虛擬化技術及其應用一直在穩(wěn)健發(fā)展，在很多領域都有涉及。雖然虛擬化的概念可以回溯到五十年前，但這種技術仍在不斷增長，并且不斷推動在當今和未來的應用。

如今，有約50%的服務器負載在虛擬機上運行，并且在未來的幾年還要增加。據Gartner估計，2009年部署的虛擬服務器有四百萬臺，而虛擬化PC的數量將從2007年的五百萬增加到2016年的六億。虛擬化技術的使用帶來很多利益，如靈活性、敏捷性以及成本效益等。同時，虛擬化還帶來一些新挑戰(zhàn)：

物理安全設備往往對新的虛擬網絡結構“視而不見”;

系統(tǒng)管理程序(虛擬機管理程序)帶來新的威脅面;

虛擬管理員帶來角色的新威脅;

機器成為文件，導致移動性、快速變更及失竊機會;

虛擬化帶來很多好處，也不可避免地帶來許多由其自身產生的威脅。由于缺乏使用虛擬化和虛擬機的知識和正確指導，雇員會犯一些敏感的錯誤并給企業(yè)和虛擬化的安全帶來危害。

安全專家需要認識到哪些是新東西，并且調整其安全實踐進行適應。否則，虛擬化將帶來巨大的安全威脅。隨著虛擬機進入產生環(huán)境，企業(yè)必須關注正成為一種攻擊媒介的虛擬機技術。

雖然企業(yè)可以實施多種安全方案來保證其安全，但是，雇員意識、虛擬服務器和虛擬主機使用的安全實踐扮演著重要的角色。除了新出現(xiàn)的問題外，虛擬化最重要的問題是，用戶和管理員在使用和配置虛擬機時會犯錯誤，這可能會影響到虛擬化的安全性。

錯誤一：錯誤配置虛擬主機的管理平臺、臨時用戶和網絡

為虛擬機創(chuàng)建的默認安全配置在很大程度上與物理主機的默認配置一樣。對于虛擬服務器來說，這也是虛擬機的管理員可能犯的最大錯誤。如果虛擬機使用默認配置(其中包括不必要的端口和服務，還有其它的一些項目)，其中的漏洞就會擴展到由此虛擬機構建和復制的每一個實例中。

虛擬網絡配置是企業(yè)可能犯錯的另一個領域。在虛擬網絡上，有些企業(yè)沒有正確分離就建立Web服務器和數據庫服務器。這些常見的愚蠢錯誤可能使企業(yè)的虛擬服務器容易遭到漏洞利用，并且容易成為惡意黑客破壞服務器和其它服務的目標。

為避免這種錯誤，所有的監(jiān)視系統(tǒng)都應當是能夠感知和探測虛擬機并根據檢測結果采取行動的虛擬機。對于支持在客戶機和主機操作系統(tǒng)之間進行通信的虛擬化平臺的功能，管理員應密切地檢查。例如，設備驅動程序、復制和粘貼功能等等。只要有可能，管理員就應確認和禁用這些方面。

錯誤二：沒有正確分離責任和部署最少特權控制

在任何企業(yè)中，特權控制都扮演著一個重要角色。攻擊者總在尋找訪問特權賬戶的機會，以利用服務器的漏洞。在虛擬化中，也會出現(xiàn)同樣的常見錯誤：未處理特權賬戶，也沒有將特權賬戶與其它賬戶分離。

在用戶執(zhí)行其經授權的任務時，實現(xiàn)責任分離并且提供必要的最少權限，無論對于物理資源還是虛擬資源都是至關重要的。有些虛擬化平臺壓縮了系統(tǒng)和網絡管理功能，因而分離這些責任很困難。這就給了虛擬管理員太多的特權和功能。

此外，高特權的訪問還提升了有特權的內部人員的濫用風險，而且，虛擬管理員登錄憑據的泄露還會造成外部攻擊者可以利用一些強大功能。

為避免這種嚴重錯誤，企業(yè)應使用防火墻過濾器的規(guī)則，將虛擬化的管理控制臺的訪問限制為預定義的經授權的內部網絡地址，以防御外部攻擊者對虛擬化管理控制臺的訪問。此外，企業(yè)還應考慮使用可信任的安全機制，例如，要求對管理控制臺的訪問使用SSH。

錯誤三：未能教育其它組的成員，尤其是管理和合規(guī)人員

在動態(tài)創(chuàng)建新虛擬機、清除虛擬機時，風險評估、合規(guī)甚至是軟件的許可協(xié)議都會受到影響。如果企業(yè)沒有維護虛擬系統(tǒng)、虛擬服務器、虛擬網絡以及所有虛擬機機制的安全性，這個問題就很普遍。

在一個虛擬的環(huán)境中，風險評估和分析(發(fā)放評估調查問卷并分析問卷)的傳統(tǒng)方法是不夠的。由于許多企業(yè)看不到其中的風險，也就無法分析存在的差距。

通過對風險管理和合規(guī)人員進行虛擬化功能和局限性的教育，我們就可以防止這種錯誤。此外，在制定虛擬基礎架構的關鍵安全策略時，還要加入合規(guī)人員，并且還要對新的虛擬化項目的風險進行評估和分析，要將風險管理人員加入到討論中。

錯誤四：在企業(yè)中缺乏虛擬機的可見性

企業(yè)虛擬系統(tǒng)的不可控增長是一個主要錯誤，它會影響到多數虛擬系統(tǒng)和虛擬化機制。 “虛擬機蔓延”用于定義這種不可控制的增長，這會造成虛擬機耗用資源和帶寬，并且?guī)硇碌臎]有打補丁的和不受監(jiān)視的漏洞。

正如發(fā)現(xiàn)物理IT資產是非常必要的一樣，發(fā)現(xiàn)虛擬系統(tǒng)及其上運行的應用程序也同樣重要，當然其中也有不少困難。這就是虛擬環(huán)境的可見性非常重要的原因。在取證時會發(fā)現(xiàn)，在任何事件中，這種錯誤會造成虛擬環(huán)境的不可見，并且會由于不安全的和未知的虛擬源而造成信息泄露。

實施虛擬化感知技術發(fā)現(xiàn)虛擬機和網絡設備的端口映射和應用程序清單，是避免這種錯誤的一個好主意。將虛擬機集成到現(xiàn)有系統(tǒng)的生命周期過程中是一個不錯的主意。這也要求新的虛擬機感知工具與VMM(虛擬機監(jiān)控器)中的管理功能進行協(xié)作。

錯誤五：不能協(xié)調虛擬機和網絡連接之間的策略

對于物理的系統(tǒng)和網絡連接，我們可以確保建立策略并連接服務器、路由器、交換機和網絡安全設備，并且變更控制策略可以監(jiān)控策略和網絡配置的改變。

但是，在虛擬化中，問題正相反，因為虛擬機是動態(tài)創(chuàng)建的。虛擬機的動態(tài)屬性是虛擬化的美妙之處。然而，在涉及強化虛擬機的安全策略時，這就會帶來問題，因為虛擬機可以到處遷移。

由防火墻、路由器、交換機、IPS及其它設備的使用而構建的隔離和安全區(qū)域也可以在虛擬化的環(huán)境中創(chuàng)建生成。問題在于在虛擬機遷移時，如何在虛擬機環(huán)境中遵循相關規(guī)則。

為克服這種錯誤，管理員要確保物理基礎架構(如路由器和交換機)或者虛擬環(huán)境的對等設備都與虛擬機綁定在一起。此外，要尋找能夠感知虛擬化的有助于管理網絡和安全策略的解決方案，還要與VMM(虛擬機監(jiān)控器)或虛擬系統(tǒng)管理程序協(xié)作，以實現(xiàn)更高的可見性和控制。

從長遠來看，企業(yè)要尋求集成化的和可感知虛擬化的解決方案，從而更可靠地將安全功能加入到虛擬機中，并且使用安全策略管理工具，還要結合監(jiān)控虛擬機管理的過程，以確保虛擬機位置的改變能將必要的安全功能復制到新位置。

為解決由運行虛擬機帶來的安全問題，安全技術正在快速發(fā)展。很多技術并不能向虛擬環(huán)境提供足夠的安全特性和可靠性。進一步講，感知虛擬化的技術在虛擬化的實施中扮演著一個重要角色，并且提供可見性、控制以及與安全和可管理的虛擬系統(tǒng)的集成水平。但是，企業(yè)應當避免在實施虛擬環(huán)境時的常見錯誤，目的是避免安全缺陷和為攻擊者打開后門進而破壞企業(yè)的虛擬環(huán)境。