如何增强基于云虚拟服务器的安全性？

　　导读：虚拟化是一项能让客户端服务器应用软件与多核大容量中央处理器完美融合的技术。

　　2010年12月1日 国际报道：虚拟化是一项能让客户端服务器应用软件与多核大容量中央处理器完美融合的技术。也是能为当下的服务器和应用软件提供丰富的处理能力和内存的理想解决方案，同时还能实现应用软件与服务器之间完美的隔离。事实上，管理程序和虚拟机已经成为网络应用软件时代的大型机。就像大型机推动了由内部IT部门所有和掌控的私有系统向可供任何人使用的公共分时服务迁移那样，虚拟机也跨越了私有和公有资源的鸿沟，以云为基础的基础架构即服务提供商可以根据使用时间计费来出租服务器。

　　裸机虚拟机监控器是针对完全孤立的多用户客户端操作系统所设计的系统。在企业数据中心可控的范围内，每个虚拟机用户的身份和责任都是已知的，虚拟机隔绝技术就足够用了；但是，当应用环境向公共云迁移，这项技术的作用就显示出了其局限性。来自其他云用户的虚拟机安全风险涉及的范围目前还处在在安全专家的研究过程中，但是安全风险已经超出了虚拟机监控器目前可以自我防御的范围，因为在云环境中，网络和存储也都是共享的。尽管目前还没有公开文献记载了虚拟机之间的渗透，但是有专家警告称这不是不可能发生的事情，狡猾的黑客入侵管理程序不过是时间的问题。在云环境中，要控制的不止是操作系统，最终用户只是这个安全天平上的一个组成部分，他们必须信任服务提供商来为获取服务提供支持。

　　潜在的风险

　　了解公共云风险的一个方法是将操作环境划分为三个提取层，这种方法是由思科系统公司安全技术事业部云和虚拟化解决方案总监兼云安全联盟技术顾问克里斯托弗.赫夫最先提出的。处于云托管环境核心中的基础网络，服务器硬件和存储软件的基础架构安全属于最低的级别。

　　第二级是基础架构即服务层的安全，包括虚拟机监控器，配置，协调和支付软件。最后一个安全级涵盖在基础架构即服务客户端虚拟机上运行的操作系统和应用软件。赫夫指出云用户只能控制最后一个安全级，所以他们必须信任其服务提供商能完全保证所有其他层的安全可靠。

　　赫夫表示"令人困惑的是提供商的安全环境就是令人费解的，但是最终用户只能掌控他们自己的那一块"。反之，即使云用户能保证他们的应用软件和操作系统像军事堡垒一样安全可靠，但是如果提供商的基础架构存在漏洞，依然给遭遇风险留下了可趁之机。

　　保护虚拟机环境也带来了几种新的挑战。赫夫归纳了其中攻击风险。在虚拟机层面上，这些风险是客户端对客户端，客户端对主机服务器和客户端自身的攻击，同时也有来自云外部到主机和外部到客户端的攻击。最后是针对服务器或者管理程序本身的内部攻击和需要访问物理服务器的硬件漏洞。

　　根据赫夫的说法，对公有虚拟机的攻击采取的是多管齐下的形式，包括以管理程序为目标的木马，传统的恶意软件或者所谓的超级攻击（一种完全控制服务器的流氓管理程序）。服务器外围设备也是可能招致虚拟机木马攻击的漏洞，攻击可能会针对网络接口卡或者硬件BIOS漏洞，通过被木马感染的USB记忆棒来传播病毒。

　　虽然对虚拟机客户端操作系统的攻击从单独的系统上是很难辨别的，但对基础管理程序和服务器硬件的威胁在理论上依然是存在的。不过赫夫提醒大家说，尽管每个虚拟机的潜在风险已经被大家所认知，但是仍然有人会去攻破系统中的漏洞，如果系统存在被攻击的薄弱环节，他们就存在风险。

　　技术和服务保护

　　在多数方面，维护基础架构即服务云上虚拟系统的安全与保护企业数据中心里单独的服务器是一样的，应用的最佳实践方法也是一样的。

　　赫夫表示"你为维护一台服务器所做的每件事，也应该用在虚拟机上"，他还警告说使用公有云需要提高警惕性。

　　或许最重要的是拥有详细而强大的应用软件和虚拟操作系统监控。对于云托管的应用软件来说，赫夫建议建立自动监控记录以便提前侦测到性能异动或者中断。

　　由于安全性已经超出了云用户的控制，赫夫就是主张提高提供商与用户之前透明度的积极倡导者。当我们信任第三方的核心业务应用软件时，用户对他们的安全和数据保护协议，标准法规遵从和事故反应流程的了解和监控是非常重要的。事实上，对云提供商安全声明查证流程的自动化是CloudAudit标准项目的初步目标。

　　软件厂商也加强了虚拟机的安全性。虽然这些改进减少了黑客入侵管理程序或者攻击同一个服务器上运行的其他虚拟机的可能性，但基础架构即服务的用户仍然要加强防范。

　　KnowThreat的创始人兼首席咨询师泰勒.班克斯推荐用户在云上进行存储之前对所有数据都进行本地加密，同时将关键的数据管理本地化。班克斯还强调说必须构筑云托管应用软件的安全屏障。赫夫也同意班克斯的观点并补充说，云用户必须重新配置应用软件来保证系统能抵御安全缺口或者某个云提供商的服务中断风险。

　　Solera Networks公司负责市场营销和产品管理的副总裁Pete Schlampp认为，云用户也应该要求提供商利用网络论坛来抵御各种攻击。他还补充说论坛充当的就是"网络安全照相机"的角色，可以将任何安全事故重放出来。