论文投稿_医学论文投稿_核心期刊,职称论文投稿发表_论文部落

　　3.3虚拟机检测

　　在攻击者发起对虚拟环境的攻击之前，攻击者必须知道虚拟机在何处，以及他目前是否在一个虚拟机上。如果可以从本地接入平台，例如通过SSH接入控制终端，就会有信号指出机器已被虚拟化。MAC地址、进程列表、机器上安装的文件、驱动程序等容易检测到的项目，只需敲击几下键盘即可访问。然而，除了这些基本项目之外，有许多攻击可帮助攻击者检测机器是否运行在虚拟环境中，有时甚至返回关键信息，例如客户端的中断表格的当前位置。

　　综上，攻击者只需花时间攻击一台虚拟机，这样就可以破坏一个闭合网络中的其它虚拟机，并最终避开虚拟VMM环境，接入主机。如果攻击者的目的是攻击尽可能多的机器，而且攻击者知道某个系统组全是虚拟系统，则基于Hypervisor的攻击将提供最有利的攻击池。这种多个虚拟内核之间受保护的接入共享可能为所有类型的攻击打开了方便之门。如果攻击者可以操纵并控制多平台虚拟化主机上的Hypervisor，则攻击者就可以控制每个接入Hypervisor的客户端的所有软硬件命令。这种攻击相当于拥有了数据中心内的每一台服务器，可深入到CPU和总线级别。

　　4虚拟化环境下的网络安全问题

　　尽管Hypervisor是虚拟化的“主控制器程序”，但它不是具有安全风险的唯一虚拟化抽象层。对于任何虚拟化系统，另一个关键方面是网络层。由于虚拟化的数据中心是计算、存储、网络三种资源深度融合而成，因此主机虚拟化技术能够顺利实现必须由合适的网络安全策略与之匹配，否则一切都无从谈起。

　　4.1网络安全挑战

　　传统数据中心网络安全包含纵向安全策略和横向安全策略，无论是哪种策略，传统数据中心网络安全都只关注业务流量的访问控制，将流量安全控制作为唯一的规划考虑因素。而虚拟化数据中心的网络安全模型则需要由二维平面转变为三维空间，即网络安全策略能够满足动态迁移到其它物理服务器，并且实现海量用户、多业务的隔离。

　　4.2网络安全策略

　　4.2.1VLAN扩展

　　虚拟化数据中心作为集中资源对外服务，面对的是成倍增长的用户，承载的服务是海量的，尤其是面向公众用户的运营云平台。数据中心管理人员不但要考虑虚拟机或者物理机的安全，还需要考虑在大量用户、不同业务之间的安全识别与隔离。

　　要实现海量用户的识别与安全隔离，需要为虚拟化数据中心的每一个用户提供一个唯一的标识。目前看VLAN是最好的选择，但由于VLAN数最多只能达到4096，无法满足虚拟化数据中心业务开展，因此需要对VLAN进行扩展。

　　4.2.2隔离手段与网关选择

　　虚拟化数据中心关注的重点是实现整体资源的灵活调配，因此在考虑网络安全控制时必须考虑网络安全能支撑计算资源调配的灵活性，只有将二者结合才能实现虚拟化数据中心网络安全的最佳配置。当主机资源在同一个二层网络内被调配时，多数应用才能保持连续性。为满足计算资源的灵活调配，应该构建二层网络，否则一旦跨网段将导致应用中断或长时间的业务影响。

　　基于上述思想，网络安全控制点尽量上移，并且服务器网关尽量不设在防火墙上。因为防火墙属于强控制设施，网关一旦在防火墙上灵活性将大大地受到限制。

　　4.2.3安全策略动态迁移

　　虚拟化数据中新带来的最大挑战就是网络安全策略要跟随虚拟机自动迁移。在创建虚拟机或虚拟机迁移时，虚拟机主机需要能够正常运行，除了在服务器上的资源合理调度，其网络连接的合理调度也是必须的。

　　例如，虚拟机1从pSrv1上迁移到pSrv2上，其网络连接从原来的由pSRV1上vSwitchA的某个端口组接入到边界Switch1，变成由pSRV2上vSwitchB的某个端口组接入到边界Switch2。若迁移后对应的边界Switch的网络安全配置不合适，会造成虚拟机1迁移后不能正常使用。尤其是原先对虚拟机1的访问设置了安全隔离ACL，以屏蔽非法访问保障虚拟机1上业务运行服务质量。因此在发生虚拟机创建或迁移时，需要同步调整相关的网络安全配置。为了保证虚拟机的业务连续性，除了虚拟化软件能保证虚拟机在服务器上的快速迁移，相应的网络连接配置迁移也需要实时完成。

　　5存储虚拟化的安全保护问题

　　存储虚拟化允许同一个虚拟池上存储设备的简单数据迁移以及异构磁盘子系统的复制，因此，关键数据的第二份拷贝就必须有和第一份数据同样的安全级别。举个很简单的例子，针对灾难恢复的企业重要数据的第二份拷贝就需要和第一份数据同样严格的安全级别，需要控制它的访问级别和安全保护。

　　在存储虚拟化后，虚拟化管理软件应能全面管理IPSAN、FCSAN、NAS等不同虚拟对象，通过上层应用封装对用户提供一致的管理界面，屏蔽底层对象的差异性。在存储虚拟化环境中，针对不同的、异构的虚拟存储对象，应根据各自存储设备的特点，综合运用不同存储设备之间的安全防护机制构建全方位的安全防护体系。

　　5.1资源隔离和访问控制

　　在存储虚拟化之后，应用不需要关心数据实际存储的位置，只需要将数据提交给虚拟卷或虚拟磁盘，由虚拟化管理软件将数据分配在不同的物理介质。这就可能导致不同保密要求的资源存在于同一个物理存储介质上，安全保密需求低的应用/主机有可能越权访问敏感资源或者高安全保密应用/主机的信息，为了避免这种情况的发生，虚拟化管理软件应采用多种访问控制管理手段对存储资源进行隔离和访问控制，保证只有授权的主机/应用能访问授权的资源，未经授权的主机/应用不能访问，甚至不能看到其他存储资源的存在。

　　5.2数据加密保护

　　在各类安全技术中，加密技术是最常见也是最基础的安全防护手段，在存储虚拟化后，数据的加密保护仍然是数据保护的最后一道防线。在存储虚拟化实践中，对数据的加密存在于数据的传输过程中和存储过程中。对数据传输过程中的加密保护能保护数据的完整性、机密性和可用性，防止数据被非法截获、篡改和丢失。对数据存储的加密能实现数据的机密性，完整性和可用性，还能防止数据所在存储介质意外丢失或者不可控的情况下数据自身的安全。

　　5.3基于存储的分布式入侵检测系统

　　基于存储的入侵检测系统嵌入在存储系统中，能对存储设备的所有读写操作进行抓取、统计和分析，对可疑行为进行报警。由于基于存储的入侵检测系统是运行在存储系统之上，拥有独立的硬件和独立的操作系统，与主机独立，能够在主机被入侵后继续对存储介质上的信息提供保护。在存储虚拟化网络中，应在系统的关键路径上部署基于存储的入侵检测系统，建立全网统一的管理中心，统一管理入侵检测策略，实现特征库的实时更新和报警事件及时响应。