整合資源、成本控制、動(dòng)態(tài)配置和動(dòng)態(tài)遷移等因素正在推動(dòng)大多數(shù)IT部門試驗(yàn)?zāi)撤N形式的虛擬化平臺(tái)，推動(dòng)虛擬化技術(shù)在數(shù)據(jù)中心的應(yīng)用。在云計(jì)算等新興技術(shù)趨勢(shì)驅(qū)動(dòng)下的大規(guī)�；�礎(chǔ)設(shè)施讓虛擬化技術(shù)成為云數(shù)據(jù)中心的必備組件。

然而虛擬化平臺(tái)正在面臨安全問題，虛擬化平臺(tái)增加了額外的一層安全要求。向數(shù)據(jù)中心的虛擬機(jī)遷移需要重新設(shè)計(jì)安全計(jì)劃和架構(gòu)，可能引起的潛在問題包括：事件反應(yīng)、虛擬化基礎(chǔ)設(shè)施、隔離區(qū)設(shè)計(jì)。

事實(shí)上，與虛擬平臺(tái)本身有關(guān)的風(fēng)險(xiǎn)仍然是不清楚的，因?yàn)槟壳皩?duì)于內(nèi)部管理程序和平臺(tái)安全還沒有大量的解決方案。雖然從戰(zhàn)術(shù)方面看管理程序是數(shù)據(jù)中心中最不容易被利用的部分，但是，從戰(zhàn)略上看，管理程序是虛擬數(shù)據(jù)中心最誘人的攻擊目標(biāo)，因?yàn)楣テ七@一點(diǎn)就可以訪問數(shù)據(jù)中心的多個(gè)虛擬系統(tǒng)。

企業(yè)應(yīng)該分析自己使用的虛擬平臺(tái)的具體風(fēng)險(xiǎn)。重要的是要知道這個(gè)架構(gòu)的變化如何影響到現(xiàn)有的安全管理系統(tǒng)。企業(yè)IT部門在向虛擬機(jī)遷移或者應(yīng)用虛擬機(jī)之前還應(yīng)該制定戰(zhàn)術(shù)的和戰(zhàn)略的安全計(jì)劃。這些安全計(jì)劃是通過對(duì)現(xiàn)有的虛擬安全進(jìn)行綜合分析實(shí)現(xiàn)的，同時(shí)還要計(jì)劃應(yīng)付虛擬平臺(tái)的未來的安全威脅。規(guī)劃以及當(dāng)前架構(gòu)和安全管理中的小的變化有助于防御未來的管理程序和平臺(tái)級(jí)的虛擬化攻擊。

為了解決把虛擬化引進(jìn)到數(shù)據(jù)中心所產(chǎn)生的安全問題，我們需要解決三種類型的虛擬化安全問題：當(dāng)引進(jìn)新的虛擬化技術(shù)時(shí)，數(shù)據(jù)中心增加了新的安全風(fēng)險(xiǎn)，例如，在一個(gè)管理管理程序中運(yùn)行多個(gè)虛擬機(jī)的風(fēng)險(xiǎn);虛擬機(jī)鏡像和客戶操作系統(tǒng)的安全;物理安全設(shè)備的虛擬實(shí)例，例如，從一個(gè)物理防火墻和入侵防御系統(tǒng)進(jìn)入運(yùn)行同樣服務(wù)的虛擬鏡像。

綜上所述，作為整個(gè)虛擬化安全架構(gòu)的一部分，IT部門應(yīng)該把重點(diǎn)放在三個(gè)虛擬化方面：按照位置分開虛擬機(jī);按照服務(wù)類型分開虛擬機(jī);在整個(gè)虛擬機(jī)生命周期內(nèi)實(shí)施有預(yù)見性的安全管理。

虛擬安全領(lǐng)域經(jīng)常討論的問題之一是在隔離區(qū)使用虛擬化平臺(tái)。經(jīng)�？吹揭粋�(gè)物理主機(jī)在隔離區(qū)運(yùn)行公共的和專有的虛擬機(jī)。在實(shí)踐上，這種架構(gòu)沒有物理環(huán)境的架構(gòu)那樣安全，因?yàn)檫@種架構(gòu)的虛擬機(jī)和物理機(jī)器共享運(yùn)行環(huán)境。虛擬平臺(tái)上的一切都是由相同的軟件共享和管理的。從理論上說，這個(gè)共享的虛擬架構(gòu)提供了從公共網(wǎng)絡(luò)向?qū)Ｓ芯W(wǎng)絡(luò)機(jī)器實(shí)施直接攻擊的線路。

消除共享的隔離區(qū)資源的安全威脅的解決方案是在物理上把公共的虛擬機(jī)與專用的虛擬機(jī)分開，在不同的主機(jī)上運(yùn)行和管理這些虛擬機(jī)。所有公開的虛擬機(jī)都應(yīng)該放置在公開的主機(jī)服務(wù)器上。對(duì)于使用VMware公司的vCenter技術(shù)大規(guī)模實(shí)施虛擬化的企業(yè)來說，把公共資源與專用資源集群(許多組主機(jī)根據(jù)資源組成一個(gè)單一的管理池)分開也是很重要的。例如，VMware公司的DRS軟件能夠在一個(gè)集群中的主機(jī)之間動(dòng)態(tài)遷移虛擬機(jī)。如果公共的和專有的主機(jī)在一個(gè)集群中是共享的，一個(gè)DRS事件就可以根據(jù)資源的需求把一個(gè)專用的虛擬機(jī)遷移到公共主機(jī)服務(wù)器，從而取消了任何資源區(qū)分的好處。

一旦根據(jù)位置分開虛擬資源之后，下一步就是根據(jù)任務(wù)或者服務(wù)分開虛擬機(jī)。換句話說，就是讓全部的服務(wù)器虛擬機(jī)在一個(gè)資源池和集群中，讓所有的應(yīng)用虛擬機(jī)在另一個(gè)資源池或者集群中。同在隔離區(qū)內(nèi)分開位置一樣，這個(gè)架構(gòu)旨在限制那些與虛擬化平臺(tái)有關(guān)的風(fēng)險(xiǎn)。如果一個(gè)攻擊者能夠攻破一個(gè)客戶虛擬機(jī)，在同一個(gè)物理主機(jī)上運(yùn)行的其它客戶機(jī)預(yù)計(jì)也會(huì)被攻破，因?yàn)樗鼈児蚕硗瑯拥倪\(yùn)行環(huán)境。這對(duì)于企業(yè)業(yè)務(wù)的威脅是巨大。

另一方面，如果一個(gè)主機(jī)服務(wù)器正在所有的應(yīng)用層運(yùn)行(這些應(yīng)用層包括應(yīng)用程序服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器)，攻擊者通過利用前端網(wǎng)路瀏覽器漏洞能夠獲得后端數(shù)據(jù)庫(kù)的訪問權(quán)限。這樣的結(jié)果是應(yīng)用服務(wù)器也將面臨很大的安全威脅。根據(jù)服務(wù)分開虛擬機(jī)有助于緩解這個(gè)風(fēng)險(xiǎn)，方法是隔離虛擬應(yīng)用程序并且讓虛擬機(jī)保持與具體的硬件資源和集群的聯(lián)系。

虛擬機(jī)和平臺(tái)的主要好處之一是能夠方便地創(chuàng)建、移動(dòng)和撤銷虛擬機(jī)。當(dāng)需要新的服務(wù)的時(shí)候，可以創(chuàng)建虛擬機(jī)或者提取存檔的虛擬機(jī)，然后根據(jù)需要進(jìn)行設(shè)置。隨著需求的增長(zhǎng)，人們可以克隆虛擬機(jī)或者動(dòng)態(tài)地為虛擬機(jī)分配額外的資源。隨著需求的減少，人們可以撤銷這些虛擬機(jī)的設(shè)置，使這些虛擬機(jī)不再消耗資源。虛擬機(jī)的創(chuàng)建、移動(dòng)和銷毀過程構(gòu)成了虛擬機(jī)的生命周期。

虛擬機(jī)在生命周期的每一個(gè)步都容易受到安全威脅。當(dāng)從頭開始創(chuàng)建新的虛擬機(jī)的時(shí)候，重要的是要保證虛擬機(jī)使用最新的安全補(bǔ)丁和軟件。當(dāng)克隆虛擬機(jī)鏡像和移動(dòng)虛擬機(jī)的時(shí)候，重要的是保持每一個(gè)虛擬機(jī)的穩(wěn)定狀態(tài)，以便了解這些虛擬機(jī)是否需使用了最新的補(bǔ)丁或者是否需要使用補(bǔ)丁。

隨著時(shí)間的推移，很容易重復(fù)地克隆一個(gè)使用了補(bǔ)丁的虛擬機(jī)鏡像，最終使各種虛擬機(jī)保持各種補(bǔ)丁水平。由于鏡像存儲(chǔ)很長(zhǎng)時(shí)間沒有使用，這些虛擬機(jī)可能會(huì)過時(shí)，需要在使用的間歇時(shí)間里離線使用補(bǔ)丁，以保證它們?cè)谙乱淮螁��?dòng)的時(shí)候盡可能是安全的。同遷移的虛擬機(jī)一樣，資產(chǎn)管理對(duì)于銷毀虛擬機(jī)和防止閑置的虛擬機(jī)在數(shù)據(jù)中心蔓延成為未知威脅的攻擊目標(biāo)是非常重要的。

總之，虛擬化技術(shù)在帶給數(shù)據(jù)中心運(yùn)維方便的同時(shí)，安全問題也隨之出現(xiàn)。在虛擬機(jī)和物理機(jī)并存的環(huán)境下，數(shù)據(jù)中心運(yùn)維面臨新的挑戰(zhàn)。如何實(shí)現(xiàn)虛擬化下數(shù)據(jù)中心的高效運(yùn)轉(zhuǎn)，成為數(shù)據(jù)中心管理人員新的課題。