服务器虚拟化平台下的安全防护

杜小月 马鹏 杨彦仙 孙超

摘要 虚拟化是目前云计算最为重要的技术支撑，需要整个虚拟化环境中的存储、计算及网络安全等资源的支持。基于服务器的虚拟化技术走在了前面，已开始广泛的部署应用。服务器虚拟化具备高可用、灵活、易管理、经济等特性，大部分企业已将关键业务系统迁移至虚拟化平台。随着“永恒之蓝”勒索病毒在全球大范围传播，信息化安全受到了巨大的挑战。如何保证服务器虚拟化平台的安全性，作为本文研究的重点。本文主要通过安全管控措施、虚拟化平台安全特性保障措施及虚拟化平台网络安全防护三个方面进行研究，最终保障服务器虚拟化平台的高安全性。

【关键词】服务器虚拟化 虚拟化安全 虚拟化平台安全特性保障措施 虚拟化平台网络安全防护

1 前言

服务器虚拟化平台一方面保障了业务系统高可用、资源灵活调度，但同时服务器虚拟化也带来了新的安全威胁。新的安全威胁主要体现在如下两个方面：

1.1 传统的安全风险依然存在，但是安全防护对象扩大

传统的一些安全风险并没有因为服务器虚拟化的产生而减少或者规避，而服务器虚拟化的产生，带来了新的网络环境，一台物理服务器之上构建了多台虚拟机。新产生的网络环境及新产生的虚拟机将不受原安全防护系统的保护。服务器虚拟化的出现，进一步扩大了安全防护的范围。

1.2 虚拟机之间产生了新的安全访问风险

同一台物理服务器上运行的虚拟机之间的访问，将不通过外界安全防护设备，以至于运行于同一台物理服务器上的虚拟机安全无法进行传统的安全防护。运行于不同物理服务器上且处于同- VLAN的虚拟机进行安全访问时，传统的安全防护系统无法进行安全防护。

2 服务器虚拟化平台下的安全防护研究

保证服务器虚拟化平台安全性是一个系统性工程，只有通过管理和技术双管齐下才能充分的保证服务器虚拟化平台安全。

2.1 提升安全管控措施

当前企业面临的安全事件不仅来自外部的攻击，不少安全事件的产生是由于内部造成的，并对企业造成巨大的损失。

（1）加强内部员工网络安全培训，包括法律、公司安全规则制度、网络安全基本知识、技能等，进一步提高员工网络安全的警惕性和自觉性。

（2）加强信息机房安全管理，严格执行公司信息安全防护制度。

（3）定期开展虚拟化平台之上的系统安全加固，保证系统的安全性。

（4）定期开展虚拟化平台网络安全应急演练，加强运维人员网络安全应急能力。

2.2 虚拟化平台安全特性保障措施

虚拟化平台自身配置了大量的安全特性，只有正确的启用这些安全特性，才能保证虚拟化平台的整体安全性。经过总结，虚拟化平台安全特性主要包括：虚拟化平台权限和用户管理安全特性、Hypervisor主机安全特性、虚拟化管理平台安全特性、虚拟机安全特性、虚拟机加密。

2.2.1 虚拟化平台权限和用户管理安全

使用角色和权限的最佳做法可充分提高虚拟化管理平台环境的安全性和易管理性，具体措施如下：

（1）向组分配角色，而不要向单个用户分配角色，以便向该组授予特权。

（2）仅授予对被需要对象的权限，仅向必须拥有特权的用户或组分配特权。

（3）如果要为组分配限制性角色，检查该组是否不包括管理员用户或其他具有管理特权的用户。

（4）使用文件夹对对象进行分组。

（5）在大多数情况下，向对象分配权限时启用传播功能。

（6）使用“无权访问”角色可屏蔽特定用户或组无权访问的对象层次结构中的特定区域。

2.2.2 确保虚拟化主机安全

确保虚拟化主机安全的措施如下：

（1）确保虚拟化主机Shell和SSH处于禁用状态。

（2）打开有限的防火墙端口数目，明确打开与特定服务关联的额外防火墙端口。

（3）虚拟化主机仅运行管理其功能所不可或缺的服务。

（4）对主机进行管理访问时无需使用的所有端口均处于关闭状态。需要其他服务时，再打开端口。

（5）禁用弱密码，来自客户端的通信通过SSL进行保护。

（6）关闭FTP和Telnet之类的不安全服务。

2.2.3 确保虚拟化管理平台安全性

确保虚拟化管理平台安全主要措施如下：

（1）严格控制对不同虚拟化管理平台组件的访问，以增强系统的安全性。

（2）使用指定帐户。

（3）监控虚拟化管理主机管理员用户的特权。

（4）最大程度地减少访问。

（5）为虚拟化管理主机数据库用户授予最小的特权。

（6）限制数据存储浏览器访问。

（7）限制用户在虚拟机中运行命令。

（8）设置密码策略。

2.2.4 虚拟机安全

按照基线模板以及安全漏洞扫描模板定期对虚拟机进行扫描，并完成安全加固。同时通过以下措施进一步保证虚拟机安全。主要包括：虚拟机常规保护、使用模板来部署虚拟机、尽量少用虚拟机控制台、防止虚拟机取代资源。

2.2.5 虚拟机加密

对于支持虚拟机加密的平台，启用虚拟机加密功能，加密不仅能保护虚拟机，而且还能保护虚拟机磁盘和其他文件。

2.3 服务器虚拟化平台网络安全防护措施

将服务器虚拟化平台业务流量划分为纵向流量和横向流量，通过从纵向流量、横向流量两个方面进行服务器虚拟化安全防护。

2.3.1 服务器虚拟化纵向流量的安全防护

服务器虚拟化纵向流量包括两种流量，第一客户端到服务器访问的流量，第二不同虚拟机之间三层互访的流量。服务器虚拟化纵向流量的特点是流量访问过程必然经过服务器虚拟化平台之外的硬件安全防护层。针对此类型流量，采用传统的安全区域防护设备（防火墙、IPS设备）进行安全防护。

2.3.2 服务器虚拟化横向流量安全防护

服务器虚拟化平台横向流量包括服务器虚拟化平台运行于同一物理服务器之上，同一VLAN两台虚拟机之间的互访流量，以及不同物理服务器之上，同- VLAN两台虚拟机之间的互访流量。服务器虚拟化平台横向流量无法通过传统硬件安全防护设备进行安全防护，要做到横向更深度的安全检测，目前主要有两种技术方式：基于VM的安全服务模型，以及利用EVB技术实现流量重定向的安全检测模型。

（1）基于VM的安全防护：利用软件定义安全的思想，通过服务器虚拟化平台开放的API接口，实现虚拟化层面虚拟安全防火墙、虚拟IPS，可实现横向流量的安全防护。

（2）基于重定向技术的防护模型：利用进行标准化的EVB、VEPA等技术将服务器虚拟化横向流量引入到外部的交换机，在交换机对引入的横向流量进行转发之前，通过镜像或者重定向等技术，将流量先引入到安全区域防护设备进行深度报文检查、安全策略配置。

3 总结

服务器虚拟化平台为业务系统带来高可用、方便、灵活、节能、经济等特性的同时，也带来了新的信息安全威胁。只有认真地分析虚拟化平台带来的安全威胁，针对新的安全威胁进行安全防护，才能保证我们整个虚拟化环境的安全。本文认清了服务器虚拟化平台带来的安全威胁，通过管理和技术手段结合，科学的解决了服务器虚拟化平台带来的安全隐患，保障了整个虚拟化平台的安全性，有效地发挥出服务器虚拟化平台的价值。

参考文献

[1]侯茜，对虚拟化安全防护关键技术的探讨[J].数字通信世界，2017 （07）.

[2]武国良，王琪，陈凯华.服务器虚拟化环境下的安全防护[J].网络安全技术与应用，2016 （10）.

[3]鄧高峰，高四良，李玉龙.服务器虚拟化安全问题分析及防护措施[J]，计算机安全，2014 （08）.

[4]刘潇清.服务器虚拟化在电厂信息化建设中的应用研究[D].华北电力大学，2015.