天下网吧 >> 网吧天地 >> 网吧技术 >> 网吧安全 >> 正文

Hypervisor安全是虚拟数据中心安全的首要条件

2013-1-10TechTarget中国佚名

  维护hypervisor安全是每个数据中心的首要任务。因为一台单主机服务器可能要处理几十个虚拟化的工作负载。单主机上的安全漏洞可能导致断电。不幸的是,目前还没有一个独立的、综合的安全解决方案可以担保数据中心的安全。要确保良好的hypervisor安全性,需要多管齐下。你需要做很多方面的工作才能保护你的虚拟化服务器环境。

  减少主机的受攻击面

  确保虚拟数据中心安全的第一个步骤就是减少主机的受攻击面。这在Hyper-V环境中尤其重要。因为Hyper-V通常作为角色安装在Windows服务器上。如果你的虚拟主机能使用主机操作系统,那么该主机操作系统中不能包含任何多余的角色、功能或者应用。主机操作系统只能运行Hyper-V和重要的基础组件如杀毒软件或备份代理。

  另外,避免将操作系统加入到生产环境,对hypervisor的安全也有利。相反,你可以在专用活动目录林中创建一个专门的管理域来管理虚拟主机。该类型的域允许使用用到域成员的管理产品。但是你不用担心主机服务器被盗后会曝光你的生产域。顺便说一句,在虚拟主机管理域中可以使用物理域控制器。

  如果能避免使用主机操作系统最好,不能避免的话,微软推荐使用具有较少攻击面的Server Core 部署。另外,建议为主机操作系统使用专用的物理网络适配器,如此,流量管理就可以同虚拟机(VM)流量分离开来。

  使用虚拟防火墙加强hypervisor安全

  利用虚拟和软件防火墙也可以帮助确保hypervisor的安全。大多数hypervisor中,VM不直接与物理网络连接,相反,VM连接到一个虚拟交换机,该虚拟交换机与物理网络适配器连接。在这种类型的架构中,每个VM共享物理网络适配器和虚拟交换机。这意味着,如果两台VM需要相互交流时,数据包不用穿过物理网络。

  如果两台VM共享一个虚拟交换机,这两台VM之间可以直接沟通,数据不需要穿过物理网络,因此也不受硬件防火墙监控。克服这种缺陷的最好方法是创建虚拟防火墙(如果虚拟平台允许的话)或者在所有的VM上安装软件防火墙。

  控制资源预防拒绝服务攻击

  Hypervisor最大的安全威胁是拒绝服务攻击。在虚拟服务器环境中,几个VM共享主机服务器上有限的硬件资源池。如果其中的任何一台VM过度消耗硬件资源,那么其他的VM就不能正常运行。这中情况下,攻击者对单个虚拟服务器发动DoS攻击是非常容易的事情。

  防止虚拟环境遭受此类攻击的方法就是控制任何一台VM消耗过度的物理硬件资源。尽管管理员们通常会控制合理的内存消耗,但他们通常会忽略对其他硬件资源的合理掌控。

  管理员针对每一个hypervisor的实际掌控力大不相同。但是多数hypervisor都允许对一台VM消耗的内存和CPU时间进行限制。

  在很大程度上,确保虚拟数据中心安全就像确保物理数据中心安全。适用于物理环境的最佳安全实践大多数在虚拟环境中也有效。但是,管理员们也应该采取一些附加措施来维护Hypervisor安全,尤其是当主机操作系统运行在虚拟主机上时。

本文来源:TechTarget中国 作者:佚名

声明
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。文章是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益,请作者持权属证明与本网联系,我们将及时更正、删除,谢谢。 Email:support@txwb.com,系统开号,技术支持,服务联系微信:_WX_1_本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下
  • 本周热门
  • 本月热门
  • 阅读排行