服務(wù)器虛擬化的優(yōu)勢已經(jīng)從多方面論述過了，但對hypervisor安全缺陷的關(guān)注還不夠。如果您由于不小心或缺少經(jīng)驗，就會很容易遇到安全問題。

更多企業(yè)轉(zhuǎn)向虛擬化來降低成本和增加靈活性，同時又帶來了虛擬化和hypervisor安全方面的花費。Gartner預(yù)測60%以上計劃在2012年用虛擬服務(wù)器代理物理服務(wù)器的環(huán)境，安全性降低了。主要原因之一在于物理服務(wù)器環(huán)境的安全工具和相關(guān)最佳實踐無法在虛擬環(huán)境中繼續(xù)采用。

Hypervisor，無論VMware ESXi、微軟Hyper-V、Xen還是KVM，增加的代碼都意味著更多受攻擊點的出現(xiàn)。而分發(fā)攻擊可能會導(dǎo)致各種不愉快的結(jié)果，例如黑客可以通過攻擊一臺或多臺虛擬機(jī)、甚至宿主機(jī)和底層硬件設(shè)備。而入侵者可以找到多種虛擬化和hypervisor安全漏洞展開攻擊：一些是跟虛擬化本身相關(guān)的，其他的可能是由于IT人員不小心導(dǎo)致。

遷移過程把不同安全級別的宿主機(jī)聯(lián)系到一起

在任何時候您都可以通過虛擬化遷移軟件，如VMware vMotion，在一臺或多臺安全級別不同的宿主機(jī)之間遷移工作負(fù)載。在遷移虛擬機(jī)時，目標(biāo)虛擬服務(wù)器應(yīng)該具備兼容的安全級別和政策。

IT管理員在對具備了混合的龐大而復(fù)雜的多安全等級操作系統(tǒng)之間進(jìn)行操作的時候，需要特別小心，除非部署了相應(yīng)的管理機(jī)制。當(dāng)使用遷移工具時，您需要在源宿主機(jī)和目標(biāo)主機(jī)之間部署安全兼容性審查機(jī)制(當(dāng)工作負(fù)載遷移是發(fā)生在云環(huán)境中時該過程引發(fā)的問題甚至更多)。

不可見的虛擬機(jī)流量

很多傳統(tǒng)物理架構(gòu)的網(wǎng)絡(luò)安全工具在虛擬環(huán)境中不再可用。它們可能是通過檢查物理網(wǎng)絡(luò)連接上服務(wù)器之間的流量來實現(xiàn)的，而對于虛擬機(jī)流量是不可見的，這會導(dǎo)致虛擬化的受攻擊問題蔓延。

畢竟，在宿主機(jī)內(nèi)部的虛擬機(jī)流量不會離開主機(jī)到物理網(wǎng)絡(luò)中運行，對于不習(xí)慣虛擬化和hypervisor安全問題的IT部門可能會有問題。例如，網(wǎng)絡(luò)管理員不能監(jiān)控到位于單個宿主機(jī)上多臺虛擬服務(wù)器上的多種應(yīng)用。結(jié)果導(dǎo)致受到攻擊的某個虛擬機(jī)可能會影響同一宿主機(jī)上的其它虛擬機(jī)。

為解決該問題，IT組織開始關(guān)注新的網(wǎng)絡(luò)管理和安全產(chǎn)品，例如Catbird Network Inc.’s vSecurity, Reflex System LLC’s Virtual Management Centre 和 Altor Network’s Virtual Firewall。

超越虛擬機(jī)范圍的攻擊

一些專家認(rèn)為，攻擊者可能會受益于這種基于底層hypervisor上運行的虛擬機(jī)內(nèi)部子操作系統(tǒng)的模式。例如，虛擬服務(wù)器的子操作系統(tǒng)可能會通過底層命令調(diào)用hypervisor，我們稱之為hypercall。而hypervisor通常不會檢查hypercall到底來自于子操作系統(tǒng)還是某個虛擬機(jī)上運行的應(yīng)用。

這樣的話，如果攻擊進(jìn)入到某個子操作系統(tǒng)內(nèi)，它就有可能蔓延到虛擬服務(wù)器和其它的組件，包括虛擬主機(jī)、hypervisor、其它虛擬機(jī)或其它宿主機(jī)。

IBM 2010年11月的安全報告分析顯示虛擬化和hypervisor安全問題在過去的十年里在Citrix Systems, IBM, Microsoft, Oracle, Red Hat 和 VMware的系統(tǒng)中都曾發(fā)生過。數(shù)據(jù)顯示其中35%的安全問題從子虛擬機(jī)蔓延到其它的虛擬機(jī)和hypervisor，而只有15%的安全攻擊影響限制在子系統(tǒng)內(nèi)，沒有對hypervisor和宿主機(jī)系統(tǒng)帶來影響。

IT人員需要關(guān)注的另一方面問題是未經(jīng)授權(quán)的虛擬機(jī)復(fù)制。由于hypervisor以文件的形式保存虛擬機(jī)，所以很可能會拷貝并在其它主機(jī)上運行虛擬機(jī)。入侵者可以通過網(wǎng)絡(luò)把虛擬機(jī)拷貝到可移動存儲介質(zhì)上，并在自己的服務(wù)器上訪問虛擬機(jī)的內(nèi)容。由于入侵者獲得了虛擬機(jī)的副本，所以可能虛擬機(jī)不會感覺到入侵過程發(fā)生了。

這僅僅是部分非法訪問虛擬環(huán)境的方式。在關(guān)于虛擬化和hypervisor安全問題的第二部分內(nèi)容中，我們將涉及防護(hù)方法。