng)對如今越來越復(fù)雜的環(huán)境。

首先，要準(zhǔn)確評(píng)估虛擬機(jī)所承載的業(yè)務(wù)安全系統(tǒng)，對相同的需求統(tǒng)計(jì)部署在一個(gè)主機(jī)上，盡量分離不同安全需求的虛擬機(jī)。其次，在服務(wù)器的虛擬方式上要做科學(xué)合理的選擇，可以采用VMware Workstation等實(shí)現(xiàn)的服務(wù)器虛擬，究其原因有可能出現(xiàn)在主機(jī)與客戶機(jī)之間的共享剪切板上，最終導(dǎo)致了程序數(shù)據(jù)的竊取，所以對硬件虛擬化的管理程序進(jìn)行選擇能夠有效避免這些情況的發(fā)生。再者，簽名技術(shù)能夠使文件的完整性得到有效的保障，外部則無法隨意對虛擬機(jī)進(jìn)行修改。因?yàn)楹芏嗖煌募M成了虛擬機(jī)，其中又有一些敏感的信息，比如虛擬磁盤或是內(nèi)存數(shù)據(jù)等，所以很多的惡意軟件被其他文件代替后，在虛擬磁盤中的存在會(huì)對系統(tǒng)的安全產(chǎn)生威脅。接著，還要正確對虛擬架構(gòu)的虛擬監(jiān)控器以及虛擬機(jī)在通信方面進(jìn)行正確的選擇，可以啟動(dòng)SSL來實(shí)現(xiàn)虛擬機(jī)以及監(jiān)控器在通信方面的保障，因?yàn)槠渲杏锌赡苌婕暗接脩艉芏嗟闹匾畔?，比如關(guān)于一些特權(quán)賬號(hào)的口令或是用戶名，所以必須妥善處理。

此外，在防病毒、防火墻以及補(bǔ)丁的升級(jí)上也要部署合理的安全工具，保證同一臺(tái)虛擬機(jī)采用的安全保護(hù)策略一致，對于較低安全保護(hù)級(jí)別的采用要謹(jǐn)慎，避免這種情況發(fā)生。最后是有關(guān)如何保護(hù)休息狀態(tài)下的虛擬機(jī)，因其保持著保存狀態(tài)，所以在內(nèi)存里會(huì)有一些相關(guān)文件，而通過文件又能搜索出相對應(yīng)的密碼和用戶名等很多重要的信息，這些文件如果失去了操作和控制，那么則會(huì)對虛擬機(jī)作用的發(fā)揮形成直接的威脅，因此必須要對休息狀態(tài)下的虛擬機(jī)形成保護(hù)措施。

3 結(jié)束語

當(dāng)前，服務(wù)器的虛擬化技術(shù)在安全設(shè)置和相關(guān)的機(jī)制方面還存在了很多問題，有很多地方?jīng)]有得到完善，而在服務(wù)器虛擬化中很多的惡意攻擊經(jīng)常發(fā)生。如今服務(wù)器虛擬化技術(shù)成為了信息技術(shù)在發(fā)展上的一個(gè)重要方向，對服務(wù)器的整合以及合理高效利用資源上發(fā)揮了重要的作用，在能耗的節(jié)約和降低方面也有重要的意義，特別是出現(xiàn)云計(jì)算和物聯(lián)網(wǎng)等多種領(lǐng)域方面，由于處于發(fā)展初期，領(lǐng)域較廣，涉及的知識(shí)面較廣，因此面臨了新的發(fā)展前景和機(jī)遇。相信隨著科研技術(shù)的不斷發(fā)展和推廣，服務(wù)器虛擬化在安全機(jī)制方面的深入也會(huì)日漸更新和完善，為如今復(fù)雜的形勢提供更安全更可靠的發(fā)展需求。

參考文獻(xiàn)：

[1]潘世成.服務(wù)器虛擬化安全機(jī)制研究[J].計(jì)算機(jī)安全，2012（18）：22-23.

[2]郭春梅.服務(wù)器虛擬化技術(shù)及安全研究[J].信息網(wǎng)絡(luò)安全，2012（02）：43.

[3]譚生龍.存儲(chǔ)虛擬化技術(shù)的研究[J].微計(jì)算機(jī)應(yīng)用，2010（01）.

[4]張小紅.淺談ORACLE中基于JAVA的存儲(chǔ)查詢優(yōu)化[J].電子技術(shù)與軟件工程，2013（21）.

作者簡介：劉向輝（1978.09-），男，本科，教師，助理實(shí)驗(yàn)師，研究方向：計(jì)算機(jī)。

作者單位：河南牧業(yè)經(jīng)濟(jì)學(xué)院，鄭州 450044