Interop：虚拟服务器蔓延带来安全隐患

你认为服务器蔓延很糟糕？那你一定还没有经历过虚拟服务器的蔓延。当用户只需要点击一下鼠标就可以复制虚拟机或者保存应用以及操作系统的版本以备不时之需，那么一旦IT不能保证严格控制的话，你就会面临诸多麻烦，虚拟化管理厂商Embotics在美国Interop展会上如是表示。

Embotics市场营销副总裁David Lynch在Interop展会题为：“Virtualisation's Phantom Menace: Security”的演讲中表示，服务器虚拟化项目主要是因为用户对环境整合的需求所推动，但是虚拟机不可控制的增长可能会适得其反。虚拟机蔓延造成了物理服务器和软件资源的浪费，而且还可能给IT技术人员带来更多手动操作和安全风险等沉重负担。

他表示：“虚拟世界中虚拟机蔓延的风险要比在物理环境下的高得多。你在现实情况下看到服务器蔓延所带的麻烦，那就意味着虚拟化环境下更加糟糕。”

虚拟机蔓延并不单单指数量的增多，还牵扯到那些没有适当IT监控的虚拟机数量逐渐增多。

Embotics的一家用户发现，虽然他们有将近5000台虚拟机，但实际上其中大多数都是不需要的。IT技术人员仅仅是通过关闭虚拟机工作，然后看是否有人对此做出回应来判断这台虚拟机是否有用。数据显示，有将近70%的虚拟机都是无用的，但是这些虚拟机仍然在耗费网络资源以及软件许可。

离线虚拟机是他们面对的主要难题，因为自动补丁系统并不能识别出这些虚拟机，没有给这些离线虚拟机进行重要的升级。Lynch建议，IT机构应该为一台虚拟机离线的时间长度进行限制，如果一台虚拟机离线一定时间，例如30天的话，那么就自动删除掉这台虚拟机。

虚拟机蔓延背后的一个关键问题就是用户很轻易就可以生成一台虚拟机，然而追踪到底有多少台虚拟机、这些虚拟机配置的时间和位置却是一个难题。

现在市场中大多数的安全产品并不是针对那些虚拟化流动环境。那些在物理环境下可以被解决的安全问题到了虚拟环境下可能就无法解决。hypervisor实际上是引入数据中心的另一种系统，不过它的引入并没有经过严格的审查。Lynch表示：“Hypervisor是一种以服务器整合形式进入环境的操作工具，它从来没有像其他引入数据中心的技术那样经过严格的审查。”

因为hypervisor具有通向多个虚拟机的路径，所以它成为了系统攻击者的最佳目标。Lynch表示：“如果可能的话，你可以进入许多服务器系统。”

Hypervisor中只有很小一部分代码是用于防止病毒入侵的，最近在VMware桌面虚拟化软件中发现的漏洞也引起了人们对服务器虚拟化技术安全性的担忧。Lynch预计今年将发生更多基于hypervisor的攻击。市场研究机构Gartner分析师Neil McDonald表示，目前生产中的虚拟机超过60%都比相应的物理产品安全性低。

IDC预测，到2011年将有超过半数的服务器设备被虚拟化。用户从VMware的网站就可以下载到所谓的虚拟应用，而且虚拟应用将成为配置软件最常见的途径。不过这些应用也会带来新的安全隐患，我们很难知道从网站上下载下来的虚拟化应用是否是正轨厂商提供的，或者升级程序的来源是否可靠。

总的来说，虚拟化技术要求新的安全策略，不过这方面的进展非常缓慢，而且对那些被行业说法蒙蔽的企业用户也遇到了不少麻烦。

安全策略应该直接嵌入到hypervisr内，但是hypervisor的设计者并不一定是安全安全专家。

现在不少厂商在研发嵌入式hypervisor安全工具方面已经取得了一定进展。IBM启动了一项与虚拟化有关的放入侵项目，VMware也在今年二月发布一系列API，这向安全厂商提供了对hypervisor更高的可见性。

Lynch认为，这实际上让我们看到了“hypervisor制造的黑洞”，除非VMware真正对其API具有选择性，否则还是会引入新的安全风险。

Lynch表示：“并不存在所谓的私有API，不久厂商将公布越来越多的API。”