论文部分内容阅读
[摘 要]随着企业级虚拟化软件在市场上流行，企业IT部门用一台容纳多个独立操作系统的4U机器全面取代容纳单个操作系统的专用IU机器的现象非常普遍。虚拟操作环境与物理操作环境同样安全的概念可能是代价极为高昂而且极具破坏性的谬论。虚拟化范例的变化引出了一套新的安全问题和风险。虚拟基础设施管理员需要了解并且根据安全问题采取相应措施，避免风险的出现。
[关键词]虚拟化安全问题、主要特点
中图分类号：TN929.53；F270.7 文献标识码：A 文章编号：1009-914X（2016）03-0105-01
一、前言
随着互联网发展和云计算的概念提出，在过去几年内，虚拟化普及的速度不断提高。计划在未来三年内实现其50%的IT基础设施的虚拟化。虚拟化技术可以扩大硬件的容量，简化软件的重新配置过程，允许一个平台同时运行多个操作系统，并且应用程序都可以在相互独立的空间内运行而互不影响。从而显著提高计算机的工作效率。虚拟化的好处是可以为多个项目和环境提供更快的速度和灵活性.但不利的方面主要是虚拟机和环境的安全一般并未被考虑，并不是因为这些实施项目的安全性有技术难度，而是因为安全问题是实施大范围虚拟化的人员所未知的领域。
二、虚拟化数据及其特点
（一）虚拟化及其特点
虚拟化的含义非常广泛，一种比较通俗的定义就是：虚拟化就是淡化用户对于物理计算资源，如处理器、内存、I/O设备的直接访问，取而代之的是用户访问逻辑的资源，而后台的物理连接则由虚拟化技术来实现和管理。这个定义形象地说明了虚拟化的基本作用，其实就是要屏蔽掉传统方式下，用户部署应用时需要考虑的物理硬件资源属性，而是更着重于应用真正使用到的逻辑资源。虚拟化是分区组合，因此在一个物理平台上多个虚拟机可以同时运行，每个虚拟机之间互不影响。虚拟化的主要特点。
（1）封闭。虚拟单元的所有环境被存放在一个单独的文件中：为应用展现的是标准化的虚拟硬件，保证兼容性；整个磁盘分区被存儲为一个文件，易于备份，转移和拷贝。
（2）隔离。虚拟化能够提供理想化的物理机，每个虚拟机互相隔离：数据不会在虚拟机之间泄露：应用只能在配置好的网络连接上进行通讯。
（3）分区。大型的、扩展能力强的硬件能够被用来作为多台独立的服务器使用：在一个单独的物理系统上可以运行多个操作系统和应用：计算资源可以被放置在资源池中，并能够被有效地控制。
（二）虚拟化数据中心及其特点
虚拟化数据中心是指采用虚拟化技术构建的基础设施资源池化的数据中心，虚拟化后的数据中心将整个数据中心的计算、网络、存储等基础资源当作可按需分割的资源供集中调配。
虚拟化数据中心的关键是服务器虚拟化。逻辑分割一台X86服务器的CPU、内存、磁盘、I/O等硬件，构造多个虚拟机（VM）的技术发展迅猛，并大量部署在数据中心。服务器的虚拟化提供了计算资源按需调配的手段，而虚拟化的数据中心是计算与网络、存储等深度融合而成，因此，要使服务器虚拟化的优势能顺利实现，必须有合适的网络、存储与之匹配，并在一定层面还要制定虚拟化的管理策略。
三、虚拟化软件自身的安全问题
从表面上讲，虚拟化的BSD客户端与真正的单个设备具有同样的安全威胁和问题，这一点毋庸置疑。然而，主要的区别还在于额外的管理层：Hypervisor。Hypervisor实际上是另一个操作系统，它管理主机OC和客户端OS之间的通信。管理员不用担心单个设备上的单个BSD。而是必须关注第三个操作系统的安全。在安全方面，我们不能对虚拟化想当然，而且应该比物理和专用操作系统及设备的日常威胁更加警惕。笔者认为虚拟软件安全的现实影响主要有几个方面。
（一）攻击管理接口
一般情况下，VMM/hypervisor采用非仿真硬件接入的通信模式管理主机和客户端之间的用户交互。例如控制鼠标在管理GUI中的虚拟事例上的移动。我们看一个例子，从主机向客户端上的虚拟CD加载ISO文件的情况。首先，主机上的VMware进程必须能够接入ISO文件。这一般不是问题，因为VMware进程作为一个高级用户运行，具有较高的权限。接下来，客户端上必须有一个进程知道如何与主机上的进程通信。这要求在客户端上安装软件，通过Hypervisor进行命令调用而与主机VMM通信。客户端管理子系统向主机发起呼叫，一般通过指定的管道发起，要求主机代替客户端启动硬件调用。“欺骗”客户端认为它正在通过物理驱动器接入物理CD。这是VMware从主机向客户端加载CD的基本例子。这个过程很简单，但对安全性极为重要，因为我们创建了一个在主机和客户端上作为超级用户运行的未检查的系统，可以被恶意攻击者操纵和利用。这种延迟接入使恶意攻击者能够在客户端上实施破坏性报复行动，最初简单的数据拦截攻击可能很快演变为对整个虚拟化数据基础设施的全面攻击。
（二）避开虚拟机
要避开虚拟机，需要依次迂回进入硬件和操作系统设计。在基于X86的CPU，ring 0（通常指内核模式）是CPU的一部分，在这里管理内核级进程。同样，ring 3（或用户模式）是对用户级进程分配处理空间的地方。虚拟化操作系统要求ring 0接入CPU，就如同真正的本地安装的操作系统。物理和虚拟操作系统都需要一定数量的内核代码在ring 0中运行，并且始终知道这些代码在RAM中位于何处。与物理操作系统不同的是，虚拟客户端不可能像独立的机器那样，将中断表格放置在RAM中的同一个位置，主机的中断表格已经占用了内存中的该位置。因此，尽管客户端认为其中断表格可能位于其虚拟RAM中的OxOOOOffff处（表格始终存储在这个特定操作系统中），但主机实际上已经通过透明的Hypervisor将这个位置映射到物理RAM中的0x1234abcd位置，对虚拟系统隐藏了实际位置。然而，这是一个内核级空间，即使主机Hypervisor已经针对客户端处理了中断表格的实际位置，虚拟表格仍必须从实际CPU上有权限的rin90运行（并驻留在其中）。
四、虚拟化环境下的网络安全问题
尽管Hypervisor是虚拟化的“主控制器程序”，但它不是具有安全风险的唯一虚拟化抽象层。对于任何虚拟化系统，另一个关键方面是网络层。由于虚拟化的数据中心是计算、存储、网络三种资源深度融合而成，因此主机虚拟化技术能够顺利实现必须由合适的网络安全策略与之匹配，否则一切都无从谈起。
（一）网络安全挑战
传统数据中心网络安全包含纵向安全策略和横向安全策略，无论是哪种策略，传统数据中心网络安全都只关注业务流量的访问控制，将流量安全控制作为唯一的规划考虑因素。而虚拟化数据中心的网络安全模型则需要由二维平面转变为三维空间，即网络安全策略能够满足动态迁移到其它物理服务器，并且实现海量用户、多业务的隔离。
（二）网络安全策略
VLAN扩展
虚拟化数据中心作为集中资源对外服务，面对的是成倍增长的用户，承载的服务是海量的，尤其是面向公众用户的运营云平台。数据中心管理人员不但要考虑虚拟机或者物理机的安全，还需要考虑在大量用户、不同业务之间的安全识别与隔离。要实现海量用户的识别与安全隔离，需要为虚拟化数据中心的每一个用户提供一个唯一的标识。目前看VLAN是最好的选择，但由于VLAN数最多只能达到4096。无法满足虚拟化数据中心业务开展，因此需要对VLAN进行扩展。
五、结束语
随着互联网发展和云计算概念的提出，虚拟化普及速度的提高。建设利用虚拟化技术提供服务的虚拟化数据中心也成为IT企业新的发展方向。虚拟化数据中心相对传统的数据中心在安全方面提出了新的挑战。本文就虚拟化数据中心在计算、网络、存储和管理等方面存在的安全问题进行了分析，提出了应对策略。
参考文献
[1] 易涛云.计算虚拟化安全技术研究[D]，信息安全与通信保密.2012 年，05期
[关键词]虚拟化安全问题、主要特点
中图分类号：TN929.53；F270.7 文献标识码：A 文章编号：1009-914X（2016）03-0105-01
一、前言
随着互联网发展和云计算的概念提出，在过去几年内，虚拟化普及的速度不断提高。计划在未来三年内实现其50%的IT基础设施的虚拟化。虚拟化技术可以扩大硬件的容量，简化软件的重新配置过程，允许一个平台同时运行多个操作系统，并且应用程序都可以在相互独立的空间内运行而互不影响。从而显著提高计算机的工作效率。虚拟化的好处是可以为多个项目和环境提供更快的速度和灵活性.但不利的方面主要是虚拟机和环境的安全一般并未被考虑，并不是因为这些实施项目的安全性有技术难度，而是因为安全问题是实施大范围虚拟化的人员所未知的领域。
二、虚拟化数据及其特点
（一）虚拟化及其特点
虚拟化的含义非常广泛，一种比较通俗的定义就是：虚拟化就是淡化用户对于物理计算资源，如处理器、内存、I/O设备的直接访问，取而代之的是用户访问逻辑的资源，而后台的物理连接则由虚拟化技术来实现和管理。这个定义形象地说明了虚拟化的基本作用，其实就是要屏蔽掉传统方式下，用户部署应用时需要考虑的物理硬件资源属性，而是更着重于应用真正使用到的逻辑资源。虚拟化是分区组合，因此在一个物理平台上多个虚拟机可以同时运行，每个虚拟机之间互不影响。虚拟化的主要特点。
（1）封闭。虚拟单元的所有环境被存放在一个单独的文件中：为应用展现的是标准化的虚拟硬件，保证兼容性；整个磁盘分区被存儲为一个文件，易于备份，转移和拷贝。
（2）隔离。虚拟化能够提供理想化的物理机，每个虚拟机互相隔离：数据不会在虚拟机之间泄露：应用只能在配置好的网络连接上进行通讯。
（3）分区。大型的、扩展能力强的硬件能够被用来作为多台独立的服务器使用：在一个单独的物理系统上可以运行多个操作系统和应用：计算资源可以被放置在资源池中，并能够被有效地控制。
（二）虚拟化数据中心及其特点
虚拟化数据中心是指采用虚拟化技术构建的基础设施资源池化的数据中心，虚拟化后的数据中心将整个数据中心的计算、网络、存储等基础资源当作可按需分割的资源供集中调配。
虚拟化数据中心的关键是服务器虚拟化。逻辑分割一台X86服务器的CPU、内存、磁盘、I/O等硬件，构造多个虚拟机（VM）的技术发展迅猛，并大量部署在数据中心。服务器的虚拟化提供了计算资源按需调配的手段，而虚拟化的数据中心是计算与网络、存储等深度融合而成，因此，要使服务器虚拟化的优势能顺利实现，必须有合适的网络、存储与之匹配，并在一定层面还要制定虚拟化的管理策略。
三、虚拟化软件自身的安全问题
从表面上讲，虚拟化的BSD客户端与真正的单个设备具有同样的安全威胁和问题，这一点毋庸置疑。然而，主要的区别还在于额外的管理层：Hypervisor。Hypervisor实际上是另一个操作系统，它管理主机OC和客户端OS之间的通信。管理员不用担心单个设备上的单个BSD。而是必须关注第三个操作系统的安全。在安全方面，我们不能对虚拟化想当然，而且应该比物理和专用操作系统及设备的日常威胁更加警惕。笔者认为虚拟软件安全的现实影响主要有几个方面。
（一）攻击管理接口
一般情况下，VMM/hypervisor采用非仿真硬件接入的通信模式管理主机和客户端之间的用户交互。例如控制鼠标在管理GUI中的虚拟事例上的移动。我们看一个例子，从主机向客户端上的虚拟CD加载ISO文件的情况。首先，主机上的VMware进程必须能够接入ISO文件。这一般不是问题，因为VMware进程作为一个高级用户运行，具有较高的权限。接下来，客户端上必须有一个进程知道如何与主机上的进程通信。这要求在客户端上安装软件，通过Hypervisor进行命令调用而与主机VMM通信。客户端管理子系统向主机发起呼叫，一般通过指定的管道发起，要求主机代替客户端启动硬件调用。“欺骗”客户端认为它正在通过物理驱动器接入物理CD。这是VMware从主机向客户端加载CD的基本例子。这个过程很简单，但对安全性极为重要，因为我们创建了一个在主机和客户端上作为超级用户运行的未检查的系统，可以被恶意攻击者操纵和利用。这种延迟接入使恶意攻击者能够在客户端上实施破坏性报复行动，最初简单的数据拦截攻击可能很快演变为对整个虚拟化数据基础设施的全面攻击。
（二）避开虚拟机
要避开虚拟机，需要依次迂回进入硬件和操作系统设计。在基于X86的CPU，ring 0（通常指内核模式）是CPU的一部分，在这里管理内核级进程。同样，ring 3（或用户模式）是对用户级进程分配处理空间的地方。虚拟化操作系统要求ring 0接入CPU，就如同真正的本地安装的操作系统。物理和虚拟操作系统都需要一定数量的内核代码在ring 0中运行，并且始终知道这些代码在RAM中位于何处。与物理操作系统不同的是，虚拟客户端不可能像独立的机器那样，将中断表格放置在RAM中的同一个位置，主机的中断表格已经占用了内存中的该位置。因此，尽管客户端认为其中断表格可能位于其虚拟RAM中的OxOOOOffff处（表格始终存储在这个特定操作系统中），但主机实际上已经通过透明的Hypervisor将这个位置映射到物理RAM中的0x1234abcd位置，对虚拟系统隐藏了实际位置。然而，这是一个内核级空间，即使主机Hypervisor已经针对客户端处理了中断表格的实际位置，虚拟表格仍必须从实际CPU上有权限的rin90运行（并驻留在其中）。
四、虚拟化环境下的网络安全问题
尽管Hypervisor是虚拟化的“主控制器程序”，但它不是具有安全风险的唯一虚拟化抽象层。对于任何虚拟化系统，另一个关键方面是网络层。由于虚拟化的数据中心是计算、存储、网络三种资源深度融合而成，因此主机虚拟化技术能够顺利实现必须由合适的网络安全策略与之匹配，否则一切都无从谈起。
（一）网络安全挑战
传统数据中心网络安全包含纵向安全策略和横向安全策略，无论是哪种策略，传统数据中心网络安全都只关注业务流量的访问控制，将流量安全控制作为唯一的规划考虑因素。而虚拟化数据中心的网络安全模型则需要由二维平面转变为三维空间，即网络安全策略能够满足动态迁移到其它物理服务器，并且实现海量用户、多业务的隔离。
（二）网络安全策略
VLAN扩展
虚拟化数据中心作为集中资源对外服务，面对的是成倍增长的用户，承载的服务是海量的，尤其是面向公众用户的运营云平台。数据中心管理人员不但要考虑虚拟机或者物理机的安全，还需要考虑在大量用户、不同业务之间的安全识别与隔离。要实现海量用户的识别与安全隔离，需要为虚拟化数据中心的每一个用户提供一个唯一的标识。目前看VLAN是最好的选择，但由于VLAN数最多只能达到4096。无法满足虚拟化数据中心业务开展，因此需要对VLAN进行扩展。
五、结束语
随着互联网发展和云计算概念的提出，虚拟化普及速度的提高。建设利用虚拟化技术提供服务的虚拟化数据中心也成为IT企业新的发展方向。虚拟化数据中心相对传统的数据中心在安全方面提出了新的挑战。本文就虚拟化数据中心在计算、网络、存储和管理等方面存在的安全问题进行了分析，提出了应对策略。
参考文献
[1] 易涛云.计算虚拟化安全技术研究[D]，信息安全与通信保密.2012 年，05期