[  /commsearch.aspx?author=%c0%ee%d3%c0%bc%d1]李永佳[/url] 来源：万方数据

本文阐述了在虚拟化技术的浪潮下，企业在服务器虚拟化进程中遇到的安全问题和对策，以及我们如何更好地利用服务器虚拟化技术为企业服务。
1．序言
    如今虚拟化技术不管是从广度还是深度上都对传统的企业IT结构带来极大的冲击，桌面和应用的虚拟化，服务器的虚拟化，存储的虚拟化和网络的虚拟化等技术的应用，在提高企业IT效率的同时，也缩减了建设成本。从2000年以来服务器虚拟化技术从星星之火发展到今天的燎原之势，尤其是2006年后，从处理器层面的AMD和Intel到操作系统层面的微软的加入，从数量众多的第三方软件厂商的涌现到服务器系统厂商的高调，我们看到一个趋于完整的服务器虚拟化的产业生态系统正在逐渐形成，这一系统的形成大大加快了企业服务器虚拟化的进程，企业内部虚拟机的数量成倍增长，原有物理机也被迁移到虚拟机上。随着使用的深入，一些问题也开始显露出来，如何安全的部署我们的虚拟服务器7如何在虚拟服务器上线运行后保障它安全的运行7这些问题也成为制约企业服务器虚拟化发展的障碍。如何在安全的范畴内使用服务器虚拟化技术，成为迫在眉睫需要解决的问题。
2．服务器虚拟化技术
    服务器作为企业IT应用的核心平台，如何在部署新应用服务的同时，又可以在缩减成本和提高效率上寻求一种平衡，这一直是企业IT管理人员工作中孜孜以求的目标。服务器虚拟化技术为这一目标找到一个理想的解决方案。服务器虚拟化技术就是将服务器物理资源抽象成逻辑资源，让一台服务器变成几台甚至上百台相互隔离的虚拟服务器，或者让几台服务器变成一台服务器来用，我们不再受限于物理上的界限，而是让CPU、内存、磁盘、I／O等硬件变成可以动态管理的“资源池”，从而提高资源的利用率，简化系统管理，实现服务器整合，让IT对业务的变化更具适应力，企业在部署新的应用时也更加迅捷的便利，同时又避免了服务器数量的盲目增加，降低了企业的成本。
3 服务器虚拟化部署阶段的安全问题和对策
    当你的公司决定在企业内部进行服务器虚拟化改造后，摆在你面前是原来数量可观的物理机，它们性能不一，所用的操作系统也不尽相同。如何安全地将这些物理服务器迁移到虚拟机上去而不影响现有的业务运作，这是一个需要认真考量的问题。通常我们用工具来完成这一工作。其一用VMware提供的迁移工具——VMware P2V Assistant来完成迁移工作，但这一工具的不足之处是不能迁移Windows之外的主机，对于非Windows系列的主机那就要使用另一款工具——Symantec Ghots企业版，它通过把想要迁移的服务器硬盘制作成镜像文件，并通过网络恢复到虚拟机中。这两款工具对原有服务器只是一个拷贝的动作，不会造成危害，相对来说较安全。当你一台机器上部署多台虚拟机后，那么这台机器要承担多少并发访问量，性能是否满足需求就应当考虑在内，发生单点故障后如何解决?当你把承载企业应用的多个虚拟服务器部署在一台物理服务器上时，如何应对单点故障风险是必须考虑的，否则当发生故障时，不能及时恢复将给企业带来灾难性的后果。因此在条件允许的情况下，最好使用另一台物理服务器做相应的镜像备份和冗余设置，以便故障发生时，备用服务器能立刻上线运行，同时使用UPS电源来保障电力供应的稳定，并使用多合一防雷器和可靠的接地系统来预防雷电的损害。此外，物理主机的位置、机房的散热条件，以及其它能减少自然灾害的因素都必需考虑到。
    虚拟机的逻辑划分上应当为每台虚拟服务器分配一个独立的硬盘分区，以便将各虚拟服务器之间从逻辑上隔离开来，就算其中有一台虚拟服务器存在故障也不至于影响到其它虚拟服务器。在更多的情况下企业拥有由众多的服务器组成的服务器集群，在这种情况下，其中的一台机器发生故障，要能够及时将这台机器上的运用动态迁移到别的机器上，VMware和微软两大虚拟化平台提供商都提供了类似故障迁移的功能，就是当其中的一台物理服务器发生故障时，虚拟化管理平台会自动在极短的时间内将其上的应用迁移到其它物理机上，也就在在其它机器上启动了该项应用，从而保证应用服务不会被中断，提供了高可靠性。当然类似的功能还有待在实践中得到检验，但随着虚拟化管理平台功能的日趋完善，相信在将来类似单点故障的问题一定会得到妥善解决。
    网络架构是服务器虚拟化的过程中，变动最大的一环，也是最有可能产生安全问题的关键所在。当多台虚拟服务器上线运行后，它们之间的网络如何被相互隔离，它们彼此通信时又是以什么方式进行，如何保证这些通信是安全的，是不被侦听的?尚未进行服务器虚拟化之前，企业可以在前端的防火墙设备上订立出多个隔离区，针对不同功能的服务器个别套用合适的存取规则进行管理，假使日后有服务器不幸遭到攻击，危害通常也仅局限在单一个DMZ区之内，不容易对于所有运作中的服务器都造成影响。虚拟化之后，所有的虚拟机器很可能就集中连接到同一台虚拟平台(如VMware ESX／ESXi，微软的Hyper—V)，或者由『虚拟——实体j网卡之间的桥接(如VMware Server／Workstation，微软的Virtual Server／PC)，与外部网络进行通讯。在这种架构之下，原本可以透过防火墙采取阻隔的防护就会消失不见，届时只要一台虚拟机器发生问题，安全威胁就可以透过网络散布到其它的虚拟机器。因此应当通过VLAN和不同的lP网段的方式进行逻辑隔离，对需要相互通信的虚拟服务器之间的网络连接应当通过VPN的方式来进行，以保护它们之间网络传输的安全。除此之外你还要建立起一套行之有效的监控手段，以便让你了解各个虚拟机之间联系记录，否则你将而对一个失控的虚拟服务器网络。
4．服务器虚拟化管理阶段的安全问题和对策
    当服务器虚拟化改造结束后，随之而来的管理问题就浮出水面。企业IT管理人员，除了像以前一样面对一台台物理机外，还要面对一台台隐藏在物理机内部的虚拟机，而且它们的数量可能随时都会增加。当然现在日趋完善的虚拟化管理平台可以有效地管理这些虚拟机，但这些虚拟机的安全问题是同样不容忽视的。对待虚拟服务器应当像对一台物理服务器一样地对它进行系统安全加固，对于访问者而言它和物理服务器没有区别，同样面临被人恶意攻击的风险，一旦一台有漏洞的虚拟机被攻陷，它有可能成为进一步攻击行为的平台，威胁到其它虚拟机甚至整个虚拟机管理系统，因此及时更新包括系统补丁、应用程序补丁在内的补丁，所允许运行的服务、开放的端口等等都应进行审慎的考量。如今大多数企业通过保持少量的通用的“黄金”镜像，从这些镜像推出用于许多用途的新的虚拟机，当然这样的好处是快速便捷，但其中存在安全隐患就在于虚拟机系统的补丁可能落后于更新。虽然VMware和微软两大虚拟平台提供商在自己的产品都提供了补丁管理的功能，但由于管理者疏忽而导致的系统漏洞也许会成为攻击者的可趁之机，同时每台虚拟机的安全策略也应当针对不同的运用而有所区别。要特别注意物理主机的安全防范工作，消除影响主机稳定和安全性的因素，防止间谍软件、木马、病毒和黑客的攻击，因为一旦物理主机受到侵害，所有在其中运行的虚拟服务器都将面临安全威胁，或者直接停止运行。
    病毒的防护同样重要，通常的解决之道是在每一台虚拟机安装杀毒软件和防木马工具等，但这样带来问题，当你对同一台物理服务器上的虚拟机都安装了杀毒软件之后，累积占用的系统资源对服务器来说也是很可观的，甚至有可能影响到正常的应用。现在一个新的解决办法是虚拟化平台的厂商与杀毒软件厂商合作，开发与虚拟化平台相整合的杀毒软件，运作架构相对简单，相当于在每一台虚拟机器前面放置一台安全检查设备，去过滤进出这些虚拟机的所有流量，于是虚拟机器就不需要安装任何的软件便能得到保护，因此可以省下不少的资源。
    此外虚拟机的数据安全也应引起足够的重视。就系统的型态来说，虚拟机只是存储在实体硬盘的几个文件，一旦有办法取得存取硬盘扇区的权限，就能将这些文件复制到其它装置，然后从企业内部流出。要注意管理员或其它管理物理主机以及虚拟机的账号及密码的安全，严格控制访问权限和访问的时间，防止其它非授权用户停止虚拟机。文件共享也应当使用加密的网络文件系统方式进行。对于每台虚拟服务器，都必需分别实施相应的备份策略，包括它们的配置文件、虚拟机文件及其中的重要数据都要进行备份。备份也必需按一个具体的备份计划来进行，应当包括完整、增量或差量备份方式。另外，将数据和备份数据保存至异地将是不错的方法，但是会增加一定的成本和管理复杂度。
    在日常管理中还要加强对新开虚拟机的审核，做好虚拟机的备案工作，避免虚拟机的盲目扩张，及时关停停止使用的虚拟服务器。虚拟机蔓延是虚拟机没有控制的扩散。IT经理、开发人员或者业务部门的经理为了某些具体的应用需要一些额外的服务器。他们推出了这些虚拟机，但是后来忘记了并且失去了对这些虚拟服务器的跟踪。虚拟机蔓延浪费资源，创建了可能访问敏感数据的没有人监视的服务器。当以后出现问题的时候，整个公司和IT部门要清除这些虚拟机是很痛苦的。因此建立一套虚拟机的管理制度是行之有效的方法。
5．总结
    以上从虚拟服务器的部署和管理两个方面阐述了服务器虚拟化后面临的安全问题和对策，从虚拟化的发展来看，这项技术带来了极大的便利．它提升企业IT架构适应企业业务的能力，提升效率的同时也缩减了成本，从它推出至今，人们在欢呼雀跃它带来便利的同时，往往也忽视它带来的潜在风险(这里也不排除服务方案提供商们的一面之辞)，所以一项新技术的成熟往往需要一段很长的时间，服务器虚拟化技术当然也不例外。我们在充分享用它带来便利的同时，也应将风险控制在可控的范围之内，使这项技术更好地为我们服务。在面对一项新技术时，我们不能裹足不前，更不能因噎废食，而应在安全的范畴内勇于探索和尝试，并在不断的实践中去学习和掌握新的知识，因为这是我们个人及到整个社会前进的动力!

本文为授权转载文章，任何人未经原授权方同意，不得复制、转载、摘编等任何方式进行使用，e-works不承担由此而产生的任何法律责任! 如有异议请及时告之，以便进行及时处理。联系方式：editor@e-works.net.cn tel：027-87592219/20/21。

顶了