|
虛擬管理的“命門” |
更新時(shí)間:2007-11-9 14:23:17
(
編輯:映君
)
|
內(nèi)容導(dǎo)航:
虛擬管理的“命門”
3月,高德納公司(Gartner)一語(yǔ)點(diǎn)破了不爭(zhēng)的事實(shí):虛擬化為新攻擊的產(chǎn)生創(chuàng)造了良機(jī),而在博客圈內(nèi)引發(fā)了熱烈的討論,F(xiàn)在,圍繞著這個(gè)話題的,仍然是一團(tuán)濃濃的煙霧,只有時(shí)間才能說(shuō)明,在這厚重的濃煙的背后,到底有多大的火勢(shì),又是誰(shuí)在那兒"煽風(fēng)點(diǎn)火"。有一點(diǎn)可以明確的是,新虛擬化安全"設(shè)備"廠商對(duì)此尤為關(guān)注。盡管如此,許多企業(yè)已開始認(rèn)識(shí)到,他們當(dāng)初一頭扎進(jìn)虛擬化的旋渦中,而絲毫沒(méi)有考慮到這種做法對(duì)其數(shù)據(jù)保護(hù)政策的影響,實(shí)乃輕率之舉。因此,IT專業(yè)人士現(xiàn)已開始切實(shí)擔(dān)心,對(duì)虛擬機(jī)管理程序的成功攻擊,到底會(huì)在多大程度上消耗企業(yè)的"老本"。
如果你為此寢食難安,心中的最大疑問(wèn)必定是:現(xiàn)在我們?cè)馐芄舻娘L(fēng)險(xiǎn)到底有多大?高德納在一同份報(bào)告中預(yù)測(cè)到,無(wú)論如何,廠商會(huì)在2008年底之前發(fā)現(xiàn)主流產(chǎn)品中需要打補(bǔ)丁的安全漏洞。這些潛在的安全漏洞又可分為兩大類。首先,如果你能避開客戶操作系統(tǒng)而潛入主操作系統(tǒng),那你也就掌握了對(duì)那臺(tái)服務(wù)器上所有其他客戶端操作系統(tǒng)數(shù)據(jù)的訪問(wèn)權(quán)限。其次,攻擊者也在開發(fā)全新的Rootkit,以充分利用虛擬化技術(shù)的弱點(diǎn)。
"一直以來(lái),攻擊者都在不遺余力地尋找打破VMware客戶操作系統(tǒng)(Guest OS)的方法。"安全咨詢機(jī)構(gòu)Neohapsis公司首席技術(shù)官(CTO)格雷格•西普雷(Greg Shipley)指出,他同時(shí)也是《InformationWeek》的特約撰稿人。"對(duì)于任何組織而言,虛擬機(jī)管理程序中被安插了Rootkit,都可謂嚴(yán)重的威脅。但是,我不認(rèn)為,Rootkit的開發(fā)會(huì)成為一大挑戰(zhàn)。"
真正令西普雷感興趣的,是部署這類Rootkit的過(guò)程。
"我們需要進(jìn)一步搞清楚,攻擊者到底采用的到底是哪一種手段:是對(duì)某個(gè)安全漏洞進(jìn)行研究,利用此漏洞滲透到客戶操作系統(tǒng)進(jìn)而控制虛擬機(jī)管理程序?qū),還是追蹤管理程序并劫取安裝Rootkit所需的信用,就像安裝任何其他應(yīng)用軟件一樣?如果我去干這活兒,我知道該怎么干。"
至于如何攻破客戶圖像,咨詢公司Intelguardians公司在前不久舉行的SANSFire展上對(duì)這類侵入主操作系統(tǒng)的攻擊進(jìn)行了演示。但他們并未公布此類安全漏洞的細(xì)節(jié),因此我們無(wú)法確切地得知此類攻擊到底成功地攻破了哪部分系統(tǒng)。但毫無(wú)疑問(wèn),這些研究人員肯定不是在唱獨(dú)角戲。
可以從中得到的啟示是,組織現(xiàn)在需要做到:假定有虎視眈眈、全副武裝的入侵者完全能實(shí)施此類攻擊,并為此做好準(zhǔn)備。其中的關(guān)鍵在于深度防御以及恰當(dāng)?shù)奶撊胫鞑僮飨到y(tǒng)的攻擊進(jìn)行了演示。但他們并未公布此類安全漏洞的細(xì)節(jié),因此我們無(wú)法確切地得知此類攻擊到底成功地攻破了哪部分系統(tǒng)。但毫無(wú)疑問(wèn),這些研究人員肯定不是在唱獨(dú)角戲。
可以從中得到的啟示是,組織現(xiàn)在需要做到:假定有虎視眈眈、全副武裝的入侵者完全能實(shí)施此類攻擊,并為此做好準(zhǔn)備。其中的關(guān)鍵在于深度防御以及恰當(dāng)?shù)奶摂M機(jī)部署和設(shè)計(jì),具體包括:在同一個(gè)主系統(tǒng)中,針對(duì)不同的虛擬機(jī),采取不同的安全政策,制定不同的要求。
為了獲取有關(guān)讀者準(zhǔn)備情況的信息,我們進(jìn)行了一項(xiàng)調(diào)研,結(jié)果令人大跌眼鏡。我們無(wú)法不得出這樣的結(jié)論:43%的受訪者認(rèn)為虛擬機(jī)像傳統(tǒng)環(huán)境一樣安全,他們過(guò)于樂(lè)觀了。事實(shí)上,在384位參與調(diào)查的IT運(yùn)營(yíng)和安全專業(yè)人士中,只有屈屈12%的公司正式部署了保護(hù)虛擬機(jī)安全的策略。
現(xiàn)在,有很多組織紛紛表示,他們依賴現(xiàn)有的IT政策和工具包來(lái)管理和保護(hù)虛擬機(jī),從某種角度上說(shuō)這不無(wú)道理。誠(chéng)然,虛擬化環(huán)境面臨著與傳統(tǒng)服務(wù)器相同的運(yùn)營(yíng)威脅和風(fēng)險(xiǎn),但除此之外,擺在它們面前的還有其他陷阱,從Intrahost攻擊(參見圖),到對(duì)第三方虛擬機(jī)管理程序驅(qū)動(dòng)程序插件進(jìn)行評(píng)估,再到制定公司信息安全政策所需的各類信息,令其難以招架。
讓我們看看:如果一臺(tái)傳統(tǒng)的1U服務(wù)器的安全遭到威脅,你可能會(huì)覺(jué)得面上無(wú)光,接著重新對(duì)之進(jìn)行部署,對(duì)系統(tǒng)遭到的破壞進(jìn)行分析,修復(fù)系統(tǒng),然后一切恢復(fù)正常。多數(shù)組織的IT部門都建立了相應(yīng)的策略,以防止內(nèi)部災(zāi)難的擴(kuò)大,他們也都部署有第二和第三防御陣營(yíng),以阻止系統(tǒng)安全接二連三地受到威脅。其中的問(wèn)題在于,鮮有網(wǎng)絡(luò)監(jiān)測(cè)和管理工具有能力保護(hù)客戶虛擬機(jī)。當(dāng)傳統(tǒng)服務(wù)器受到攻擊,開始顯示亂碼或者出現(xiàn)可疑行為時(shí),系統(tǒng)會(huì)發(fā)出警報(bào)。在"裝在盒子中的數(shù)據(jù)中心"內(nèi),如果虛擬機(jī)之間全部采取機(jī)-機(jī)通信時(shí),你那久經(jīng)考驗(yàn)的網(wǎng)絡(luò)監(jiān)測(cè)工具的有效程度能有多高?在你發(fā)現(xiàn)大難臨頭之前,居心叵測(cè)的攻擊者需要多長(zhǎng)時(shí)間可完成對(duì)你系統(tǒng)內(nèi)部弱點(diǎn)的探查和測(cè)試,并用之實(shí)施攻擊?
在特定的虛擬機(jī)環(huán)境中,對(duì)于系統(tǒng)安全的深深的憂慮可謂無(wú)處不在,人們應(yīng)該這樣嗎?這句話問(wèn)到點(diǎn)上了,滾滾濃煙的含意再顯而易見不過(guò)--它警告人們危險(xiǎn)即將來(lái)臨。
夯實(shí)地基
欲從理論上對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估,并確定在哪里運(yùn)行帶有舊攻擊點(diǎn)的新應(yīng)用軟件而不致受到攻擊,你都需要理解虛擬化主機(jī)的根本設(shè)計(jì)原理。
虛擬化軟件可建立抽象層,從而將客戶操作系統(tǒng)與其所依賴的硬件分離,使在一臺(tái)服務(wù)器上運(yùn)行多臺(tái)虛擬機(jī)變?yōu)楝F(xiàn)實(shí)。虛擬機(jī)有賴于整齊化一的虛擬機(jī)管理程序,而后者以短小的特定代碼庫(kù)為基礎(chǔ),構(gòu)成抽象層。這種做法的優(yōu)點(diǎn)在于,托管應(yīng)用軟件的性能幾乎可與獨(dú)立軟件比肩。目前,VMware ESX、英特爾公司(Intel)的博銳平臺(tái)(VPro)、Virtual Iron、以及XenEnterprise等定位于企業(yè)級(jí)服務(wù)器市場(chǎng)的產(chǎn)品,均采用虛擬機(jī)系統(tǒng)管理程序技術(shù)。
與此相對(duì),桌面虛擬機(jī)和微軟公司(Microsoft)的虛擬服務(wù)器產(chǎn)品則采用傳統(tǒng)的"胖操作系統(tǒng)"模式。在這些模式下,客戶虛擬機(jī)運(yùn)行于成熟完善的主操作系統(tǒng)之上。
更多相關(guān):
投影機(jī)
|
文章來(lái)源:中國(guó)投影網(wǎng)
|
|
|
|
|
|
|
|
|