跨平台虚拟安全工具为虚拟化IDC护驾
[摘要]
虽然服务器虚拟化可以提高运营效率和管理方面的灵活性，并且减少总体拥有成本，但是它也增加了安全风险。据Gartner公司声称，60%的虚拟机不如物理机器来得安全，……
虽然服务器虚拟化可以提高运营效率和管理方面的灵活性，并且减少总体拥有成本，但是它也增加了安全风险。据Gartner公司声称，60%的虚拟机不如物理机器来得安全，这种情况会持续到2009年。面临的安全挑战包括：
IT地址依赖性：在虚拟化环境中，随着虚拟机创建、停用或者从一个物理主机迁移到另一个物理主机，IP地址经常随之发生变化，从而给传统的保护机制带来了问题。
虚拟机散乱：虚拟机很容易利用之前存在的镜像文件（image）创建而成，这往往会带来数量众多的这种虚拟机：它们没有采取适当的维护措施，或者基于已知存在安全漏洞的镜像文件。一旦针对存在安全漏洞的虚拟机的攻击得逞，就会充当进而攻击其他虚拟机的跳板。
无法监控主机间通信：服务器虚拟化技术引入了“软交换机”的概念，让虚拟机可以与同一主机里面的其他虚拟机彼此通信。需要特殊的工具来监控及保护这些通信，而且选择很有限。
孤立的安全政策方法：遗憾的是，许多安全厂商对安全采取了孤立的方法，它们建议使用不同的解决方案，而每个解决方案在管理方面有着不同的要求。Gartner公司的分析师尼尔·麦克唐纳最近在接受采访时说：“虚拟领域的安全问题大多数会由管理不善、处理不当或者再普通不过的错误所引起。我们在物理领域使用的工具与虚拟领域使用的工具有所不同，这让这个问题更加复杂。”
考虑到必须要克服这些挑战才能实现服务器虚拟化带来的好处，势必需要一种新的方法，一种能够同时保护虚拟环境和物理环境安全的跨平台解决方案。跨平台的虚拟安全工具能够帮助组织针对所有数据中心强制执行动态安全政策，也不需要在虚拟化的好处和保持强大安全两者之间进行权衡。
跨平台虚拟安全工具的管理控制台应该可以部署在网络上的任何地方，并且提供委托权限，最大限度地提供灵活性。管理控制台通常会把详细的日志数据写入到系统日志和Windows事件日志中，从而简化了把这些工具与现有的管理控制台集成的工作。
跨平台虚拟安全工具消除了安全政策的IP地址依赖性，确保了政策得到执行，不管机器在什么位置或者使用什么平台。安全管理员可以消除与规则变化有关的运营费用。实际上，政策在各种情况下都能统一得到执行，这些情况包括：
当物理服务器和端点移到网络上的不同位置时
当物理服务器和端点转变成虚拟机时
当虚拟机（无论处在工作状态还是停用状态）从一个物理主机转移到另一个物理主机时
跨平台虚拟安全工具把物理机器与虚拟机放在逻辑安全区，并且确保未授权虚拟机（rogue VM）不是安全区的成员、无法跟它们不是其中成员的安全区进行通信，从而防止虚拟机散乱现象。实际上，未授权虚拟机甚至看不到安全区。只要严格控制对各个安全区的访问，就能大大减小受到危及的虚拟机的攻击面。
跨平台方法通常基于分布式、对等的架构，这种架构允许可以扩展到成千上万个实例。政策管理可以实现整批完成；只要点击几下鼠标，就可以更新部分或者全部端点政策。
其他好处包括：
消除孤立的数据中心安全方法带来的管理复杂性，通过单一控制台来保护主机。
不需要重新配置网络，即可满足法规遵从要求。
消除与防火墙和虚拟局域网有关的运营成本。
充分利用分布式架构，消除瓶颈和单一故障点。
评估跨平台虚拟安全解决方案时，应当考虑以下要求：
跨平台支持（虚拟和物理环境）：理想的解决方案会支持虚拟化环境中常见的x86操作系统，并支持其他常见和不大少见的架构，比如Solaris、AIX、HP-UX、RedHat、Windows以及基于IP的非服务器设备。
不依赖IP地址：理想的解决方案应当强制执行安全政策，不管这个计算机的IP地址是什么；那样万一出现迁移或者物理移动，可以确保政策照样能得到执行。
隔离同一台物理主机上的虚拟机：要保护虚拟机远离虚拟机散乱带来的安全漏洞，理想的解决方案应当能够把同一台物理主机上的虚拟机相互隔离开来。
易于扩展：为了支持发展需要，又不带来瓶颈，就要寻找能在分布式架构上运行的解决方案。
有选择的加密：寻找能够根据政策提供有选择的加密的解决方案，而不是走极端的解决方案，实现性能/保护的最大化。
集中管理：为了充分利用管理方面的效率，就要寻找提供单一安全管理点的解决方案。
基于主机的实施：为了安全政策方面实现最细的粒度和最强的移动性，要寻找能在主机层面执行政策的解决方案。
对基础架构和应用程序而言透明：为了尽量缩短部署时间、尽量减少兼容问题，理想的解决方案其运行对网络和应用程序而言应当是透明的。
可靠的活动和审计日志功能：理想的解决方案应当把详细的活动数据记入日志，并且为管理控制台、服务器和终端创建审计跟踪记录。
基于证书的验证：寻找使用X.509 v3证书的解决方案，确保操作员证书无法被人假冒。
服务器虚拟化在运营和经济层面具有的好处是毋庸置疑的。跨平台虚拟解决安全方案不需要在服务器虚拟化的好处与保持强大安全之间进行权衡，部署的逻辑安全模型同时适用于物理和虚拟数据中心，而且这种模型在虚拟机迁移过程中保持不变。简而言之，跨平台虚拟安全解决方案让组织能够全面地向服务器虚拟化进行迁移，同时简化安全政策的执行。
