移动安全 安全管理 应用案例 网络威胁 系统安全 应用安全数据安全 云安全
当前位置: 主页 > 信息安全 > 数据安全 >

Hypervisor安全是虚拟数据中心安全的首要条件

时间:2013-03-22 11:12来源: 点击:
Hypervisor安全是虚拟数据中心安全的首要条件
Tags防火墙(206)虚拟化安(1)Hypervisor(7)  

  维护hypervisor安全是每个的首要任务。因为一台单主机可能要处理几十个的工作负载。单主机上的安全漏洞可能导致断电。不幸的是,目前还没有一个独立的、综合的安全解决可以担保数据中心的安全。要确保良好的hypervisor安全性,需要多管齐下。你需要做很多方面的工作才能保护你的虚拟化服务器环境。

  减少主机的受攻击面

  确保虚拟数据中心安全的第一个步骤就是减少主机的受攻击面。这在环境中尤其重要。因为Hyper-V通常作为角色安装在Windows服务器上。如果你的虚拟主机能使用主机,那么该主机操作系统中不能包含任何多余的角色、功能或者应用。主机操作系统只能运行Hyper-V和重要的基础组件如或备份代理。

  另外,避免将操作系统加入到生产环境,对hypervisor的安全也有利。相反,你可以在专用活动目录林中创建一个专门的管理域来管理虚拟主机。该类型的域允许使用用到域成员的管理产品。但是你不用担心主机服务器被盗后会曝光你的生产域。顺便说一句,在虚拟主机管理域中可以使用物理域控制器。

  如果能避免使用主机操作系统最好,不能避免的话,推荐使用具有较少攻击面的Server Core 部署。另外,建议为主机操作系统使用专用的物理网络适配器,如此,流量管理就可以同虚拟机(VM)流量分离开来。

  使用虚拟加强hypervisor安全

  利用虚拟和软件防火墙也可以帮助确保hypervisor的安全。大多数hypervisor中,VM不直接与物理网络连接,相反,VM连接到一个虚拟,该虚拟交换机与物理网络适配器连接。在这种类型的架构中,每个VM共享物理网络适配器和虚拟交换机。这意味着,如果两台VM需要相互交流时,数据包不用穿过物理网络。

  如果两台VM共享一个虚拟交换机,这两台VM之间可以直接沟通,数据不需要穿过物理网络,因此也不受硬件防火墙监控。克服这种缺陷的最好方法是创建虚拟防火墙(如果虚拟平台允许的话)或者在所有的VM上安装软件防火墙。

  控制资源预防拒绝服务攻击

  Hypervisor最大的安全威胁是拒绝服务攻击。在虚拟服务器环境中,几个VM共享主机服务器上有限的硬件资源池。如果其中的任何一台VM过度消耗硬件资源,那么其他的VM就不能正常运行。这中情况下,攻击者对单个虚拟服务器发动DoS攻击是非常容易的事情。

  防止虚拟环境遭受此类攻击的方法就是控制任何一台VM消耗过度的物理硬件资源。尽管管理员们通常会控制合理的内存消耗,但他们通常会忽略对其他硬件资源的合理掌控。

  管理员针对每一个hypervisor的实际掌控力大不相同。但是多数hypervisor都允许对一台VM消耗的内存和CPU时间进行限制。

  在很大程度上,确保虚拟数据中心安全就像确保物理数据中心安全。适用于物理环境的最佳安全实践大多数在虚拟环境中也有效。但是,管理员们也应该采取一些附加措施来维护Hypervisor安全,尤其是当主机操作系统运行在虚拟主机上时。

------分隔线----------------------------

推荐内容