【IT168 资讯】从2008年开始，就有许多安全专家不断指出服务器虚拟化存在各种各样的安全漏洞，而且这此漏洞从它产生开始就一直存在。例如，攻击者可以利用这些漏洞直接控制虚拟机的管理层hypervisor，从而控制这台物理主机上的所有虚拟机。另外，还有一些利用系统管理模式漏洞的rootkit，它运行在计算机内存中的一个受保护的区域中，此区域是系统无法发现和访问的，也就不能被安全软件检测到。如果它再配合键盘击键记录软件和网络通信软件的使用，攻击者就会得到虚拟机上更多的信息。因此， 如何消除应用虚拟化技术带来的安全风险，现在不仅成为用户最关注的焦点，同时也是各虚拟化软件提供商需要解决的关键问题。

　　实际上，虚拟化技术发展到现在，经过虚拟化技术提供商及许多安全机构的努力，还是存在许多有效的解决方法的。如果我们在使用虚拟化技术之时，能够有效地遵循这些保障虚拟机安全的做法，还是可以将虚拟化面临的安全威胁，降到大多数用户可以承受的范围之内的。

　　由于用户使用的虚拟化软件不同，虚拟机所处的物理环境，以及虚拟机所处的网络架构环境都是不相同，因此，雪源梅香下面将要提出来的一些保障虚拟化安全的观点和方法，可能并不完全适合您的需求，您应当根据自己虚拟服务器实际的应用环境，来慎重的考虑和选择性采纳本文中的方法，以便更适合您的需求。

　　首先，在开始考虑部署虚拟服务器之时，我们必需列出一个包含下列内容的问题清单，然后再为它们找到应对之策：

　　1、 虚拟服务器的用途是什么?要承担多少并发访问?要运行在哪台物理服务器之上，还是需要为它购买一台新服务器?

　　2、 物理服务器上已经运行了多少台虚拟服务器?各虚拟服务器之间如何隔离?是否存在单点失败的问题?

　　3、 各虚拟服务器之间的网络连接如何相互隔离?如何防止被侦听?各虚拟服务器之间需要相互通信吗?如果需要，如何解决它们通信时的安全?

　　4、 如何控制访问各虚拟服务器的用户权限和方式?

　　5、 如何保障虚拟服务器中数据的安全?

　　6、 虚拟服务器系统本身应当如何加固?如何保障虚拟机管理层hypervisor的安全?

　　7、 对虚拟服务器使用什么方法进行管理?虚拟服务器安全如何完美地加入到现有的安全策略当中?

　　8、 如何跟其它网络设备及安全设备进行合作，进一步保障虚拟服务器的安全?

　　9、 如何保护物理服务的安全?如何保障物理主机的电力供应?如何减少各种自然灾害带来的危害?

　　以上所列出的这些内容，就是在应用虚拟服务器时，应当着重考虑的虚拟服务的安全问题，是每个虚拟服务器应用用户都不能回避的问题。

　　由于虚拟化应用环境各不同，您所面对的虚拟化安全问题可能比上述列出的还要多。这就要求您在应用虚拟服务器之前，必需先对应用环境做一个全面的调查和分析，然后再列出一个详细的安全风险清单，这个安全风险清单就是您在部署虚拟服务器时应当解决的安全问题。

　　当您将虚拟化的安全问题详细列出来后，现在要做的，就是在部署之前，找到应对它们的解决方法，并将两者结合起来构成一个完整的虚拟化安全策略文档，以便在实际部署过程当中作为安全指导方针。

　　在本文中，针对上面列出的这些虚拟化安全问题，我们可以按下列所示的方法去应对：

　　1、 在安装虚拟机之时，应当为每台虚拟服务器分配一个独立的硬盘分区，以便将各虚拟服务器之间从逻辑上隔离开来。

　　2、 在选择物理服务器时，选择具有TPM安全模块的物理服务器，还可以用来保障虚拟机的数据安全。TPM安全模块可以在虚拟服务器在启动时检测用户密码，如果发现密码及用户名的HASH序列不对，就不允许启动此虚拟服务器。因此，对于新建的用户来说，选择这些功能的物理服务器来作为虚拟机应用是很有必要的，何况现在这类服务器的价格还在不断下降。

　　3、 对于每台虚拟服务器系统，还应当安装基于主机的防火墙、杀毒软件、IPS(IDS)，以及日志记录和恢复软件，以便将它们相互隔离，并与其它安全防范措施一起构成多层次防范体系。

　　4、 对于每台虚拟服务器，都必需分别实施相应的备份策略，包括它们的配置文件、虚拟机文件及其中的重要数据都要进行备份。备份也必需按一个具体的备份计划来进行，应当包括完整、增量或差量备份方式。另外，将数据和备份数据保存至异地将是不错的方法，但是会增加一定的成本和管理复杂度。

　　5、 应当在防火墙或UTM网关中，对每台服务器做相应的安全设置，进一步对它们进行保护和隔离。

　　6、 将服务器的安全策略加入到系统的安全策略当中，并按物理服务器安全策略的方式来对等。

　　7、 在安装虚拟服务器时，应当为每台虚拟服务器指定独立的网络接口卡，这样能保证每台服务器的网络性能，还能将它们的网络连接进行物理隔离。

　　8、 对每台虚拟服务器，应当通过VLAN和不同的IP网段的方式进行逻辑隔离。对需要相互通信的虚拟服务器之间的网络连接应当通过VPN的方式来进行，以保护它们之间网络传输的安全。

　　9、 要对访问的客户机进行严格控制，不允许客户机用户自己添加桌面虚拟机，也要严格控制虚拟服务器的数量，不要进入虚拟机暴涨的恶性循环中。

　　10、 对虚拟服务器的运行状态进行严密的监控，对不需要运行的虚拟机应当立即关闭。这些可以通过使用相应虚拟软件提供商的虚拟机管理软件来进行，

　　例如，VMware ESX Server的Virtual Center管理平台、Microsoft Virtual server 的Service Center Virtual Machine Manager 及Xen 的XenCenter。同时要保证运行这些虚拟机管理软件的主机安全及软件本身的安全，这些可以通过加固主机系统和及时更新软件补丁来解决。

　　11、 对于虚拟服务器系统，应当像对一台物理服务器一样地对它进行系统安全加固。包括系统补丁、应用程序补丁、所允许运行的服务、开放的端口等等。严格控制物理主机上运行虚拟服务的数量，不要在物理主机上运行其它网络服务。如果虚拟服务器需要与主机进行连接或共享文件时，应当使用VPN方式进行，以防止由于某台虚拟服务器被攻破后影响物理主机。文件共享也应当使用加密的网络文件系统方式进行。要特别注意主机的安全防范工作，消除影响主机稳定和安全性的因素，防止间谍软件、木马、病毒和黑客的攻击，因为一旦物理主机受到侵害，所有在其中运行的虚拟服务器都将面临安全威胁，或者直接停止运行。

　　12、 要注意管理员或其它管理物理主机以及虚拟服务器的账号及密码的安全，严格控制访问权限和访问的时间，以些来防止其它非授权用户停止虚拟服务器。

　　13、 如果有可能，使用新的带有多核的处理器，并支持虚拟技术的CPU，例如AMD的皓龙四核处理器，它能一次性将CPU分割为十个分区，分别指定给每台虚拟服务器，这样就能保证将它们处理器之间的物理隔离，能减少许多安全问题。

　　14、 及时更新物理主机的硬件驱动，以此来补上硬件漏洞，防止某些DDOS针对物理设备漏洞的攻击。

　　15、 实时监控各虚拟机当中的系统日志和防火墙日志，以此来发现存在的安全隐患。

　　16、 不要在服务器上使用U盘等移动设备，杜绝通过移动设备进行传播的木马或间谍软件。

　　17、 尽量不要使用远程方式来管理虚拟机，如果一定要进行远程管理，一定要使用例如 SSL加密或VPN的方式来进行。

　　18、 由于使用单台主机会存在单点失败，因此，如果有条件，最好使用另一台物理服务器做相应的镜像备份和冗余设置，以保证服务器的连续运行。

　　19、 使用UPS电源来保障电力供应的稳定，使用多合一防雷器和可靠的接地系统来预防雷电的损害。另外，物理主机的位置、机房的散热条件，以及其它能减少自然灾害的因素都必需考虑到。

　　通过应用上述这些应对虚拟化安全威胁的方法，就可以将虚拟服务器的安全威胁降到我们可以接受的水平之内。

　　但是，这并不意味着会完全消除虚拟化的所有安全威胁。这是因为，随着虚拟化技术的快速发展和更广泛的应用，将会有更多的攻击者想利用虚拟化获取各种利益，也就会不断寻找新的虚拟技术漏洞和攻击方法。因此，虚拟技术的安全之路还有很长，但不管怎么说，遵循一些已经存在的安全做法，还是可以减少这些风险的。