谁来填补虚拟机的安全漏洞

    Gartner的分析师Neil MacDonald在一份研究报告中指出，60%的虚拟化服务器的安全性低于它所取代的物理服务器的安全性，而且这种状况将持续到2012年。如今，虚拟化技术的普及率越来越高。Gartner预计，2012年全球将有超过一半的工作负载被虚拟化。如果不能有效解决虚拟机的安全性问题，那么安全性问题很可能成为虚拟化应用最大的绊脚石。
安全漏洞并不可怕
    虚拟机的安全“黑洞”到底有多大？McAfee Avert Labs的David Marcus表示：“如果你有能力攻击一个虚拟机，并且能够进入虚拟机之外的主操作系统，那么你完全可以控制服务器中的全部虚拟机。”
    2009年5月，来自网络的一条新闻指出，VMware虚拟化软件的Mac版本Fusion中存在一个严重的安全漏洞。别有用心的人可以利用该漏洞，通过Windows虚拟机在Mac主机上执行恶意代码。不过，VMware很快就发布了Fusion 2.0.4，修复了该漏洞。虚拟机生命周期管理方案提供商Embotics的营销副总裁David Lynch曾表示：“在虚拟机的安全性方面，黑客肯定是有机可乘的。如果你参加过像黑帽大会这样的技术安全大会，就会发现虚拟化技术已经成为热议的话题。很多人在关注这个领域。”
    2010年3月，据国外网站报道，核心安全科技公司（Core Security Technologies）发出警告，微软Virtual PC中存在一个未被修复的安全漏洞。黑客通过该漏洞可以成功绕过数据执行保护（DEP）、地址空间随机化布局（ASLD）等安全机制，对虚拟机发起攻击。此安全漏洞涉及微软Virtual PC 2007、Windows Virtual PC和Virtual Server 2005，所幸Hyper-V不受影响。
    从目前情况看，针对虚拟机的攻击已经不再是纸上谈兵，而是确确实实发生了。许多虚拟机方案提供商、安全厂商和一些安全组织不断反映有关虚拟环境的安全问题以及不断涌现的新攻击和安全漏洞。现在，我们对虚拟机的安全问题提高警惕。
    让人担心的是，针对虚拟化的安全威胁并没有引起广大企业管理者的足够重视。很多人在部署虚拟化技术的时候，想到更多的是如何提高设备利用率，降低成本等，而忽视了安全问题。
    “与其他软件一样，x86虚拟化软件平台不可能完全没有安全漏洞。VMware、Citrix和微软等虚拟化平台软件厂商均在最近几年内都找到了各自平台的漏洞。”戴尔大中华区大型企业事业部首席架构顾问陈进坤表示，“发现安全漏洞后，只要按时打补丁和升级，用户的主机几乎不会受到攻击。例如，ESX等系统管理程序已经过加拿大通信安全部（CSEC）通用标准评估和认证评估与认证方案（CCS）验证，获得了EAL4+级通用标准认证。EAL4+级是在全球范围内受到《通用标准重组协议（CCRA）》的所有签署方最高安全级别的认可。”
    趋势科技认为，虚拟机确实确实在安全漏洞。但是，用户只要针对虚拟机及时做好补丁管理，就不会有太大问题。
    惠普公司认为，既然虚拟机是被打包好的文件系统，基于标准的平台，那么存在安全漏洞就是不可避免的，但是如果能扬长避短，充分发挥虚拟服务器的灵活性、可靠性和共享性，则能获得事半功倍的效果。这也是虚拟化技术在当今能够大行其道的主要原因。
    在记者采访的多家虚拟化软件厂商、安全厂商和服务商中，万国数据服务有限公司（GDS）副总裁张权的观点颇具代表性。
    他认为：“安全问题是IT业界长期存在的一个问题，而并不是取决于架构是物理的还是虚拟的，平台是x86还是Unix或应用以何种形式存在等。虚拟化技术的出现具有划时代的意义。它能够降低成本，节能增效，提高资源利用水平和资源配置的灵活性，提升业务连续性水平。但是作为一种新出现的技术，虚拟机面临着与传统物理服务器架构一样的安全问题，如网络、访问控制、数据加密、操作系统和应用等方面的安全问题。这些问题其实与物理服务器遇到的安全问题类似。”
    解决虚拟机的安全性问题，不能仅靠虚拟化软件厂商，还要操作系统、应用、网络、安全等厂商共同努力，同时IT管理者要提高防范意识。
事在人为
    Gartner的研究报告指出，虚拟机的安全性低并不是因为虚拟化技术本身不安全，而是因为缺乏相关的工具、应用流程的不成熟以及企业员工和经销商缺少有效的培训。
    VMware公司大中华区技术总监张振伦指出，实际上，多数的安全风险来自实际使用过程中，而并非虚拟化技术本身的问题。经过专门的审计、控制完全可以规避虚拟机的安全风险。AstroArch咨询公司创始人Haletky认为：“与虚拟化相关的最大安全问题是，很多用户不知道自己在做什么。虚拟化应用管理员不是安全管理员，也不是存储管理员。为了解决虚拟机的安全性问题，他们还要太多知识要学习。”
    张振伦归纳出虚拟机面临的主要风险：第一，虚拟化层的妥协可能导致所有托管工作负载降低标准；第二，内部虚拟网络虚拟机之间的通信缺乏可见性和控制力，使当前的安全策略增强机制丧失效力；第三，不同信任级别的工作负载在没有充分隔离的情况下被整合到一个单独的物理服务器；第四，Hypervisor/VMM层和可管理工具的访问管理缺乏可控性；第五，网络和安全控制职责的隔离存在潜在损失。
    其实，技术的问题只是一方面，为了保护虚拟机的安全，更重要的是在人和应用方面下功夫。Gartner研究发现，40%的虚拟化应用在最初的规划和设计阶段，根本没有考虑安全因素。Gartner建议，安全管理流程应扩展到虚拟化管理程序和虚拟机监视器等方面。 
    许多系统管理员缺乏有效保护虚拟化环境的专业知识。虚拟化技术模糊了IT人员的角色与职责。例如，在虚拟机泛滥而存储管理员又不知情的情况下，很容易出现后端存储吞吐量瓶颈的问题。
    “虚拟化正在改变传统的服务器配置流程。用户需要建立一个全新的框架，避免出现虚拟机泛滥的问题，进而解决隐藏的安全问题。许多早期部署的虚拟基础设施，并没有采用最佳的基础设施架构部署策略。”陈进坤表示，“用户应该避免为虚拟化而虚拟化的思维定式。用户应该将注意力放在人员、流程和技术的无缝整合上，去创造一个高效、高安全的企业基础架构平台。”
    “无论是传统的物理环境还是虚拟化环境，出现安全问题的原因都一样，即技术和管理的问题。”张权认为，虚拟化应用成功的关键是三分技术、七分管理，“仅仅依靠技术手段，只是治标不能治本，只有结合安全的运维管理，才可以做到治标治本。”
    张权归纳出虚拟机管理方面存在的主要问题：第一，安全组织设置和岗位职责不明确；第二，安全风险管控不到位；第三，日常安全运行与维护缺乏有效性；第四，应用系统安全管理疏忽；第五，不专业的灾备管理；第六，缺乏内部与第三方人员安全管理的规范；第七，没有进行必要的安全教育培训。
    惠普认为，安全问题在每个环节都有可能发生，关键在于如何创建有效的流程，通过高效的软件工具监控虚拟机的运营，从而避免问题出现。