如何加强服务器虚拟化的安全措施

　　你会如何管理和衡量企业内部的IT安全？来自Core Security的最新举措就是专门为打算调整物理和虚拟资产来测试IT安全的系统提供解决方案，找到流程中潜在的大量软件漏洞。 目前处在测试阶段的Core Insight企业级平台提供一种自动化测试平台，通过将多种攻击串联在一起去测试IT安全在平台上构建Core Impact渗透测试应用软件。

　　Core Security公司产品管理副总裁Fred Pinkett在接受采访时表示"这是一款针对企业用户的产品，可以自动化运行。我们努力的目标就是面向安全测试和管理市场，帮助安全管理人员提高他们的安全认知和拓宽他们的安全视野"。

　　从配置的角度来看，Core Insight企业级平台可以自动测试物理硬件或者虚拟软件应用工具。Pinkett表示应用工具可以在主应用工具和审计应用工具的环境中彼此配合运行：审计应用工具执行测试，主应用工具手机数据和安排工作任务。

　　Pinkett表示"我们目前的目标是让每个应用工具有10000个执行对象，这些对象可以是系统，网络用户，也可以是网页。我也看到有10个应用工具被集合在一起，这样预计可以测试最多高达10万个潜在对象"。

　　在验证应用工具风险方面，Core Security公司对大家来说并不陌生。今年初，Core Security研究专家还发现了微软IE浏览器中的一个重要漏洞。

　　公司最新产品的关键是目标：Pinkett解释说如果 攻击者打算尝试和渗透入企业的网络，他们可能已经在脑海中刻画好了攻击的目标和想要得到的信息。在尝试判断如何防范安全风险时，安全专业人员也可以沿用同样的做法。

　　因此用户可以调用Core Security称之为campaigns的程序，指示Core Insight企业级平台来实现常规自动化渗透测试的特定目标。campaigns系统是从用户提供的起点来进行配置和预设的。这个系统还能提供自动化报告。

　　Pinkett表示"你可以启动Core Impact引擎来进行网络，客户端和网络开发，这些攻击矢量可以在campaign中共享。这些攻击会合并在符合攻击路径测试运算法则的Core Insight企业平台中"。

　　Pinkett还解释说运算法则从网络信息开始。然后系统会计算可能的路径来确定使用信息的目标。

　　"我们计算真实世界中可能被人们利用来窃取敏感数据的攻击路径，这些攻击都是企业用户必须遏制的攻击"Pinkett表示。

　　他还补充说，由于系统是在自动化基础上定期运行，Core Insight企业级解决方案可以反映出在特定时段内存在多少潜在的企业安全风险。如果侦测到有违反PCI法规的情况，还可以发出警告。

　　目前处于测试阶段的Core Insight企业级解决方案计划在2010年底投入大范围应用。