多年来，全球领先的电子商务海洋物流提供商Inttra公司一直在其后台IBM大型机和Citrix Systems服务器中使用虚拟化技术，主要采用在IBM刀片服务器中运行Linux虚拟软件，形成新一代数据中心，并且，这种基础设施还通过运行在英特尔平台上的VMware公司的虚拟化技术得到了进一步强化。

　　Inttra公司IT副总裁John Debenedette表示：他一直在努力跟上最新技术，保障虚拟化数据中心的环境安全；不过，若是要冒险在其非军事区（DMZ）外运行虚拟Web服务器，或是在更难以控制的终端上运行虚拟机，他还没有把握。

　　“你可以在所有虚拟机上执行最佳实践。但总体来说，出现安全问题主要是因为你对虚拟机平台寄予了太多期望。”Debenedette表示L: “这一层被称为虚拟内核或虚拟机监控器（VMM），也称为hypervisor，位于硬件和操作系统、设备驱动程序之间，目前处在一个关键性的位置上。”

　　虽然还未有安全观察员证实已经出现针对这层平台的攻击，但我们已可以看到，目前已经出现了虚拟机感知式恶意软件（如RedPill）以及上的rootkits软件（如BluePill）。有关专家表示：这个平台层目前已成为虚拟机恶意软件编写者眼中的美味大餐。为此，Debenedette很是担心这个新平台层的安全。

　　其实，要保证虚拟机平台层的安全，主要需要以下三点：一是，在这种虚拟环境中，需要实施高效安全的最佳实践；二是，除了物理设备以外，企业必须对虚拟软件进行管理并加以保护，适当调整网络防御策略来监视虚拟设备上的非法流量；三是，虚拟机层的创建必须是安全、有保障地进行，以避开最新型恶意软件的攻击。

　　虚拟机的最佳实践

　　今年6月，Research Concepts公司对美国《网络世界》杂志的707名读者进行有关虚拟化安全的调查。结果显示：有457个受访者认为虚拟化技术并未增加他们的安全风险；250名受访者（接近总数的36%）认为，虚拟化技术已成为非法分子手中新增的安全威胁工具，增加了他们的安全风险。而在这36%的受访者中，有近一半的人员部署了防火墙或是将关键网络分为虚拟局域网段，而其余一半人员，则是在其入侵检测传感器中加入了虚拟机流量感知功能。

　　很明显，许多企业一直并未应用安全策略来保护好他们的虚拟服务器。现在，企业正逐渐感受到非法及未被管理的虚拟机的四处蔓延，企业必须要果断地结束这种危险的错误行为。常为财富500强公司提供咨询的专家表示：令人心痛的是，虚拟化技术本是为了促进硬件安全而采用的技术，结果却反而增加了安全风险。

　　“随着虚拟机范围的扩展，这个问题正逐渐为人所知。”咨询专家Anil Desai表示: “如果没有相关IT知识就轻率地创建虚拟机，很难知道存在于虚拟机上的这些问题。”

　　此外，Desai还表示：“软件开发人员、内联网用户，甚至是在数据中心服务器上拥有很多特权的用户都正在创建虚拟机，并且，他们不具备相关的IT知识，只是看中它们易于部署且有助于完成某些工作的能力。”这是普遍存在的一个问题。

　　对此，Debenedette表示：任何称职的企业都应根据最佳实践来进行其数据中心的运作，这样一旦发行新的虚拟服务器安全问题时他们就能得到示警。这些最佳实践最终会大大地减少问题的出现。

　　Debenedette领导的团队现在使用的是VMware虚拟中心管理软件，这款软件中包括有一项自动探测功能，可定位虚拟机非法创建的情况。其他一些虚拟机管理软件，如Novell ZenWorks桌面管理系统、微软的系统中心虚拟机管理器（SCVMM）等，也提供了类似的探测功能。对于那些不想要集成此类工具到他们控制台的企业，可采用CA、HP、Network General以及其他管理和监控产品供应商提供的产品，因为去年，这些供应商就已在他们的产品套件中加入了各种不同的虚拟机感知功能。

　　Novell公司产品总监Richard Whitehead表示：定位虚拟机这一功能（即探测功能）还会对操作和产品支持有所帮助。“如果您正运行的虚拟服务器还未通过销售许可，那么它们就得不到厂商相应的支持。”他表示，“这意味着它们不会有补丁，也不会有更新，从而使得它们会成为一种安全隐患。”

　　管理工具中提供的其他有助于安全防护的功能还包括：可以终止不必要的虚拟机，也可以不采用其他的安全系统。

　　虚拟机安全防护的最佳实践

　　有专家表示：在虚拟化的新一代数据中心基础设施中，每款虚拟设备及其系统和网络段都必须根据最佳实践进行管理和控制。这些实践应包括：

　　● 为所有虚拟机及各类虚拟机上运行的各种应有程序建立标准，对应用安全、软件版本和补丁进行管理控制；

　　● 通过虚拟防火墙、防恶意软件和虚拟设备管理功能，强制实施所定的策略；

　　● 依据虚拟机类型进行适当的逻辑和物理隔离。例如：应将虚拟Web服务器与虚拟数据库服务器进行隔离；

　　● 适当调整网络入侵检测系统或是监控器来监视非法的及恶意的虚拟机流量。

　　进行分区

　　面向大型公司、政府提供先进的通信和信息技术解决方案的新供应商Verizon Business公司咨询顾问Tom Parker表示：虚拟机故障切换的地点和方式是极为重要的，目前企业的IT人员满脑子都是如何设置故障切换流程。

　　例如：故障切换可用于从一台虚拟机切换到另一台虚拟机，或是切换到另一个完全不同的虚拟子网中。最佳实践要求，故障时切换到一台隔离的物理服务器上，这点在总系统发生故障时犹为重要。

　　在虚拟环境中，系统的隔离和分区是十分重要的，不仅适用于备份，同时还适用于创建DMZ。Parker认为，IT管理人员常常会忽略这种隔离工作。“当同一台计算机上有一大群的虚拟Web服务器，而数据库服务器也随之虚拟化时，我们难以想像会发生什么，而我却一直发现有这种情况。”他表示，“这样的结果只能是企业的安全风险系数直线上升，攻击者和恶意软件可任意地通过Web服务器直接攻击到数据库服务器。”

　　最佳实践往往要求此类系统应通过DMZ进行隔离，你可虚拟地、物理地或是虚拟和物理元素混用地来达成这种隔离。

　　不过，最好还是逻辑地隔离这些服务器群，逻辑地隔离一台物理服务器上的Web服务器和另一台物理服务器上的数据库服务器。Parker表示：“这样就消除了恶意软件在虚拟机服务器群之间相互传播的风险。”

　　锁定最低层

　　咨询专家Desai表示：VMware平台拥有大量对主机操作系统和硬件的高级访问权限，这对于恶意软件编写者来说无疑是很有诱惑力的。“从技术观点看，虚拟层的运行必须可直接访问硬件，或是可直接访问到硬件抽象层。这意味着它运行时拥有对物理机器的高级访问权限。”他表示，“任何拥有这种访问权限的应用都免不了成为恶意软件编写者的目标。”

　　随着针对虚拟机的恶意软件逐渐从在虚拟机之间破坏，发展成向下入侵到主机操作系统甚至是虚拟机监控层，这成为我们必须面对的一个大问题。Parker和其他恶意软件研究员皆发现到了此类攻击。

　　计算机安全厂商DriveSentry公司首席执行官John Safa 表示：“这些非法分子正寻找通过虚拟内核攻击虚拟机的方式。”

　　英特尔公司服务器安全战略决策人Paul Smith推断：虚拟机将推动芯片级的认证技术的发展。Smith举了一个例子：可信计算组织（TCG）的可信平台模块（TPM）内的“可信根”组件，存储了片上系统已验证的hash值，当该系统启动时，“可信根”会对比密钥和芯片上的hash值，如果芯片上hash值发生了改变，那么它将阻止系统的任何运行。

　　英特尔和Advanced Micro Devices公司都针对虚拟机提供了TPM的“可信根”，来检测虚拟机监控器的hash值。若是其发生了改变，系统将会尝试重启，“可信根”将恢复到原始的hash值，或是索性不允许启动。

　　开发人员还一直在努力解决虚拟的TPM问题。Novell产品经理Larry Russon表示：在这一方面，可信-验证流程将扩展到虚拟设备上。Smith表示：这将确保虚拟机平台的完整性，进而通过其完整性达成安全性的目标。因为对该平台的任何恶意或未授权的改变都是不允许的。对此，Russon 则持反对意见，他表示：配置改变和打补丁都难以使用可信计算组织的模式。这是因为，在可信-验证流程中，每台虚拟设备的每一个改变必须再次复制并在芯片中再次生成hash值。