虛擬化環(huán)境下的信息安全風(fēng)險及防護措施

靳京來

（大慶油田信息技術(shù)公司，黑龍江 大慶 163000）

[摘 要] 虛擬化技術(shù)是當(dāng)前云計算的核心，是服務(wù)云和私有云的關(guān)鍵因素之一，它的出現(xiàn)給數(shù)據(jù)中心的運行維護帶來了巨大改變。虛擬化環(huán)境中的存儲、計算和網(wǎng)絡(luò)安全等資源成為云計算有力的支撐體系。然而，隨著數(shù)據(jù)中心里的虛擬機越來越多，虛擬化環(huán)境下的信息安全風(fēng)險開始日益顯露，因此，如何構(gòu)建云時代下的虛擬化安全防護體系的問題亟待解決。

[關(guān)鍵詞] 虛擬化；安全防護；防護措施

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2017. 05. 081

[中圖分類號] TP309 [文獻標(biāo)識碼] A [文章編號] 1673 - 0194（2017）05- 0153- 02

0 引 言

近年來，云計算技術(shù)進入快速發(fā)展的時代，作為其最重要的支撐技術(shù)，虛擬化技術(shù)承載的業(yè)務(wù)系統(tǒng)規(guī)模越來越大，并逐步向核心業(yè)務(wù)發(fā)展，云計算體系下的虛擬化環(huán)境面臨的安全風(fēng)險亟待關(guān)注。

1 虛擬化環(huán)境中的安全風(fēng)險

1.1 傳統(tǒng)安全問題依然存在，資源爭奪成新挑戰(zhàn)

一是傳統(tǒng)的安全風(fēng)險在虛擬化環(huán)境下仍需解決。物理服務(wù)器劃分出來的每個虛擬機的業(yè)務(wù)承載及服務(wù)與單臺服務(wù)器基本相同，操作系統(tǒng)和應(yīng)用程序的漏洞及攻擊、業(yè)務(wù)系統(tǒng)之間安全隔離、系統(tǒng)訪問控制、文件存儲安全、防病毒系統(tǒng)等方面的安全風(fēng)險，依舊是虛擬化環(huán)境中的薄弱點。

二是虛擬機之間爭奪系統(tǒng)資源。多個虛擬機同時開啟傳統(tǒng)的安全軟件如病毒掃描、防病毒更新等操作將占用大量內(nèi)存資源，造成網(wǎng)絡(luò)負(fù)擔(dān)過重和虛擬機性能問題，形成“防病毒風(fēng)暴”。

1.2 虛擬化環(huán)境自身存在缺陷，造成內(nèi)部攻擊

虛擬化的客戶端在Hypervisor管理層上的特性導(dǎo)致了虛擬化平臺增加了自身安全問題。Hypervisor是介于物理服務(wù)器與操作系統(tǒng)之間的軟件層，也稱為VMM，它允許多個操作系統(tǒng)共享一套物理硬件，是虛擬化技術(shù)的核心。作為虛擬化平臺中新出現(xiàn)的軟件層，Hypervisor缺乏完整性，系統(tǒng)漏洞或管理員的安全配置不當(dāng)都易導(dǎo)致入侵者展開攻擊。如虛擬機在物理服務(wù)器之間遷移時不產(chǎn)生告警與調(diào)用審查機制、虛擬機共享數(shù)據(jù)或重分配資源時有內(nèi)存泄露風(fēng)險、虛擬機間不可見的流量無法進行監(jiān)測、過濾與隔離、未加密的VM鏡像可引起惡意篡改與漏洞攻擊。此外，攻擊者利用Hypervisor層運行虛擬機內(nèi)部子操作系統(tǒng)的模式展開超越虛擬機范圍的攻擊，攻擊進入某個子系統(tǒng)后可蔓延至虛擬服務(wù)器和其他物理資源。

1.3 虛擬機管理成難題

虛擬機管理也帶來一定的安全問題。虛擬化環(huán)境造成管理終端數(shù)增長，防護范圍擴大。管理網(wǎng)絡(luò)與生產(chǎn)網(wǎng)絡(luò)未隔離，管理員維護虛擬化平臺時，對虛擬機自動設(shè)置、配置或遷移的過程難以實時跟蹤和管理，難以實現(xiàn)一致性安全策略。此類虛擬機運行全過程的動態(tài)數(shù)據(jù)龐大且難以計算，造成管理安全風(fēng)險。此外，物理主機的安全隱患向其虛擬機傳染導(dǎo)致的“虛擬機溢出”、快速增長的虛擬機導(dǎo)致補丁更新負(fù)擔(dān)過重也是虛擬機管理帶來的安全問題。

2 虛擬化安全防護措施對策及建議

2.1 加強傳統(tǒng)的安全防護措施，提高風(fēng)險識別和防范能力

嚴(yán)格控制對業(yè)務(wù)系統(tǒng)的訪問權(quán)限，加強身份認(rèn)證和鑒別機制，降低攻擊者從系統(tǒng)入口獲得登陸權(quán)限的可能性。虛擬化平臺中的數(shù)據(jù)傳輸和信息共享時進行嚴(yán)格加密，設(shè)置存取控制策略保證文件安全。定期進行病毒掃描和防病毒更新，虛擬機之間病毒掃描時間段不得重疊，以防造成網(wǎng)絡(luò)負(fù)擔(dān)過重。增強虛擬機的安全監(jiān)測和日志審查機制，對虛擬機內(nèi)可能存在安全風(fēng)險的操作項進行嚴(yán)密監(jiān)控。加強日志審計功能，設(shè)置hips監(jiān)控，利用Syslog收集日志審計，以做到風(fēng)險日志可查。

2.2 保障Hypervisor自身安全

Hypervisor的自身安全是虛擬化技術(shù)安全管理的核心內(nèi)容。制定和執(zhí)行針對VMM的嚴(yán)格訪問控制策略，鎖定管理層的網(wǎng)絡(luò)訪問，定期進行漏洞修補、病毒掃描。通過去除非必要功能精簡內(nèi)核來提高Hypervisor的可靠性，加強內(nèi)核模塊和磁盤的完整性來保證完善的內(nèi)容保護功能。對VMM設(shè)置日志審計功能，并制定監(jiān)測預(yù)警機制。

強化文件存取技術(shù)，探索國產(chǎn)化加密技術(shù)，保證數(shù)據(jù)在傳輸和存儲過程中不被攻擊和竊取，使用網(wǎng)絡(luò)分段和訪問控制列表阻止其他虛擬設(shè)備接入，保障虛擬環(huán)境的文件安全。

2.3 加強流量監(jiān)控，打造虛擬機環(huán)境下的安全防護體系

通過在Hypervisor層集成虛擬交換機vSwitch，可監(jiān)控同一個服務(wù)器內(nèi)部虛擬機之間的流量交互中是否存在可攻擊漏洞或信息泄露等風(fēng)險，并實現(xiàn)一些訪問控制規(guī)則。更深度的安全檢測防護可以利用基于虛擬機和基于重定向兩種。

基于虛擬機的安全防護將虛擬機之間交換的流量先引入虛擬機安全軟件，再進入虛擬交換機。通過將虛擬機劃分為不同安全域來配置區(qū)域隔離和互訪策略，并監(jiān)控流量中是否存在漏洞及信息泄露等其他安全問題。

基于重定向的安全防護將虛擬機交換的流量引到外部交換機，交換機在報文轉(zhuǎn)發(fā)前進行深度檢測及訪問控制策略、入侵防御規(guī)則的配置。

2.4 加強虛擬化平臺管理工作，建立規(guī)范化操作流程

按需設(shè)置虛擬平臺管理員，按照規(guī)范化流程進行管理并記錄操作日志。對虛擬機實時動態(tài)管理要求高的業(yè)務(wù)系統(tǒng)，建立動態(tài)數(shù)據(jù)中心，記錄虛擬機配置變更、遷移日志，制定一致性安全策略，定期巡檢及匯總跟蹤數(shù)據(jù)，出現(xiàn)安全風(fēng)險時有數(shù)據(jù)可循，最大限度地降低虛擬化平臺風(fēng)險的威脅程度。

主要參考文獻

[1]高其勝，陳艷峰.云計算虛擬化安全研究[J].圖書館學(xué)研究，2015（11）：46-50.

[2]李樹波，羅林，楊艷.云計算與虛擬化技術(shù)研究[J].軟件導(dǎo)刊，2013，12（1）：141-143.