在今年3月由美國Computerworld主辦的Premier 100 IT領(lǐng)導(dǎo)人會議上，曾經(jīng)有過一次圓桌討論，有一位CIO當(dāng)場就表達(dá)了對于虛擬化基礎(chǔ)設(shè)施安全問題的擔(dān)心，因?yàn)樗纠镆话胍陨系纳a(chǎn)服務(wù)器都已經(jīng)虛擬化了。很快，另外兩位IT高管也插嘴說出了他們自己對于虛擬化安全問題的擔(dān)憂。
盡管在場的很多IT高管不太愿意公開承認(rèn)他們感覺自己在這方面很脆弱，但是德州普萊諾市的租賃業(yè)巨頭Rent-a-Center公司的技術(shù)服務(wù)與系統(tǒng)架構(gòu)高級經(jīng)理Jai Chanani卻表達(dá)出了他們的苦惱。他說，“我最害怕的一件事情就是虛擬服務(wù)器被盜�！彼膱F(tuán)隊(duì)每天要運(yùn)行大約200個(gè)VMware ESX和XenServer虛擬服務(wù)器，用作文件和打印服務(wù)器，有時(shí)候還要用作應(yīng)用服務(wù)器。但是出于安全上的考慮，他的團(tuán)隊(duì)沒有將公司的ERP系統(tǒng)、數(shù)據(jù)庫或e-mail系統(tǒng)虛擬化。
德州格蘭德普雷里的主題公園營運(yùn)商六旗公司的CIO Michael Israel還表達(dá)了另外一種擔(dān)憂。對他來說，最讓人焦躁不安的局面就是某個(gè)心懷不軌的管理員可能會把虛擬服務(wù)器從一個(gè)安全的網(wǎng)絡(luò)段遷移到另一個(gè)不安全網(wǎng)絡(luò)段的物理主機(jī)上去，或者創(chuàng)建新的、未登記的、未經(jīng)許可的和未打過補(bǔ)丁的虛擬服務(wù)器。“我最大的擔(dān)心就是出了叛徒。我最不希望發(fā)生的事情就是，有25臺虛擬服務(wù)器在某處運(yùn)行，而我卻不知道它們的存在，”他說。
雖然向虛擬服務(wù)器進(jìn)行遷移，由于服務(wù)器的整合及效率的提高，可以節(jié)省企業(yè)大量的金錢，但是因?yàn)樘摂M化正在吞沒越來越多的生產(chǎn)服務(wù)器，一些IT高管們正在擔(dān)心可能會出現(xiàn)的消化不良癥。一切都能在掌控之中嗎？某次災(zāi)難性的違規(guī)會不會讓關(guān)鍵應(yīng)用崩潰，甚至使整個(gè)數(shù)據(jù)中心停運(yùn)呢？“客戶們有一天會突然意識到，已經(jīng)有一半的關(guān)鍵業(yè)務(wù)應(yīng)用都在虛擬服務(wù)器上跑，他們會驚訝地問：‘天哪！這樣做安全嗎？’”IBM安全解決方案副總裁兼安全咨詢師Kris Lovejoy說。
問題不在于虛擬的基礎(chǔ)設(shè)施能否保障自身的安全，而是很多企業(yè)始終沒有采取最佳實(shí)踐——如果他們有的話——去適應(yīng)新的虛擬化環(huán)境。
虛擬化引入了不少的技術(shù)——包括一個(gè)新的軟件層，即hypervisor——這些技術(shù)都必須是可管理的。但是還有一些新的技術(shù)：例如在虛擬服務(wù)器之間為網(wǎng)絡(luò)流量提供路由的虛擬交換，對于原來為物理網(wǎng)絡(luò)而設(shè)計(jì)的流量監(jiān)控工具來說就并不總是可見的。
另外，虛擬化打破了IT部門中傳統(tǒng)的責(zé)任劃分，比如一名網(wǎng)管員只需按個(gè)鍵，而無須經(jīng)過采購部門，或者網(wǎng)絡(luò)、存儲、業(yè)務(wù)連續(xù)性和安全部門的批準(zhǔn)，便可一次生成大量新的虛擬服務(wù)器。在很多組織中，IT安全團(tuán)隊(duì)是不會對虛擬基礎(chǔ)設(shè)施提供咨詢意見的，除非是在組織構(gòu)建了虛擬化基礎(chǔ)設(shè)施，并在生產(chǎn)服務(wù)器上運(yùn)行這些基礎(chǔ)設(shè)施之后才會提供此類咨詢服務(wù)。具有虛擬化意識的安全技術(shù)和最佳實(shí)踐都還處在初期演進(jìn)階段。
虛擬化安全上市場發(fā)展的如此之快，以至于客戶們已無法讓企業(yè)的最佳實(shí)踐與其保持同步，Lovejoy說。他們既缺乏關(guān)于這一話題的理論知識，也缺少現(xiàn)場處理問題的實(shí)際技能。盡管有些技術(shù)亦可用來保障虛擬化基礎(chǔ)設(shè)施的安全，但是Lovejoy還是經(jīng)常會看到，某些安全上的失誤可以溯源到不正確的配置。
“和虛擬環(huán)境下的安全相關(guān)的主要問題就是缺少可見性，缺乏控制，和對未知事物的恐懼，”IT咨詢公司Info Pro的安全研究執(zhí)行經(jīng)理Bill Trussell說。
麻煩不斷的hypervisor
會不會有人劫持企業(yè)虛擬基礎(chǔ)設(shè)施中的某個(gè)hypervisor，然后利用它來破壞駐留在該hypervisor上的所有虛擬服務(wù)器呢？會不會有某個(gè)攻擊者控制一臺虛擬服務(wù)器，利用它作為平臺再去攻擊其他的虛擬服務(wù)器，比如駐留在同一硬件上的支付卡處理應(yīng)用，而網(wǎng)管員甚至根本察覺不到呢？
這些令人恐怖的場景將會頑固地存在，盡管目前還沒有出現(xiàn)已知的針對虛擬基礎(chǔ)設(shè)施的攻擊，RSA Security安全基礎(chǔ)設(shè)施高級經(jīng)理Eric Baize說。
然而，很多IT安全專家仍然對此抱有疑慮。Info Pro在其2010年度的信息安全研究報(bào)告中對96位安全專家做了調(diào)查，結(jié)果有28%的受調(diào)查者稱，他們“非�！标P(guān)注或“相當(dāng)”關(guān)注虛擬化環(huán)境中的安全問題。
相關(guān)閱讀