虚拟安全技巧：易受攻击的点

相比传统的物理安全，如何保护虚拟环境的安全则需要面对很多全新的问题。在虚拟环境中存在更多需要被保护的易攻击点（黑客可以实现对服务器OS控制的途径）。由于这些风险的存在，虚拟安全中需要保护的不仅有宿主机，还包括各个虚拟机。

在本文中，TecgTarget中国的特约专家Eric Siebert介绍在部署虚拟环境安全策略时需要考虑到的攻击类型，以及针对系统架构中各个组件进行防护的一些最佳实践。

物理安全

物理环境的易攻击点有很多，从物理控制台到客户机OS，再到运行于OS之上的应用。为防护物理系统，需要建立封闭的数据中心，所有到控制台的访问要在严格的管理机制下进行；然后，保护好操作系统和应用软件；最后，通过防火墙这样的网络层组件实现安全控制。但虚拟环境中，就算这些方面都注意到了，攻击者还是能通过其它的方式登录到虚拟机上。

虚拟安全：保护管理控制台

虚拟安全的主要任务是做好对虚拟主机管理控制台的防护。我们可以把虚拟主机想象成一座公寓大楼，那么每个虚拟机就是带有门锁保护的单个公寓，管理控制台就是大楼的管理员：他拥有所有的钥匙，在必要的情况下可以进入任何一个房间。假如有人偷走了管理员的钥匙，那么他就可以访问整个大楼内的任何一个单元。所以在虚拟环境中，管理控制台一定要不惜一切代价进行防护：因为一个闯入控制台的攻击者可以轻易地访问该主机上的所有虚拟机。不仅如此，还会波及整个数据中心内可以被该主机访问的其它主机上的虚拟机。

在优化后的虚拟安全方案中，应该限制到主机控制台的访问。只在必须的情况下才为访问控制台的用户分配超级用户权限。另外，通过使用防火墙或是物理隔离的方式确保管理控制台所在的虚拟网络是独立的。那样的话，只有其它主机及管理员可以访问控制台。

来自虚拟机内部的攻击

虚拟机的出现在系统中增加了一层传统物理环境中完全没有的被攻击对象。被攻击的不仅有管理控制台，还包括宿主机上的每个虚拟机。攻击者通过某台虚机恶意占用大量资源，从而对整个环境造成影响。

如果多个虚拟机受到恶意服务攻击的话，会导致宿主机的瘫痪。而且这种攻击很难防范，因为如何定义恶意占用是个难题。资源占用有很多种实现方式，可能是虚拟机的CPU使用率达到100%，或者是写满为虚拟机分配的内存空间，还有可能是过度频繁的硬盘读写。

对于虚拟安全而言，VM的监控工具很重要，它可以对恶意资源占用情况给出警报。监控系统可以给出常规情况下资源使用的概况，从而帮助我们识别出发生的异常行为。结合一些脚本程序，还可以添加对资源的限制条件、隔离有问题的虚拟机并关闭它们。

【编辑推荐】