服务器虚拟化情况下的安全防护

◆郑 毅

服务器虚拟化情况下的安全防护

◆郑 毅

（中航工业哈尔滨飞机工业集团有限责任公司 黑龙江 150000）

虚拟化技术已经成为企业发展进程的重要组成部分，直接关系企业的信息资源安全。对于企业来说，服务器虚拟化既是企业寻求进一步发展的机遇，也是维护信息安全的挑战。如何在服务器虚拟化情况下做好安全防护，已经成为每一个运用虚拟化技术的企业必须要思考的问题。

服务器；虚拟化；安全防护

0 前言

似乎与所有颠覆性技术一样，服务器虚拟化技术先是悄然出现，然后突然迸发，最终因为节省能源的合并计划而得到了认可。如今，许多企业使用虚拟化技术来提高硬件资源的利用率，进行灾难恢复、提高办公自动化水平。在进行服务器虚拟化的过程中，也同样存在一些不可忽视的问题。必须找出问题所在，维护信息安全。

1 目前服务器虚拟化情况下做好安全防护要面对的问题

1.1 服务器虚拟化带来了更高的安全风险

服务器虚拟化极大地提高了企业资源整合的效率，但也带来了更高的安全风险。这具体体现在两个方面。一方面，虚拟化技术能够集中众多的数据进行统一处理，提高了单个服务器的效率，使其功能性更强，更利于企业的管理；但是高资源利用率既集中了资源，也同时集中了风险。相较于传统的分散型处理信息的方式，服务器虚拟化将安全风险全部集中到了一台服务器上。一旦这台服务器发生任何问题，企业的信息安全都会受到严重的影响。服务器非虚拟化中的信息好比是并联电路，彼此存在联系又独立存在。而服务器虚拟化中的信息就好像是串联电路，牵一发而动全身。一旦服务器中的某个应用出现故障了，整台服务器的所有应用都会随之停止。相同情况下，服务器虚拟化情况下的服务器崩溃会比非虚拟化情况下的崩溃带来更大的损失。另一方面，在服务器虚拟化情况下，一台物理服务器上的虚拟机之间可以直接进行联接，不需要通过外界进行物理联接。这就意味着，虚拟化情况下，安全防护的边界消失了。这对于安全防护措施的建设来说，是一个难以解决的难题。

1.2 传统的安全防护措施不适用于新的网络环境

服务器虚拟化是对传统技术的一次突破，它直接改变了网络架构。这也就意味着，基于非虚拟环境下的传统安全防护措施不再适用于新的网络环境。传统的安全防护措施是根据边界的安全隔离和访问控制进行防护的。这其中最重要的是，非虚拟环境下，各区域之间存在着明显的边界。分析不同区域之间的安全情况的差异，安全防护措施才能进行工作。一般的传统安全防护措施是防火墙、IPS、IDS等手段。这些手段主要是通过针对不同的服务器使用不同的安全规则进行工作。而在服务器虚拟化的情况下，基础网络架构统一化，存储和计算资源高度整合，传统的安全设备部署边界正逐步消失。同一台物理服务器上的虚拟机之间不存在传统的所谓边界，传统的安全防护措施也就不能进行防护。应对新的网络环境，应该探索新的安全防护措施。

1.3 虚拟机补丁引起的安全问题

由服务器虚拟化衍生出的虚拟机也有着许多安全隐患。如果处理不当，虚拟机也会引起许多安全问题。其中值得关注的就是由虚拟机补丁引起的安全问题。如果安装补丁的进度跟不上虚拟机系统的实际需要，虚拟机的安全漏洞就无法被及时修补，一旦受到病毒攻击，虚拟机很容易就全盘崩溃。在服务器虚拟化的情况下，服务器上放置着多个虚拟机，而虚拟机又必须能像独立的物理服务器那样进行工作。虚拟机应该要独立地进行补丁的安装和系统的更新，这样才能更好地进行自身的安全防护。但在实际情况中，由于管理对象的众多，虚拟机的系统可能会延迟补丁的更新，这对信息安全来说无疑是个不容忽视的问题。除此之外，有时用户会保持少量的重要镜像。这些镜像主要应用于推出新的虚拟机、将一个快照写入硬盘，或者是用于对部分虚拟机进行灾难恢复。但是如果需要恢复的虚拟机中缺乏有安全防护能力的补丁，那在恢复过程中也可能会引起安全问题。因此，企业必须关注由虚拟机补丁引起的安全问题，及时地更新补丁。

2 关于建设服务器虚拟化情况下安全防护的相关建议

2.1 合理配置虚拟服务器，加固系统

降低服务器虚拟化情况下的安全风险必须从虚拟服务器入手，找出虚拟服务器可能被攻击的安全隐患。首先，配置虚拟服务器必须要从虚拟服务器的用途和并发访问量等因素出发，选择数量足够、性能能够满足要求的物理服务器。在建设虚拟机的时候，也要根据物理服务器与虚拟服务器的比例进行估算。企业要找到一套固定的模式，使得物理机和虚拟机的数量和配置保持在一个可控的范围内，以便更好地对服务器和虚拟机进行安全防护。其次，针对新型网络环境会带来的更高安全风险，应该对服务器虚拟化环境中的所有系统进行安全加固。进行安全加固的范围除了传统的物理服务器，还要关注虚拟机的安全系统。值得注意的是，虚拟机本身承担着像独立服务器一样的工作任务，也应该进行像物理服务器一样独立的安全加固。进行安全加固的时候，应该对虚拟机的系统补丁、应用程序补丁、允许运行的服务、开放的端口等进行加固。在加固的时候，除特殊情况外要关闭所有可控的物理设备。目前，在对虚拟机进行维护时，通常会忽视对虚拟机生命周期的管理、身份认证和访问授权控制。而这恰恰是安全问题多发的部分，需要技术人员重点加固。同时，同一服务器中的虚拟机要采取相同的安全防护，保证每一个虚拟机都能够安全运行，以便保障物理服务器的安全。虚拟机内部可能会存在互相攻击的问题，必须要进行相关的安全加固。虚拟机上必须配备杀毒软件等一些防护应用，要及时更新补丁，防止安全漏洞被攻击。还可以设立虚拟化监控工具，及时监管危险信息。一方面对服务器资源监控与容量进行分析，报告所占资源的情况。另一方面在发生突发情况时，也可以进行及时的报警。

2.2 建立服务器虚拟化情况下新的边界防护系统

由于新的网络环境下传统边界逐渐消失，进行新的安全防护时可以人工地分开虚拟机，增强虚拟服务器的逻辑隔离与网络隔离。也就是说，可以把虚拟机分类。既可以分为公共的虚拟机和专用的虚拟机，也可以按照服务类型分开虚拟机。各组类型的虚拟机分布在各自的区域中，可以通过人为的边界进行隔离，这也更利于管理和防护。虚拟机之间的隔离可以防止虚拟机之间相互产生影响，降低安全问题的扩散。针对这一情况，新的边界防护系统就可以建立起来。边界防护可以细化到每一个虚拟机。当虚拟机之间进行访问时，也会存在明显的边界，一旦访问行为出现问题，新的边界防护系统也可以及时控制。当然，所有的虚拟化系统都是基于虚拟层实现的。为了达到这样的目的，边界防护也应该涉及到虚拟层提供的安全服务。建立服务器虚拟化情况下新的边界防护系统，要能对进出虚拟机的所有流量进行检测，识别信息的端口、协议、目的地，对信息的内容进行分析以识别入侵行为或者进行病毒检查。

2.3 加强建设虚拟化基础设施、进行分权制约

服务器虚拟化环境就像一个完整的系统，虚拟化管理工具是其中的核心。虚拟机的生成、策略设置以及维护都要通过虚拟化管理工具实现。一方面要加强建设虚拟化管理工具，加强安全性。另一方面，也可以通过分权制约的方式降低由虚拟化管理工具自身不足带来的安全风险。可将系统分权为系统管理员、安全管理员、安全审计员三个角色。系统管理员负责进行日常虚拟机创建和数据中心维护工作；安全管理员负责桌面资源池的日常创建和授权以及废止虚拟机删除；安全审计员负责查看系统管理员和安全管理员的操作情况。三个角色分权制约，既保证了各自工作任务的完成，又能保证彼此的合作。

3 结语

服务器虚拟化情况下的安全防护尚且处于探索和起步阶段，存在着一些新问题，需要相关技术人员探索出一套新的网络防护措施。

[1]吴涛主编.网站全程设计技术(修订本)[M].北京:清华大学出版社,北京交通大学出版社，2016.

[2]张华,贾志娟主编.asp项目开发实践[M].中国铁道出版社，2016.