□趙倩倩 □劉子涵 □宋 博 □李 亞

（河南省水利信息中心）

VMware虛擬化安全在河南省水利信息化中的應(yīng)用

□趙倩倩 □劉子涵 □宋 博 □李 亞

（河南省水利信息中心）

隨著服務(wù)器虛擬化技術(shù)在河南省水利信息中的廣泛應(yīng)用，其安全問題也日益受到關(guān)注。文章主要討論了河南省水利信息化中服務(wù)器虛擬化面對的安全威脅，并進行了詳細(xì)分析，給出了具體的基于不同層面的虛擬化安全的解決方案，為河南省水利信息化中VMware服務(wù)器虛擬化的穩(wěn)定運行提供巨大的保障，為水利信息化數(shù)據(jù)的安全打下良好的基礎(chǔ)。

虛擬化安全；服務(wù)器虛擬化；解決方案

1 引言

隨著河南省水利信息化建設(shè)的快速發(fā)展，業(yè)務(wù)應(yīng)用系統(tǒng)、服務(wù)器資源逐漸龐大，VMware平臺服務(wù)器虛擬化的建立和應(yīng)用大大提高了資源的利用率，提供了相互隔離、安全、高效的應(yīng)用執(zhí)行環(huán)境，并方便各個應(yīng)用的管理和升級維護。但同時，服務(wù)器虛擬化后，在傳統(tǒng)組織架構(gòu)中能看到的安全風(fēng)險，在虛擬化架構(gòu)中一樣都不少，從底層HyperVisor到虛擬操作系統(tǒng)層（OS）以及應(yīng)用層（APPs），甚至包括離線的虛擬鏡像文件，還有其虛擬系統(tǒng)自身的安全問題，所以虛擬化平臺的安全威脅比傳統(tǒng)架構(gòu)面臨的風(fēng)險更甚。如果不采取任何安全措施，那整個虛擬化架構(gòu)就猶如傳統(tǒng)IT平臺一樣沒有任何防御措施，但套用傳統(tǒng)硬件環(huán)境的安全方案，并不能適用于虛擬化平臺，反而會給業(yè)務(wù)系統(tǒng)的穩(wěn)定運行帶來災(zāi)難性的后果。所以，詳細(xì)分析河南省水利信息化中VMware平臺服務(wù)器虛擬化存在的安全威脅，針對這些問題給出相應(yīng)的防護措施和解決方案，至關(guān)重要。

2 河南省水利信息化中的VMware虛擬化安全威脅

虛擬化技術(shù)在河南省水利信息化中的應(yīng)用，使整合資源、靈活部署應(yīng)用、提高資源利用率、節(jié)省空間等都成為可能，但是單位的VMware平臺服務(wù)器虛擬化的安全面臨著以下幾方面威脅。

2.1 虛擬機之間的互相攻擊

由于目前河南省水利信息化的虛擬化環(huán)境仍舊使用傳統(tǒng)的防護模式，導(dǎo)致主要的防護邊界還是位于物理主機的邊緣，從而忽視了同一物理主機上不同虛擬機之間的互相攻擊和互相入侵的安全隱患。而虛擬機之間的安全防護是相對薄弱的，且安全性較差。若虛擬環(huán)境中的任何一臺虛擬機存在安全漏洞，網(wǎng)絡(luò)攻擊者均可利用系統(tǒng)漏洞對該虛擬機發(fā)起攻擊，一旦該虛擬機被攻擊者控制，攻擊者可將該虛擬機作為跳板實現(xiàn)對其他虛擬機的攻擊，甚至威脅到整個虛擬化環(huán)境的安全。

2.2 隨時啟動的防護間歇

由于目前大量使用VMware的服務(wù)器虛擬化技術(shù)，其IT服務(wù)具備更高的靈活性和負(fù)載均衡。但同時，這些由于資源動態(tài)調(diào)整關(guān)閉或開啟虛擬機隨時會導(dǎo)致防護間歇問題。如：某臺一直處于關(guān)閉狀態(tài)的虛擬機在業(yè)務(wù)需要時會自動啟動，成為后臺服務(wù)器組的一部分；但在這臺虛擬機啟動時，其包括防病毒在內(nèi)的所有安全狀態(tài)都較其他一直在線運行的服務(wù)器處于滯后和脫節(jié)的地位。

2.3 系統(tǒng)安全補丁安裝

目前河南省水利信息化的虛擬化環(huán)境內(nèi)仍會定期采用傳統(tǒng)方式對階段性發(fā)布的系統(tǒng)補丁進行測試分析和手工安裝。雖然VMware平臺服務(wù)器虛擬化本身具有一定狀態(tài)恢復(fù)的功能機制，但此種做法仍有一定安全風(fēng)險：無法確保系統(tǒng)在測試后發(fā)生的變化是否會因為安裝補丁導(dǎo)致正在運行的業(yè)務(wù)應(yīng)用異常。集中的安裝系統(tǒng)補丁，在前中后期均需要大量人力、物力和技術(shù)支撐，部署成本較大。

2.4 防病毒軟件對資源的占用沖突導(dǎo)致殺毒風(fēng)暴（AV storm，antivirus storm）

目前在河南省水利信息化的虛擬化環(huán)境中，對于虛擬機仍使用每臺虛擬操作系統(tǒng)安裝“傳統(tǒng)”防病毒客戶端的方式進行病毒防護。在防護效果上可以達到安全標(biāo)準(zhǔn)，但如從資源占用方面考慮，存在一定安全風(fēng)險。由于每個防病毒客戶端都會在同一個物理主機上產(chǎn)生資源消耗，那么當(dāng)發(fā)生客戶端同時掃描和同時更新時，資源消耗的問題會愈發(fā)明顯，嚴(yán)重時可能導(dǎo)致ESX/ESXI服務(wù)器宕機。

通過以上的分析，了解到雖然傳統(tǒng)安全設(shè)備或軟件可以給物理網(wǎng)絡(luò)層和操作系統(tǒng)等提供安全防護，但是虛擬環(huán)境中新的安全威脅，例如：虛擬機之間通訊的訪問控制問題，病毒通過虛擬交換機傳播問題，虛擬機之間的東西向流量控制問題等，傳統(tǒng)的安全設(shè)備或軟件已經(jīng)無法提供相關(guān)的防護，需要研究新的安全技術(shù)為虛擬環(huán)化境提供全面的保護。下面是關(guān)于河南省水利信息化中VMware平臺服務(wù)器虛擬化安全的解決方案的探討。

3 虛擬化安全的三種層面解決方案的探究

3.1 基于宿主機

基于宿主機，即在虛擬化系統(tǒng)底層解決虛擬化安全問題。在每臺物理宿主機的底層ESX/ESXI中部署安全軟件，為每臺宿主機提供多層次安全防護，如防病毒功能、訪問控制功能、虛擬補丁、攻擊防御、完整性監(jiān)控等。安全軟件部署在ESX/ESXI底層，其與VMware兼容性良好，無需消耗分配給虛擬機的計算資源和更多的網(wǎng)絡(luò)資源消耗，最大化利用計算資源的同時提供全面病毒的實時防護。

但同時，因安全軟件部署在宿主機底層ESX/ESXI中，安裝時需要停用HA，且需要多次遷移宿主機上的虛擬機，在此過程中對虛擬平臺造成一定的安全隱患。同時，還要在所需監(jiān)控或者保護的虛擬機上安裝Agent，且Agent對系統(tǒng)本身的影響未知，更遑論業(yè)務(wù)；還需手動給每一個被保護的虛擬機單獨配置防護策略。

3.2 基于網(wǎng)關(guān)

基于網(wǎng)關(guān)，即將安全軟件以虛擬機的形式部署在虛擬化平臺中，對網(wǎng)絡(luò)行為進行訪問控制。

無論是虛擬機之間的東西向流量，還是虛擬機到物理網(wǎng)絡(luò)的南北向流量，所有的數(shù)據(jù)流量一定要經(jīng)過物理線路，而虛擬架構(gòu)中的非法流量對物理設(shè)備的沖擊是無法過濾的。所以，把虛擬化架構(gòu)中的安全威脅在虛擬化環(huán)境中內(nèi)部解決，以避免惡意流量對接入層以上網(wǎng)絡(luò)傳輸設(shè)備造成沖擊。因此，可以將安全軟件以虛擬機的形式部署在虛擬化平臺中，對網(wǎng)絡(luò)行為進行訪問控制。將關(guān)鍵業(yè)務(wù)安全地分置在不同的虛擬機上，所有的通信為虛擬安全網(wǎng)關(guān)監(jiān)視和管制，確保所有通信都符合安全策略；劃分安全區(qū)塊，對跨區(qū)域的訪問進行隔離、控制；進行實時監(jiān)控與過濾，對流量行為進行分析，創(chuàng)建自定義和基于策略的警報時間等等，進行統(tǒng)一管控。

這種解決方案的優(yōu)勢在于部署簡單、操作易用；在虛擬機上不需要安裝代理；每個虛擬機的流量均受到監(jiān)控和管理，但是，也存在一定的劣勢。如雖在虛機上不安裝代理，但仍需要暫停所有需要進行安全防護的虛擬機業(yè)務(wù)，更改其系統(tǒng)配置來適配安全軟件，方便管理；基于網(wǎng)關(guān)的解決方案，只檢測到了虛擬機的邊界，但對于同一網(wǎng)關(guān)下的虛擬機無法進行安全防護。

3.3 基于VLAN接口的引流模式

基于VLAN接口的引流模式，即通過引流技術(shù)、虛機微隔離及可視化技術(shù)，可以為河南省水利信息化提供全方位的安全服務(wù)，包括流量及應(yīng)用可視化，虛機之間威脅檢測與隔離，網(wǎng)絡(luò)攻擊審計與溯源等，幫助其搭建安全、合規(guī)的“綠色”平臺。安全軟件以多臺虛擬機的形式部署在虛擬平臺中，將管理平面、控制平面、業(yè)務(wù)平面采用分離式設(shè)計；在每一臺需要保護的物理服務(wù)器部署一個插件，即可實現(xiàn)對該物理服務(wù)器上所有虛擬機的安全保護。

該解決方案的優(yōu)勢在于無需修改虛擬化平臺和虛擬機配置，不需要在每臺虛擬機上安裝軟件或插件，以便減少對物理機的資源占用；在安全業(yè)務(wù)管理中直接驅(qū)動自動引流，具有較強的流量可視化能力；不使用VMware的API進行引流，因此不受其版本演進變化的影響，性能高。但是，需要根據(jù)網(wǎng)絡(luò)交換機VLAN的劃分情況，設(shè)置虛擬VLAN，對現(xiàn)有的虛擬化平臺需要大的改動，影響業(yè)務(wù)的正常運行。

4 結(jié)語

服務(wù)器虛擬化已成為當(dāng)前網(wǎng)絡(luò)發(fā)展的一個大趨勢，而存在的安全威脅也極大地引起了社會的廣泛關(guān)注。但目前我國在虛擬化安全領(lǐng)域的研究還在發(fā)展階段，尚未完全成熟。因此，充分認(rèn)清河南省水利信息化虛擬環(huán)境中的安全威脅，并通過行之有效的手段制定相應(yīng)的安全方案，加強服務(wù)器虛擬化的安全防護，才能最大程度上降低或消除風(fēng)險隱患，確保虛擬平臺的正常有效應(yīng)用。

[1]鄧高峰，高四良，李玉龍．服務(wù)器虛擬化安全問題分析及防護措施[J]．計算機安全，2014（8）：30-32．

[2]滿亮.服務(wù)器虛擬化的安全威脅及防范分析[J].互聯(lián)網(wǎng)天地，2016（1）：9-12．

（責(zé)任編輯：劉 青）

TV 393

A

1673-8853（2016）12-61-02

2016-11-12