服务器虚拟化的安全风险

破坏了正常的网络架构采用服务器虚拟化技术，需要对原来的网络架构进行一定的改动，建立新的网络架构，以适应服务器虚拟化的要求。但是，网络架构的改动打破了原来平衡的网络架构系统，也就会产生一些危险系统安全的风险安全问题。比如：如果不使用服务器虚拟化技术，客户可以把几个隔离区设置在防火墙的设备上。这样一来，一个隔离区就可以管理着一个服务器，服务器之间可以不同的管理原则，不同的服务器也就可以有不同的管理方法。这样，当有一个服务器被外界攻击时，其它的服务器就不会受到影响，可以正常运行。但是，如果采用了服务器虚拟化技术，就需要把虚拟的服务器一起连接到同一个虚拟交换机上。通过虚拟交换机就把所有的虚拟的服务器同外部网络联系了起来。因为所有的虚拟的服务器都连接在同一个虚拟交换机上，这就造成了一方面原来设置的防火墙功能失去了防护作用，另一方面给所有的虚拟服务器增加了安全风险。当一个虚拟服务器遭受到攻击或出现状况时，其它的虚拟服务器也会受到影响。可能致使系统服务器超载服务器虚拟化虽然能产生若干个服务器供用户使用，但是这些产生的服务器只是虚拟的，还需要借用物理服务器的硬件系统来进行各种应用程序的运行。各个虚拟服务器的应用程序非常多，这些应用程序一旦全部运行起来，就会大量占用物理服务器的内存、中央处理器、网络等硬件系统，从而给物理服务器带来沉重的运行负担。如果有一天，所有的虚拟服务器都在运行大量的应用程序，就有可能使物理服务器负荷太大，从而出现服务器超载的现象。服务器超载到一定程度，就有可能造成各个虚拟服务器运行程序速度太慢，影响客户的使用。更严重的还可能造成物理服务器系统崩溃，给客户带来无法估量的损失。致使虚拟机失去安全保护服务器虚拟化后，每个虚拟机都会被装上自己的管理程序，供客户操作和使用虚拟服务器。但是不是所有的管理程序都是完美无缺，没有安全漏洞的。管理程序在设计中都有可能会产生一些安全漏洞和缺陷。而这些安全漏洞和缺陷则有可能成为电脑黑客的攻击服务器的着手点。他们通过这些安全漏洞和缺陷会顺利地进入服务器，进行一些非法操作。更重要的是，一台虚拟机管理程序的安全漏洞和缺陷会传染给其它虚拟机。当一台虚拟机因安全漏洞和缺陷遭受黑客攻击时，其它的虚拟机也会受到影响，致使虚拟机失去安全保护。服务器被攻击的机会大大增加连接于同一台物理服务器的所有服务器虚拟机是能相互联系的。在相互联系的过程中，就有可能产生一些安全风险，致使服务器遭受黑客的攻击。而且，黑客不需要对所有的服务器虚拟机逐个进行攻击，只需要对其中的一台虚拟机进行攻击。只要攻下一台虚拟机，其它的虚拟机就可以被攻下。因为，所有的虚拟机都是相互联系的。所以说，服务器虚拟化后被攻击的机会大大增加了。虚拟机补丁带来的安全风险每个虚拟机都有着自己的管理系统，而这些管理系统是经常需要及时安装最新补丁以防止被攻击。但是，一个物理服务器可以带许多个虚拟机，每个虚拟机就是一台服务器，都需要安装补丁，工作量太大。这就给虚拟机的补丁安装带来麻烦，会大大影响补丁的安装速度，使虚拟机不能够及时安装不断，从而带来安全隐患。另外，一些客户会通过一些技术手段保留个别虚拟机用于虚拟机的灾难恢复。但是，保留的虚拟机很可能没有及时安装新的补丁，从而会给灾难恢复的虚拟机带来运行的安全风险。

临沂网站建设公司成都创新互联公司,临沂网站设计制作，有大型网站制作公司丰富经验。已为临沂千余家提供企业网站建设服务。企业网站搭建\成都外贸网站建设要多少钱，请找那个售后服务好的临沂做网站的公司定做！

在云数据中心里，虚拟化安全防护应该考虑哪些因素

1、数据中心需要考虑投入产出比

2、云计算数据中心的虚拟化场景需要安全解决方案的良好配合。

例如：为每个租户分配不同的虚拟安全设备及管理账号，让其自行管理，这就要求安全设备的虚拟化是完整的(包括接口、路由、策略、管理员等各种对象)。另外不同租户的业务不同，对安全保护的要求也各不相同。例如Web服务商需要IPS，邮件服务商需要反垃圾邮件，这就要求安全设备的所有功能都能在虚拟化之后正常工作。

3、在云计算时代，虚拟化的确成了防火墙(包括下一代防火墙、UTM等多功能网关)的必备功能。安全部署必须无缝贴合云计算虚拟化的结构。完全独立的虚拟化，全功能虚拟化。这两点看似既简单又理所应当，但实际实现还是有较高技术难度的，需要云计算数据中心的注意。

主机虚拟化安全主要从哪行方面着手？

随着虚拟化技术不断向前发展,许多单位面临着实施虚拟化的诱人理由，如服务器的整合、更快的硬件、使用上的简单、灵活的快照技术等。这都使得虚拟化更加引人注目。在有些机构中，虚拟化已经成为其架构中的重要组成部分。在这里，技术再次走在了最佳的安全方法的前面。随着机构对灾难恢复和业务连续性的重视，特别是在金融界，虚拟环境正变得越来越普遍。我们应该关注这种繁荣背后的隐忧。

使用虚拟化环境时存在的缺陷

1.如果主机受到破坏，那么主要的主机所管理的客户端服务器有可能被攻克。

2.如果虚拟网络受到破坏，那么客户端也会受到损害。

3.需要保障客户端共享和主机共享的安全，因为这些共享有可被不法之徒利用其漏洞。

4.如果主机有问题，那么所有的虚拟机都会产生问题。

5.虚拟机被认为是二级主机，它们具有类似的特性，并以与物理机的类似的方式运行。在以后的几年中，虚拟机和物理机之间的不同点将会逐渐减少。

6.在涉及到虚拟领域时，最少特权技术并没有得到应有的重视，甚至遭到了遗忘。这项技术可以减少攻击面，并且应当在物理的和类似的虚拟化环境中采用这项技术。

保障虚拟服务器环境安全的措施

1.升级你的操作系统和应用程序，这应当在所有的虚拟机和主机上进行。主机应用程序应当少之又少，仅应当安装所需要的程序。

2.在不同的虚拟机之间，用防火墙进行隔离和防护，并确保只能处理经许可的协议。

3.使每一台虚拟机与其它的虚拟机和主机相隔离。尽可能地在所有方面都进行隔离。

4.在所有的主机和虚拟机上安装和更新反病毒机制，因为虚拟机如同物理机器一样易受病毒和蠕虫的感染。

5.在主机和虚拟机之间使用IPSEC或强化加密，因为虚拟机之间、虚拟机与主机之间的通信可能被嗅探和破坏。虽然厂商们在想方设法改变这种状况，但在笔者完成此文时，这仍是一真实的威胁。企业仍需要最佳的方法来对机器之间的通信实施加密。

6.不要从主机浏览互联网，间谍软件和恶意软件所造成的感染仍有可能危害主机。记住，主机管理着虚拟机，发生在虚拟机上的问题会导致严重的问题和潜在的“宕机”时间、服务的丧失等。

7.在主机上保障管理员和管理员组账户的安全，因为未授权用户对特权账户的访问能导致严重的安全损害。调查发现，主机上的管理员(根)账户不如虚拟机上的账户安全。记住，你的安全性是由最弱的登录点决定的。

8.强化主机操作系统，并终止和禁用不必要的服务。保持操作系统的精简，可以减少被攻击的机会。

9.关闭不使用的虚拟机。如果你不需要一种虚拟机，就不要运行它。

10.将虚拟机整合到企业的安全策略中。

11.保证主机的安全，确保在虚拟机离线时，非授权用户无法破坏虚拟机文件。

12.采用可隔离虚拟机管理程序的方案，这些系统可以进一步隔离和更好地保障虚拟环境的安全。

13.确保主机驱动程序的更新和升级，这会保障你的硬件以最优的速度运行，而且软件的更新可极大地减少漏洞利用和拒绝服务攻击的机会。

14.要禁用虚拟机中未用的端口。如果虚拟机环境并不利用端口技术，就应当禁用它。

15.监视主机和虚拟主机上的事件日志和安全事件。这些日志应当妥善保存，用于日后的安全审计。

16.限制并减少硬件资源的共享。从某种意义上讲，安全与硬件资源共享，如同鱼与熊掌，不可兼得。在资源被虚拟机轮流共享时，除发生数据泄漏外，拒绝服务攻击也将是家常便饭。

17.在可能的情况下，保证网络接口卡专用于每一个虚拟机。这里再次减轻了资源共享问题，并且虚拟机的通信也得到了隔离。

18.投资购买可满足特定目的并且支持虚拟机的硬件。不支持虚拟机的硬件会产生潜在的安全问题。

19.分区可产生磁盘边界，它可用于分离每一个虚拟机并可在其专用的分区上保障安全性。如果一个虚拟机超出了正常的限制，专用分区会限制它对其它虚拟机的影响。

20.要保证如果不需要互联的话，虚拟机不能彼此连接。前面我们已经说过网络隔离的重要性。要进行虚拟机之间的通信，可以使用一个在不同网络地址上的独立网络接口卡，这要比将虚拟机之间的通信直接推向暴露的网络要安全得多。

21.NAC正走向虚拟机，对于基于虚拟机服务器的设备尤其如此。如果这是一种可以启用的特性，那么，正确的实施NAC将为你带来更长远的安全性。

22.严格管理对虚拟机特别是对主机的远程访问可以使暴露的可能性更少。

23.记住，主机代表着单个失效点，备份和连续性要求可以有助于减少这种风险。

24.避免共享IP地址，这又是一个共享资源而造成问题和漏洞的典型实例。

业界已经开始认识到，虚拟化安全并不是像我们看待物理安全那样简单。这项技术带来了新的需要解决的挑战。

结论

虚拟化安全是一项必须的投资。如果一个单位觉得其成本太高，那么笔者建议它最好不要采用虚拟化，可坚持使用物理机器，但后者也需要安全保障。

应用虚拟化领域的安全防护体系是如何完备的？

以极通科技的ewebs为例：

不管是C/S还是B/S架构的应用，如何保证数据传输的安全是管理员要面对的问题，安全的关注点主要在三个方面：

用户身份验证的安全性：

用户身份验证的安全主要包括用户身份密码的安全和验证安全两个环节，传统的应用体系中，用户验证通常有用户名/密码验证、USB key验证及智能卡验证等方法。在EWEBS 2008 中，采用用户帐号和Windows帐号关联的方式，在EWEBS 2008中存储用户密码，用户访问应用程序时不直接使用Windows 帐号密码，而是使用EWEBS 2008中为用户单独创建的帐号。用户帐号的身份验证支持用户名/密码、USB Key验证、智能卡、指纹或视网膜等生物学身份验证方法。

服务器的安全性：

在传统的远程接入模式中，因为用户的应用直接在服务器端运行，如何保证服务器的安全性是管理员面临的一个大问题，一般都采用Windows 组策略等手段来保护服务的安全，但是组策略配置的复杂性、效果都不尽如人意。

在EWEBS 2008中，直接内嵌了Windows Active Directory 组策略的配置设置，管理员无需熟悉组策略的具体配置，只需要进行简单的选择，就可以轻松的限制用户对某个具体的硬盘、系统任务栏或IE等服务器端资源的访问。

数据传输的安全性：

在传统的应用模式中，客户端和服务器端需要传送应用程序相关的数据记录，如数据库的查询结果集等，这就对数据在网络上的传输安全提出了较高的要求，通常采用VPN加密、SSL加密等技术来保证应用数据的安全。在EWEBS 2008中，由于所有的应用程序都在服务器(集群)上运行，所以客户端和服务器端传送的仅仅是应用程序的输入输出逻辑，在没有特别授权的情况下，数据无法离开服务器(集群)，保证了数据的安全。EWEBS 2008中还内嵌了SSL通信技术来保证客户端和服务器端网络通讯的安全。

除了上述的三个方面的安全之外，在EWEBS 2008中，管理员还可以轻松的对客户端进行控制，可以根据用户帐号、访问时间、客户端IP地址、客户端MAC地址、客户端机器特征码（从CPU、主板、硬盘等硬件计算而来）等来限制客户端对应用程序的访问，从而做到即使用户帐号信息泄露，第三方也无法盗用应用程序，有效的保证了用户关键应用和数据的安全。