絕密：實現虛擬化安全的新方法
傳統的安全方法在虛擬化的世界里依然是可以使用的。用戶不僅需要對服務器和相關的應用做保護，而且需要監控哪些人可以對哪些資源進行訪問，對進入數據中心的訪問者做鑒定和管理。賦予在數據中心內工作的用戶以適當的通關權限，并在他們完成認證后給予相對應的訪問權限。
另外，您還需要確保那些數據中心內可以做數據更改操作的人員都是擁有授權才這么做的，也就是說現有的安全方面的經驗在虛擬環境里是可以獲得延續的。如果您把現有的終端用戶服務進程都遷移到了虛擬機和VSO上，那么傳統的安全方法也應該位于同一級別上。
然而不幸的是，在為VSO提供物理資源的資源池級別上，從設計原理看，并不具備和用戶進行交互的能力。資源池內的物理機僅僅是裝載了虛擬化引擎的宿主機而已。因此，也只有管理員和技術人員可以跟物理機對話。
在這些環境里（資源池和VSO），通常運行時都帶有一個特定的安全文本文件，而該文件是可以被中央目錄服務所訪問的。我們需要考慮分離不同環境中各自的安全文本文件。畢竟，如果資源池僅僅供管理員和技術人員訪問，看起來我們根本沒有必要把資源池相關的安全文本文件開放為用戶共享模式。
事實上，用戶不需要對資源池做任何操作。對于最終用戶而言，他們也不需要和網絡環境中的路由器或交換機做交互。因此，您需要為資源池和VSO創建獨立的安全文本文件。例如，如果您運行了VMware或Citrix的虛擬機管理程序，而您的網絡服務運行于Windows服務器上，那么資源池的安全文本文件會自動實現和VSO安全文本文件的分離（圖1）。這也就是為什么宿主機環境（通常情況下是Linux）和VSO通常運行于不同操作系統的原因。這種方式也自然實現了兩個安全文本文件的隔離。
（圖一）
然而，如果宿主機和虛擬機所運行的操作系統相同的情況下，您就需要手動分離資源池和VSO的安全文本文件。這種情況一般發生在采用了微軟的Hyper-V虛擬化管理程序，之上運行Windows網絡環境的時候。同樣，當我們運行了Linux網絡環境而同時又采用了同一Linux系統下的虛擬化管理程序時也會發生。
以Windows網絡環境為例，您需要分別為資源池和VSO創建獨立的活動目錄樹，然后同時斷開它們之間的所有連接。在兩個獨立的架構中創建分離的安全文本也是為了防止發生從一個環境向另一個環境中的滲漏（圖2）。
（圖二）
實現資源池的安全
為資源池創建獨立的安全文本僅僅是實現虛擬架構安全的第一步。您還需要和其它的一些安全措施來配合使用。如下是一些額外的考慮：
掌控所有到資源池的訪問以確保只有被信任的個體才具備訪問權限。每個訪問資源池的個體應該具備一個命名賬戶，而該賬戶和普通用戶用來訪問VSO的賬戶命名應該是有所區別的。
掌控所有到資源池管理工具的訪問。只有被信任的個體擁有訪問資源池組件，如物理服務器、虛擬化管理程序、虛擬網絡、共享存儲，及其它內容相關的管理工具的權限。向未被認證的用戶開放管理工具的訪問權限，就等同于向那些惡意操作開放了IT系統架構。
管理虛擬化引擎或管理程序的訪問，以及其上運行的虛擬機。所有的虛擬機都應該是首先通過系統管理員來創建和保護的。如果某些最終用戶，如開發人員、測試人員或培訓者，需要和網絡環境中的虛擬機交互，那么這些虛擬機應該是通過資源池的管理員來創建和管理的。
控制虛擬機文件的訪問。通過合理的訪問權限來實現所有包含了虛擬機的文件夾以及虛擬機所在壓縮文件的安全。無論是在線的還是離線的虛擬機文件都必須獲得嚴格的管理和控制。理論上來講，您需要同時對虛擬機文件的訪問做監管。
通過在宿主機上盡可能實現最小化安裝來減少主機可能被攻擊的接口。請確保虛擬化管理程序的安裝盡可能的可靠。
部署適合的安全工具。為了支持合理的安全策略，您的系統架構應該包含各種必要的工具，如系統管理工具、管理清單、監管和監視工具等等，包括一些常用的安全設備。
分離網絡流量。在一個正確設置的資源池系統中，應該包含有幾個不同的私有網絡用于：管理數據流量、在線遷移流量以及存儲系統流量。所有的這些網絡都應該和系統架構中的公網流量相分離。
#p#
深層防護策略
除了安全文本文件的隔離外，您還應該考慮對虛擬化環境采用深層防護策略。這個像城堡一樣的CDS防護模型是由Resolution Enterprise Ltd.,公司提出來，該公司位于英屬哥倫比亞省維多利亞地區，是一家獨立的數據中心業務咨詢公司，致力于推動深層防護方式。很多企業的傳統服務提供網絡都采用了深層防護策略，通過執行相應的策略實現對資源池的保護（圖3）。
用戶可以對資源池或者VSO采用CDS防護模式。如下的表1也顯示了在您通過部署CDS模式對資源池進行保護時，分別在五個不同的層次上需要去考慮的問題。在這個表里，也同時列出了在對最終用戶網絡和終端網絡（如資源池網絡）分別部署CDS模型時采取的組件之間的差異。
表1
#p#
預防過度管理
改善資源池安全性的另外一個方法就是限制資源池管理的數量。擁有兩個具備系統環境完全訪問權的管理員已經足夠了。然后，根據數據中心規模大小的不同，您可以基于每個角色所需完成的任務內容分配不同的權限和角色定義。資源池管理員應該可以管理VSO網絡。如果您有足夠的人手，那么最好把不同的管理角色分開。如果做不到的話，至少要確保管理在每個不同的環境中使用不同權限的管理角色登錄。請理解，如果管理員在某個環境中扮演了指定的角色，那么他在不同的環境中完成同一動作時所扮演的角色是不同的。
最后，任何時候都要注意對虛擬機的保護。例如，虛擬機在暫停休息的狀態下和活動的虛擬機相比其風險更高。因為當虛擬機處于保存狀態時，會在內存中生成一個文件，而該文件保留了虛擬機所有相關內容。通過分析這個文件可以找到相應的用戶名和密碼相關信息。同樣，如果有人竊取了虛擬機文件并帶出了辦公室，也會帶來很大的風險。一旦他們在私有環境中搭建了該虛擬機，那么就很容易闖入我們的環境中。
【編輯推薦】
