雲端運算：虛擬雲端安全性考量

發行項
08/18/2016

在雲端運算基礎結構的環境內使用虛擬機器有一些有趣的安全性挑戰。

維也納國際中心溫克勒

改編自"確保雲"（Syngress，Elsevier 的烙印）

虛擬化轉換的驅動器中創建一個靈活、點播基礎架構的一個關鍵因素的伺服器整合和資料中心操作的技術 — — 另一種方式描述的雲計算。雖然某些問題解決時採用虛擬化在任何環境中的，有以支援雲計算環境中使用虛擬化時出現的其他安全問題。

當採用雲計算的虛擬化，變得明顯物理的基於伺服器的部署中使用的工具不能滿足在高度動態管理虛擬化之一。開始時在物理伺服器部署模型中，資源調配自動化一般不嚴重用除非有足夠的相當多的伺服器作業系統，還是值得這樣做。

資源調配的物理伺服器的典型策略包括重複步驟。在像雲一樣大量虛擬化環境中，作業系統資源調配將迅速轉換為高度自動化的進程。

新的威脅

虛擬化改變的作業系統和硬體之間的關係。這挑戰傳統安全的角度。它破壞了您提供作業系統和應用程式伺服器，您可以看到並觸摸上的時，你可能會感覺的舒適。有些人已經相信這種舒適的感覺又放錯了地方，但在大多數情況下。對於一般使用者，桌面 PC 連接互聯網的實際安全狀況很難實事求是地辨別。

虛擬化複雜化，但並不一定安全更好或更糟。有幾個重要的安全問題，您需要在考慮虛擬化，以使用位址雲計算。

一個新的潛在風險已跟可能危及一個虛擬機器 (VM) 管理程式。如果管理程式很容易受到攻擊，它將成為一個主要的目標。雲計算的規模，在這種危險會產生廣泛的影響如果不否則減輕。這就需要額外的程度的網路隔離和增強的檢測安全監測。

在審議這一問題時，首先考慮一個管理程式的性質。作為安全顧問和創始合夥人 Nemertes 研究集團股份有限公司安德莉亞斯 · 安東諾普洛斯指出，"系統管理程式是專門構建的一套小和特定的功能。一個管理程式是規模較小、更不是一般用途的作業系統，有針對性和受影響較小，有較少或沒有外部可訪問的網路埠。

"管理程式不接受經常更改，並不會運行協力廠商應用程式。來賓作業系統，可能是脆弱的沒有管理程式直接訪問。事實上，管理程式是完全透明的網路流量從一個專用管理程式的管理介面，交通的除外。

"此外，目前沒有有案可稽的攻擊系統管理程式，減少攻擊的可能性。所以，儘管 hypervisor 妥協的影響是很大（所有客人的妥協），概率較低，因為管理程式的漏洞和攻擊的可能性很低。"

存儲問題

虛擬化的另一個安全關切是分配和中取消已分配資源如與虛擬機器相關的本機存放區的性質。在部署和虛擬機器的操作中，資料被寫入到實體記憶體。如果它不清除之前這些資源重新分配給下一個 VM，有潛在的風險。

這些問題肯定不是虛擬化所獨有的。他們已經處理每個常用的作業系統。你應注意到，儘管初始作業系統可終止錯誤之前的資源將被清除。此外，並不是所有的作業系統管理結算方式相同的資料。一些可能清除資料資源釋放後的，其他人可能會這樣做後分配。

底線：控制如何使用存儲和記憶體使用公共雲時。清除自己的資料、小心處理操作對敏感性資料，並特別重視存取權限和特權的控制項。另一種優秀的安全做法是驗證發佈的資源已被清除。

虛擬化與關注的另一個領域，做有潛力的物理伺服器上配置的虛擬機器之間未檢測到的網路攻擊。除非您可以監視每個 VM 的通信量，你不能驗證交通不可能這些虛擬機器之間。

有幾種可能的方法。第一個是虛擬機器使用者可以簡單地調用基於作業系統通信過濾或本地防火牆。有一個潛在併發症做此如果您需要多個虛擬機器的交流與合作。這些虛擬機器可以動態地移動服務提供者進行負載平衡他們的雲。如果 VM 互聯網協定 (IP) 位址更改時（這是不可能的但可能）的搬遷，絕對處理用於防火牆規則，然後過濾防火牆將會失敗。

實質上，網路虛擬化必須向 VM 提供相應的網路介面。該介面可能會與所有的交換和路由處理網路中的多工的通道互連硬體。

功能最全面的管理程式有虛擬交換機和坐在伺服器的物理介面和提供給虛擬機器的虛擬介面之間的防火牆。你要管理所有這些設施，如 VM 的位置和它們之間允許的通信路徑進行更改。

流量管理

可能會有潛在的限制虛擬機器之間的交通流量的另一種理論技術將用於收集和隔離不同類別的虛擬機器從彼此隔離。虛擬機器可以追溯到其在整個生命週期的所有者。他們只會在與其他滿足這些相同的主機託管的虛擬機器的物理伺服器上共存。

這種方法可包括某種形式的標記或標記類似于標記內（如受信任的 Solaris 或 SE Linux）的多級作業系統的虛擬機器。您還可以使用配置管理資料庫來跟蹤租客請求的應用程式隔離。

在所有這些例子中，但是時, 出現問題"租客還需要具有可用性的常見故障模式的最大分離應用程式元件。條例草案的人，軟體架構師和雲：黑鷹俱樂部網路專家說，它不是這項計畫不能進行工作，而是所有不相容和未充分利用的伺服器片段（這不能賣給別人）的成本亦須在服務成本、以"。

管理虛擬機器之間的通信流的一個實際做法是使用虛擬區域網路 (Vlan) 隔離另一個客戶的虛擬機器從一個客戶的虛擬機器之間的通信。要完全有效，但是，這種技術需要擴展支援 Vlan 以外的核心交換基礎架構和物理伺服器到該主機的虛擬機器。現在幾乎所有人都用 VM 技術這種支援。

下一個問題縮放其當前範圍以外的 VLAN 樣功能，以支援較大的雲。這種支援也需要予以標準化，以允許多供應商解決方案。它還需要使用網路管理和系統管理程式綁定。

認證事宜

最後，在考慮與虛擬機器的安全問題，它是必須認識到這項技術並不是新。幾個產品經歷了正式的安全評估和認證。這意味著在實際意義上的是幾個 VM 技術供應商煞費苦心獲得獨立和公認的安全認證。

虛擬化絕對複雜化管理基礎設施，但雲計算，這只是必須自動如果你要使用這項技術在雲規模和雲彈性。虛擬化風險的底線是使用這種技術必須加以更好地規劃和管理。

通過自動化與雲計算的虛擬化管理，您可以實現多個好處 — — 包括安全性更好。此外，特設使用虛擬化的結束是一個積極的趨勢，安全。它表示返回基礎設施的控制。

VicWinkler

**維也納國際中心 (J.R.)溫克勒**是一位高級研究員博思，主要是美國提供技術諮詢政府客戶。他是發佈的資訊安全和網路安全研究人員，以及入侵/異常檢測方面的專家。