实施虚拟化:管理员应避免五大安全错误

日期:2016-11-28作者:赵长林

【TechTarget中国原创】

虚拟化技术及其应用一直在稳健发展,在很多领域都有涉及。虽然虚拟化的概念可以回溯到五十年前,但这种技术仍在不断增长,并且不断推动在当今和未来的应用。

如今,有约50%的服务器负载在虚拟机上运行,并且在未来的几年还要增加。据Gartner估计,2009年部署的虚拟服务器有四百万台,而虚拟化PC的数量将从2007年的五百万增加到2016年的六亿。虚拟化技术的使用带来很多利益,如灵活性、敏捷性以及成本效益等。同时,虚拟化还带来一些新挑战:

物理安全设备往往对新的虚拟网络结构“视而不见”;

系统管理程序(虚拟机管理程序)带来新的威胁面;

虚拟管理员带来角色的新威胁;

机器成为文件,导致移动性、快速变更及失窃机会;

虚拟化带来很多好处,也不可避免地带来许多由其自身产生的威胁。由于缺乏使用虚拟化和虚拟机的知识和正确指导,雇员会犯一些敏感的错误并给企业和虚拟化的安全带来危害。

安全专家需要认识到哪些是新东西,并且调整其安全实践进行适应。否则,虚拟化将带来巨大的安全威胁。随着虚拟机进入产生环境,企业必须关注正成为一种攻击媒介的虚拟机技术。

虽然企业可以实施多种安全方案来保证其安全,但是,雇员意识、虚拟服务器和虚拟主机使用的安全实践扮演着重要的角色。除了新出现的问题外,虚拟化最重要的问题是,用户和管理员在使用和配置虚拟机时会犯错误,这可能会影响到虚拟化的安全性。

错误一:错误配置虚拟主机的管理平台、临时用户和网络

为虚拟机创建的默认安全配置在很大程度上与物理主机的默认配置一样。对于虚拟服务器来说,这也是虚拟机的管理员可能犯的最大错误。如果虚拟机使用默认配置(其中包括不必要的端口和服务,还有其它的一些项目),其中的漏洞就会扩展到由此虚拟机构建和复制的每一个实例中。

虚拟网络配置是企业可能犯错的另一个领域。在虚拟网络上,有些企业没有正确分离就建立Web服务器和数据库服务器。这些常见的愚蠢错误可能使企业的虚拟服务器容易遭到漏洞利用,并且容易成为恶意黑客破坏服务器和其它服务的目标。

为避免这种错误,所有的监视系统都应当是能够感知和探测虚拟机并根据检测结果采取行动的虚拟机。对于支持在客户机和主机操作系统之间进行通信的虚拟化平台的功能,管理员应密切地检查。例如,设备驱动程序、复制和粘贴功能等等。只要有可能,管理员就应确认和禁用这些方面。

错误二:没有正确分离责任和部署最少特权控制

在任何企业中,特权控制都扮演着一个重要角色。攻击者总在寻找访问特权账户的机会,以利用服务器的漏洞。在虚拟化中,也会出现同样的常见错误:未处理特权账户,也没有将特权账户与其它账户分离。

在用户执行其经授权的任务时,实现责任分离并且提供必要的最少权限,无论对于物理资源还是虚拟资源都是至关重要的。有些虚拟化平台压缩了系统和网络管理功能,因而分离这些责任很困难。这就给了虚拟管理员太多的特权和功能。

此外,高特权的访问还提升了有特权的内部人员的滥用风险,而且,虚拟管理员登录凭据的泄露还会造成外部攻击者可以利用一些强大功能。

为避免这种严重错误,企业应使用防火墙过滤器的规则,将虚拟化的管理控制台的访问限制为预定义的经授权的内部网络地址,以防御外部攻击者对虚拟化管理控制台的访问。此外,企业还应考虑使用可信任的安全机制,例如,要求对管理控制台的访问使用SSH。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

评论
查看更多评论

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

作者>更多

赵长林
赵长林

TechTarget中国特邀作者

虚拟化安全>更多

  • 实施虚拟化:管理员应避免五大安全错误

    如今,有约50%的服务器负载在虚拟机上运行,并且在未来的几年还要增加。虚拟化带来很多好处,也不可避免地带来许多由其自身产生的威胁……

  • 云计算安全凸现新威胁 东软NetEye给你“慧眼”

    近日东软集团网络安全事业部正式对外发布“东软云数据中心FWaaS安全解决方案”,以应对用户面临的云数据中心安全问题。

  • 弹性的安全给弹性的云:东软打造基于OpenStack的FWaaS方案

    云计算在带来弹性的同时,也冲撞着原有的网络边界,而对于云数据中心的安全来说,传统网关技术已无能为力,急需一套专门为云数据中心打造的边界安全方案。这也是为什么云提供商会积极联合安全厂商共建云安全生态圈的原因,在为用户带来弹性计算资源的同时,亦解决安全如何随着用户计算资源的增加而弹性扩展的问题。

  • 当数据中心越来越虚拟化时 保护工作该怎么做?(上)

    随着企业越来越多地投资于虚拟化技术,安全专业人士都在试图管理这种环境下的安全性。然而很多公司不得不面对的现实是:虚拟环境内的安全性并没有达到传统物理网络和系统的标准……

相关推荐

技术手册>更多

  • 网上银行安全防护指南

    网上银行又称网络银行、在线银行,是指银行利用Internet技术,通过Internet向客户提供开户、销户、查询、对帐、行内转帐、跨行转帐、信贷、网上证券等传统服务项目,使客户可以足不出户就能够安全便捷地管理活期和定期存款、支票、信用卡及个人投资等。可以说,网上银行是在Internet上的虚拟银行柜台。虽然网上银行为大家提供了便利,但它也存在着许多安全风险,威胁着企业和用户的财产。本技术手册将向大家介绍常见的网上银行风险、网上银行安全评估与认证技巧以及网上银行安全技巧,帮助金融机构、企业和用户更好的了解网上银行安全。

  • Linux服务器安全技巧及工具总结

    Linux的安全性是企业构筑安全应用的重中之重,本技术手册介绍了Linux服务器安全的技巧和工具。

  • 善用威胁情报 加固企业安全

    多年来,企业投资于安全信息和事件管理以及日志管理技术来收集、管理和分析日志。大规模数据分析领域的进步让企业使用程序得以从数据中发现异常活动和分析攻击。然而,企业很容易被从这些数据中获得的指标和警告所淹没。这正是威胁情报派上用场的时候。

  • Nessus指南手册

    假如你正在寻找一个漏洞扫描器,你可能已经遇到了大量的非常昂贵的商业解决方案,这些方案都有一长串的性能和优点。不幸的是,如果你和我们之中大部分人的情况一样的话,你一般根本没有运行这些奇特的系统的预算。你可能已经退而求其次,转向考虑使用像SATAN或Saint的免费工具。然而,你可能觉得使用这些工具是一种折衷的办法,因为它们的性能设置不能与商业解决方案相比。这时候你就应该学会使用Nessus! 2005年12月Nessus背后的公司Tenable Network Security Inc.发布了Nessus 3,引进了对该产品的全面检查。在写这篇文章时候的最近版本,Nessus 3.2是在2008年3月发布的。Nessus现在可以在多种平台上使用,包括Windows、各种版本的Linux、FreeBSD、Solaris和Mac OS X。以下是这次Nessus3中的重大变化: 下面将介绍如何使用Nessus工具以及Nessus工具的更新。

TechTarget

最新资源
  • 存储
  • CIO
  • 数据库
  • 网络
  • 数据中心
  • 云计算
【TechTarget中国原创】

虚拟化技术及其应用一直在稳健发展,在很多领域都有涉及。虽然虚拟化的概念可以回溯到五十年前,但这种技术仍在不断增长,并且不断推动在当今和未来的应用。

如今,有约50%的服务器负载在虚拟机上运行,并且在未来的几年还要增加。据Gartner估计,2009年部署的虚拟服务器有四百万台,而虚拟化PC的数量将从2007年的五百万增加到2016年的六亿。虚拟化技术的使用带来很多利益,如灵活性、敏捷性以及成本效益等。同时,虚拟化还带来一些新挑战:

物理安全设备往往对新的虚拟网络结构“视而不见”;

系统管理程序(虚拟机管理程序)带来新的威胁面;

虚拟管理员带来角色的新威胁;

机器成为文件,导致移动性、快速变更及失窃机会;

虚拟化带来很多好处,也不可避免地带来许多由其自身产生的威胁。由于缺乏使用虚拟化和虚拟机的知识和正确指导,雇员会犯一些敏感的错误并给企业和虚拟化的安全带来危害。

安全专家需要认识到哪些是新东西,并且调整其安全实践进行适应。否则,虚拟化将带来巨大的安全威胁。随着虚拟机进入产生环境,企业必须关注正成为一种攻击媒介的虚拟机技术。

虽然企业可以实施多种安全方案来保证其安全,但是,雇员意识、虚拟服务器和虚拟主机使用的安全实践扮演着重要的角色。除了新出现的问题外,虚拟化最重要的问题是,用户和管理员在使用和配置虚拟机时会犯错误,这可能会影响到虚拟化的安全性。

错误一:错误配置虚拟主机的管理平台、临时用户和网络

为虚拟机创建的默认安全配置在很大程度上与物理主机的默认配置一样。对于虚拟服务器来说,这也是虚拟机的管理员可能犯的最大错误。如果虚拟机使用默认配置(其中包括不必要的端口和服务,还有其它的一些项目),其中的漏洞就会扩展到由此虚拟机构建和复制的每一个实例中。

虚拟网络配置是企业可能犯错的另一个领域。在虚拟网络上,有些企业没有正确分离就建立Web服务器和数据库服务器。这些常见的愚蠢错误可能使企业的虚拟服务器容易遭到漏洞利用,并且容易成为恶意黑客破坏服务器和其它服务的目标。

为避免这种错误,所有的监视系统都应当是能够感知和探测虚拟机并根据检测结果采取行动的虚拟机。对于支持在客户机和主机操作系统之间进行通信的虚拟化平台的功能,管理员应密切地检查。例如,设备驱动程序、复制和粘贴功能等等。只要有可能,管理员就应确认和禁用这些方面。

错误二:没有正确分离责任和部署最少特权控制

在任何企业中,特权控制都扮演着一个重要角色。攻击者总在寻找访问特权账户的机会,以利用服务器的漏洞。在虚拟化中,也会出现同样的常见错误:未处理特权账户,也没有将特权账户与其它账户分离。

在用户执行其经授权的任务时,实现责任分离并且提供必要的最少权限,无论对于物理资源还是虚拟资源都是至关重要的。有些虚拟化平台压缩了系统和网络管理功能,因而分离这些责任很困难。这就给了虚拟管理员太多的特权和功能。

此外,高特权的访问还提升了有特权的内部人员的滥用风险,而且,虚拟管理员登录凭据的泄露还会造成外部攻击者可以利用一些强大功能。


为避免这种严重错误,企业应使用防火墙过滤器的规则,将虚拟化的管理控制台的访问限制为预定义的经授权的内部网络地址,以防御外部攻击者对虚拟化管理控制台的访问。此外,企业还应考虑使用可信任的安全机制,例如,要求对管理控制台的访问使用SSH。

错误三:未能教育其它组的成员,尤其是管理和合规人员

在动态创建新虚拟机、清除虚拟机时,风险评估、合规甚至是软件的许可协议都会受到影响。如果企业没有维护虚拟系统、虚拟服务器、虚拟网络以及所有虚拟机机制的安全性,这个问题就很普遍。

在一个虚拟的环境中,风险评估和分析(发放评估调查问卷并分析问卷)的传统方法是不够的。由于许多企业看不到其中的风险,也就无法分析存在的差距。

通过对风险管理和合规人员进行虚拟化功能和局限性的教育,我们就可以防止这种错误。此外,在制定虚拟基础架构的关键安全策略时,还要加入合规人员,并且还要对新的虚拟化项目的风险进行评估和分析,要将风险管理人员加入到讨论中。

错误四:在企业中缺乏虚拟机的可见性

企业虚拟系统的不可控增长是一个主要错误,它会影响到多数虚拟系统和虚拟化机制。 “虚拟机蔓延”用于定义这种不可控制的增长,这会造成虚拟机耗用资源和带宽,并且带来新的没有打补丁的和不受监视的漏洞。

正如发现物理IT资产是非常必要的一样,发现虚拟系统及其上运行的应用程序也同样重要,当然其中也有不少困难。这就是虚拟环境的可见性非常重要的原因。在取证时会发现,在任何事件中,这种错误会造成虚拟环境的不可见,并且会由于不安全的和未知的虚拟源而造成信息泄露。

实施虚拟化感知技术发现虚拟机和网络设备的端口映射和应用程序清单,是避免这种错误的一个好主意。将虚拟机集成到现有系统的生命周期过程中是一个不错的主意。这也要求新的虚拟机感知工具与VMM(虚拟机监控器)中的管理功能进行协作。

错误五:不能协调虚拟机和网络连接之间的策略

对于物理的系统和网络连接,我们可以确保建立策略并连接服务器、路由器、交换机和网络安全设备,并且变更控制策略可以监控策略和网络配置的改变。

但是,在虚拟化中,问题正相反,因为虚拟机是动态创建的。虚拟机的动态属性是虚拟化的美妙之处。然而,在涉及强化虚拟机的安全策略时,这就会带来问题,因为虚拟机可以到处迁移。

由防火墙、路由器、交换机、IPS及其它设备的使用而构建的隔离和安全区域也可以在虚拟化的环境中创建生成。问题在于在虚拟机迁移时,如何在虚拟机环境中遵循相关规则。

为克服这种错误,管理员要确保物理基础架构(如路由器和交换机)或者虚拟环境的对等设备都与虚拟机绑定在一起。此外,要寻找能够感知虚拟化的有助于管理网络和安全策略的解决方案,还要与VMM(虚拟机监控器)或虚拟系统管理程序协作,以实现更高的可见性和控制。

从长远来看,企业要寻求集成化的和可感知虚拟化的解决方案,从而更可靠地将安全功能加入到虚拟机中,并且使用安全策略管理工具,还要结合监控虚拟机管理的过程,以确保虚拟机位置的改变能将必要的安全功能复制到新位置。

为解决由运行虚拟机带来的安全问题,安全技术正在快速发展。很多技术并不能向虚拟环境提供足够的安全特性和可靠性。进一步讲,感知虚拟化的技术在虚拟化的实施中扮演着一个重要角色,并且提供可见性、控制以及与安全和可管理的虚拟系统的集成水平。但是,企业应当避免在实施虚拟环境时的常见错误,目的是避免安全缺陷和为攻击者打开后门进而破坏企业的虚拟环境。