确保数据中心虚拟化安全10个步骤

2023-04-19 05:25:55
来源：其他
在手机上看

扫一扫立即进入手机端

　　虚拟服务器是有很多好处，但它的安全问题完全暴露了吗?如何确保安全性?可以采用下面十个积极步骤。

　　2007年，数据中心虚拟化方面的重大问题

　　还是“该技术可节省多少资金和时间?“而到2008年，这个问题将变成“采用该技术，我们会有多安全?“

　　这是一个极难回答的问题。

　　一大批拼命推销虚拟化产品和服务的厂商、顾问在风险及如何防范风险方面存在相左的观点。同时，一些安全研究人员也在大肆宣传理论上存在的风险，比如可能会出现的恶意软件。市场研究公司伯顿集团的高级分析师Chris Wolf说: “现在虚拟化方面的动静很大，让人晕头转向。“

　　许多IT部门表示，在2007年开始创建成千上万个新的虚拟机时，他们认为运行速度比其他因素(如安全规划)更重要。IDC公司负责企业系统管理软件的研究主任Stephen Elliott说: “安全是虚拟化扩建过程中被遗忘的一个角落。要是想想现在虚拟机的数量，确实挺让人担忧。“据IDC声称，如今，员工总数不少于1000人的公司当中有75%在使用虚拟化技术。

　　Gartner公司的副总裁Neil MacDonald在去年10月举办的Symposium/ITxpo大会上预测，到2009年，60%的生产虚拟机安全性将不如物理服务器。

　　安全专家Chris Hoff认为，到目前为止，围绕虚拟化安全的讨论大部分都是片面的。他是优利系统公司安全创新部门的首席架构师。其实应该这么考虑: “已经把知道的安全知识运用到了虚拟化环境中吗?我们应当确保构建的虚拟网络要与构建的物理网络一样可靠、安全。“

　　某些IT部门正在犯一个根本的错误: 他们让服务器部门单枪匹马地开展虚拟化项目，没有让IT团队的安全、存储和网络专家参与进来。这会给虚拟化技术带来内在的安全问题缺陷。

　　伯顿集团的Wolf说: “虚拟化绝大部分靠规划，而规划必须让全部团队参与进来，包括网络、安全和存储等团队。“而事实上，大多数IT团队在迅速推进虚拟化的项目，安全方面的工作跟不上。如果错失了与所有专家一起规划的大好机会，那该怎么办呢?Wolf说: “安全方面想迎头赶上，不妨从认真审查虚拟基础设施入手，这要借助工具或者顾问。“

　　下面是企业为了加强虚拟机安全可以采取的十个积极步骤:

　　一控制虚拟机的数量
　　创建虚拟机只要短短几分钟。但虚拟机数量越多，面临的安全风险也越大。所以，最好能够跟踪所有的虚拟机。

　　Arch Coal公司负责IT的CIO Michael Abbene说: “我们先对很不重要的测试和开发设备进行了虚拟化处理，然后转向一些不太重要的应用服务器。因为一直很成功，所以我们把目标放在比较重要的服务器上，但这么做会加大风险系数。“该公司目前大约有45个虚拟机，包括活动目录服务器以及几台应用服务器和web服务器。

　　那么，如何控制服务器数量激增?一个方法是: 创建虚拟服务器要像创建物理服务器一样严格。在Arch Coal公司，IT团队对创建新虚拟机的审批很严。“无论是物理服务器还是虚拟服务器，都要通过同样的流程才能获得批准。“Arch Coal的微软系统管理员Tom Carter说。

　　为此，Arch Coal的IT部门通过一个委员会(由服务器和存储等不同部门的IT员工组成，实现轮岗制)批准或者否决申请。这意味着应用开发部门的人员根本无法擅自构建vmware服务器，不过他允许开发人员提出要求。

　　专家认为，虚拟机数量激增是一大问题，会导致管理、维护性能及配置供应的能力出现滞后。“另外，如果虚拟机的数量超出了控制范围，就会出现意料不到的管理成本。“Tom Carter说。

　　二运行更多流程

　　虚拟化技术最吸引人的也许在于速度: 只要几分钟就能创建虚拟机，可以轻松移动，只需要一天而不是几周即可提供新的计算功能。但IDC的Elliott认为，放慢节奏，认真考虑虚拟化成为现有IT流程的一部分，就能够从根本上预防安全问题。

　　Elliott说: “流程至关重要。考虑虚拟化时不仅要站在技术的角度，还要站在流程的角度。“举例说，如果使用ITIL来指导IT流程，就要考虑虚拟化是否适合流程框架。如果使用其他IT最佳实践，也要考虑虚拟化的适应性。

　　Hoff举例说: “如果要加强服务器安全，就应当对虚拟服务器采取与物理服务器同样的一套做法。“

　　在Arch Coal公司，Abbene的IT团队就是这么做的。Abbene说: “我们确保物理服务器安全的最佳实践运用到了每一个虚拟机上。“加强操作系统安全、在每一个虚拟机上运行反病毒软件、确保落实补丁管理，这些措施使得虚拟机具有同样的安全流程。

　　三利用安全工具

　　是否需要一套全新的安全和管理工具来保护虚拟化环境?不需要。明智之举就是，从保护物理服务器和网络环境的一套现有安全工具入手，然后运用到虚拟环境。但一定要了解厂商是如何跟踪虚拟化风险、将来如何与其他产品进行集成的。

　　IDC的Elliott说: “保护物理环境的工具用于保护虚拟化环境是一种虚假的安全感。“同时他又说: “对虚拟化环境的新型安全工具而言，目前处于市场的早期阶段。这意味着必须对传统厂商以及潜在的新兴厂商施加压力。“

　　别以为平台层面的工具(如VMware的工具)足够好。要看一看新兴公司和传统管理厂商。对那些传统厂商施加压力，要求他们做更多的工作，并为他们提供指导。

　　马自达北美公司的CIO—Jim DiMarzio就在他的企业中采用了这项策略。与Arch Coal一样，马自达北美公司也在虚拟服务器的核心处运行VMware的ESX Server 3软件，最近一直在增加虚拟机的数量。DiMarzio说，他预计到2008年3月会有150个虚拟机。

　　为了保护这些虚拟机的安全，DiMarzio决定继续使用现有的防火墙和安全产品，包括IBM的Tivoli access Manager、思科防火墙工具以及赛门铁克的入侵检测系统(IDS)监控工具。

　　Arch Coal公司的Abbene及其团队也继续使用原有的安全工具，同时又在调查BlueLane 和Reflex Security等新兴公司的工具。Abbene说: “传统安全厂商正在奋起直追，他们在这方面落后于新兴公司。“

　　四采用嵌入式管理程序

　　服务器上的虚拟机管理程序层充当虚拟机的基础。VMware近期宣布推出的ESX Server 3i虚拟机管理程序的独特之处在于不包括通用操作系统。出于安全上的考虑，它采用了精简设计，只占用32MB空间。

　　像戴尔和惠普这些硬件厂商近期表示，它们会在物理服务器上交付像VMware这种虚拟机管理程序的嵌入式版本。基本上，嵌入式虚拟机管理程序因为比较小，所以比较安全。

　　专家认为，嵌入式虚拟机管理程序是将来的一大趋势。不但从未涉足过这个领域的一些公司会提供嵌入式虚拟机管理程序，大多数服务器厂商也会提供。BIOS软件领域的市场领导厂商Phoenix Technologies近期宣布: 进入虚拟机管理程序领域，首先会推出名为HyperCore的产品，即面向桌面和笔记本电脑的虚拟机管理程序。用户开机后，可以使用网络浏览器和电子邮件等客户软件，无须等待启动Windows(HyperCore将被嵌入到电脑的BIOS中)。

　　虚拟机管理程序市场的竞争和创新对企业来说是好事。最终可能出现的结果是，许多公司会竞相提供最精简、最智能的虚拟机管理程序软件。Hoff说: “无论是Phoenix还是其他厂商，会出现备受关注的竞争，这些虚拟机管理程序都希望成为下一个优秀的操作系统。“

　　五限制访问虚拟机权限

　　如果赋予了访问虚拟机的管理员级别权限，也就是赋予了访问该虚拟机上所有数据的权限。伯顿集团的Wolf建议，要慎重考虑员工需要哪种账户和访问权限。更复杂的问题是，有些第三方厂商针对虚拟机的存储和备份安全的建议是过时的。Wolf又说: “有些厂商甚至本身就没有遵守VMware针对VMware Consolidated Backup的最佳实践。“
　　Arch Coal的信息安全管理员Paul Telle说，总体而言，公司特别注意限制访问虚拟机的管理员权限。他指出，公司里只有一小部分人才拥有这样的权限。

　　应用开发人员应该只有最小的访问权限。“我们的应用开发人员可以访问共享区域，这是最小的访问权限。他们无法访问操作系统。“他说，这有助于控制虚拟机数量激增，同时增强了安全性。

　　六留意存储资源

　　有些企业在SAN上提供过多的存储资源，这就可能错误地让虚拟机的共享区域成为SAN的一部分。

　　如果使用VMware移动虚拟机的工具VMotion，会在SAN上分配一些分区存储资源。但还要细化存储资源的分配，就像在物理环境下那样。展望未来，N-port ID虚拟化技术是一个选择，这项技术可以只为一个虚拟机分配存储资源。

　　七隔离网段

　　企业走上虚拟化道路，不该忽视与安全有关的网络流量风险。但其中一些风险很容易被忽视，如果在进行虚拟化规划时没有网络和安全人员参与，更是如此。Wolf说: “许多企业只是把性能作为合并服务器的度量标准。“

　　举例说，有些CIO绝对不允许任何虚拟服务器出现在“非军事区(DMZ)“。(DMZ是存放外部服务到互联网的子网络，就像电子商务服务器一样，它在互联网和局域网之间增加了缓冲区)。

　　Wolf说，要是DMZ里面果真有几个虚拟机，就要放在与一部分旧系统(如关键的oracle数据库服务器)分开在的独立网段上。

　　Abbene说，在Arch Coal公司，IT团队一开始就考虑到了DMZ。他们把虚拟服务器部署在内部局域网上，不面向公众。Abbene说: “这是一个关键的决定。“举例说，公司在DMZ里面有几台安全的FTP服务器以及几台从事简单电子商务的服务器，公司不打算把虚拟机部署到里面。

　　八注意交换机

　　什么时候交换机不是交换机?Wolf说: &

游戏推荐

数据中心虚拟化安全确保数据中心虚拟化安全10个步骤《原神》多莉属性数据是什么样的(多莉去哪) 《荒野大镖客2》纯血马数据在哪(荒野大镖客2纯血马在哪里) csgo武器数据对比(csgo武器属性排行) 暗黑破坏神4捏脸(暗黑破坏神4捏脸数据) 《荒野大镖客2》诺福克赛马数据怎么看(诺福克赛马荒野大镖客2) apex新版本枪械(apex英雄2021枪械数据) 艾尔登法环捏脸(艾尔登法环捏脸数据男) 2077市中心(2077市中心载具位置) nba2k20库兹马数据(nba2k21库兹马) 阿尔法机器人创意中心(阿尔法机器人公司官网) 《崩坏三》数据乱流在哪里可以看(崩坏3数据查询) 《使命召唤18:先锋》g43僵尸模式数据分享在哪(使命召唤18丧尸) 《荒野大镖客2》online版好看捏脸数据分享在哪(荒野大镖客2好看的捏脸数据) 《地牢战争》陷阱数据一览图(地牢战争沦陷区攻略) 《和平精英》黄金岛怎么撤离队友(和平精英黄金岛如何安全撤离) csgostattrak数据互换器怎么用(csgo数据互换器游戏里面多少钱) nba2k20库兹马数据(nba2k20库兹马模板) 《砰砰军团》数据谜题攻略大全(砰砰斩杀谜题) 暗黑地牢如何修改人物数据(暗黑地牢怎么修改怪癖) csgo数据互换器游戏里面多少钱(csgo数据互换器游戏里面多少钱一把) 《原神》深渊数据库(原神深渊数据库网站) nba2konline2活动中心一直有红点(nba2konline2活动太少) 2k19波什捏脸数据(2kol波什) csgo安全锁区(csgo锁区排位) 《荒野大镖客2》萨福克马数据怎么看(荒野大镖客2萨福克马好吗) 《异化之地》这款游戏怎么样,好玩吗安全吗(《异化之地》这款游戏怎么样,好玩吗安全吗知乎) c罗fifa19数据(c罗fifa21数据) 2077军用科技(2077军用科技数据芯片破解) csgo枪械重量(csgo枪械数据表) sd高达g世纪火线纵横命中率低(sd高达g世纪火线纵横各项数据作用) 《影武者2》龙刃武器解析(影武者2武器奇异数据) 阿尔宙斯数据(阿尔宙斯数据线在哪) 《明日方舟》怎么看抽卡历史数据(明日方舟在哪里看抽卡记录) nba2k19乔丹建模数据(nba2k21乔丹建模数据) 《梦想新大陆》充值会删除吗安全吗(梦想新大陆氪金吗?) csgo微型冲锋枪价格(csgo冲锋枪数据对比) 66游戏交易平台官网(66游戏网安全吗) 《使命召唤18:先锋》百式僵尸模式数据在哪看(使命召唤18:先锋) 《吸血鬼崛起》血剑介绍大全(吸血鬼武器获取方式及数据) 《原神》魔偶剑鬼血量数据表大全(原神里魔偶剑鬼) 2kol2活动中心一直有红点(2kol2活动时间) nba2k20身体数据(nba2k20身高体重) 2kol2活动中心(2kol2活动中心有红点) apex英雄数据转移(apex英雄移动到别的盘) epic上无主之地3的数据怎么移到steam上(无主之地3steam存档转移epic) csgo安全处所房顶怎么上(csgo安全处所收藏品怎么得) csgo武器崭新程度(csgo武器数据对比) 《全面战争:三国》马腾技能猜想与分析(全面战争三国马腾骑兵数据) 《英雄联盟手游》绑定端游账号安全吗(英雄联盟手游绑定端游账号有什么好处) 2k19保罗乔治能力值(2k21保罗乔治数据) 《绝地求生》m416伤害数据图(《绝地求生》m416伤害数据图) 2k20安东尼戴维斯能力值(安东尼戴维斯2k20数据) sd高达g世纪火线纵横sfs怎么获得(sd高达g世纪火线纵横各项数据作用) 《荒野大镖客2》摩根马数据怎么看(荒野大镖客2夏尔马和摩根马) 《原神》温迪属性数据图(元神温迪需要什么属性) 傲软免费跟付费有什么差距(傲软数据恢复是真的吗) csgo数据互换器游戏里面多少钱(csgo数据互换器用几次) 《原神》枫原万叶属性数据最新(原神枫原万叶t0) 《和平精英》安全警告是什么软件(和平精英无缘无故出现安全警告) 暗黑破坏神2怎么把人物数据导出来(暗黑破坏神2怎么把人物数据导出来啊) csgo安全处所收藏品有什么(csgo安全交易平台) cod战区怎么关闭体积雾(cod战区怎么关闭安全模式) csgo计分板挡住雷达(csgo计分板详细数据怎么显示) 暗黑破坏神2重制版服务器互通(暗黑破坏神2重制版与游戏服务器交换数据) 《使命召唤18:先锋》g43僵尸模式数据怎么看(《使命召唤18:先锋》g43僵尸模式数据怎么看不到) 《天涯明月刀》手游捏脸和端游一样吗(天涯明月刀手游捏脸数据通用吗) 矮人要塞怎么设置紧急安全区域(矮人要塞怎么设置紧急安全区域) csgo安全处所房顶怎么上(csgo安全模式) 《江苏政务服务》个人档案怎么查到(江苏政务服务个人中心在哪里找?) 《江湖十一》捏脸数据大全(江湖x还能玩吗) apex最新枪械数据(apex枪械数据13赛季) 2k19波什捏脸数据(2k20波什捏脸) 暗纹中心位置(暗纹中心的位置) ns内存卡数据怎么转移(ns内存卡数据怎么转移到手机) 暗区突围安全绳(暗区突围安全绳在哪刷) 《砰砰军团》数据谜题攻略大全(砰砰军团官网) jump大乱斗捏脸数据索隆(jump大乱斗最帅捏脸) 安全运输规定(安全运输规定有哪些) 《天谕》手游捏脸数据怎么导入游戏(《天谕》手游捏脸数据怎么导入游戏里) 长江网新闻中心下载江南百景图花有三丛任务攻略-江南百景图花有三丛任务步骤说明应该如何处理TMP格式文件保证系统安全母婴智控中心下载母婴智控中心贝贝消防安全知识大全app下载贝贝消防安全知识大全火绒安全软件火绒安全软件怎么拦截广告-火绒设置广告拦截的方法用netstat命令化身Windows7安全高手安全保证Linux系统安全应用的六大因素网络安全知识:独门秘籍阻止网络病毒的自动执行确保用Win2008Server防火墙确保系统安全无线网络安全如何保护无线网络安全连接 windows服务器详细安全设置从异常系统进程检查企业网络安全四种方案全面保护你的视频安全 Cisco路由器安全配置必用的10条命令 Oracle数据库 Oracle数据库中所有重复数据的解决 linuxinputsubsystem虚拟键盘和鼠标安全上网之“防毒八法” 创高体育虚拟跑步软件下载教给你Windows安全模式的五项重要用途