虚拟机加密：超融合世界的加密策略

作者：安全牛 2018-11-26 14:47:06

云计算

虚拟化

超融合 在超融合的基础设施和虚拟化成为常态的世界里，对加密的要求越来越高，越来越迫切，IT部门需考虑的重大安全问题和方法也浮现了出来。

在超融合的基础设施和虚拟化成为常态的世界里，对加密的要求越来越高，越来越迫切，IT部门需考虑的重大安全问题和方法也浮现了出来。

[[250521]]

物理数据中心时代，采取双保险式数据安全方法是相对简单直观的解决方案。比如说，除了个别文件和目录加密，还对现场服务器进行全盘加密(FDE)，最终确保离开数据中心进行维修或做丢弃处理的任何硬盘都受到了保护——杜绝客户数据暴露的潜在风险。

但在今天这种超融合的基础设施(HCI)和虚拟化世界中，工作负载是虚拟、动态、移动、可扩展且脆弱的。所有这些都让维护数据安全的工作变得更为困难。这是为什么呢？

为什么要保护虚拟机

虚拟化和HCI的兴起改变了游戏规则，让IT团队可以在本地和远程位置快速部署混合工作负载和融合了虚拟桌面的基础设施。

从这个方面来说，在一个设备里组合了计算、联网和管理软件的超融合的系统基本上就是个“盒子里的迷你云”，其好处是毋庸置疑的。

但尽管HCI设备依然托管在现场，它们的工作负载却往往是运行在虚拟机里而不是直接在物理硬件上执行。也就是说，如今真正需要保护的是虚拟机和其中的数据，而不是具体的实体机器。

IT团队面临的重大安全问题就是虚拟机开关非常频繁，且经常处于静态数据状态。当虚拟机关机的时候，它其实就是个可以拷贝到U盘或共享到网络上的大文件。这里面存在的数据安全问题可不小。

解决办法倒是简单粗暴，直接加密虚拟机本身就好了，理想状态下使用独立于虚拟机管理程序的客户机加密，并且密钥置于公司的管控之下。这样可以确保即便虚拟机被移动到其他HCI节点，比如说被放到公共云或另一个地理位置，公司也随时握有数据的控制权。

加密虚拟机的好处

加密虚拟机对IT团队和整个公司都有好处。通过提供高度可扩展的方法确保防护跟着企业数据走，可以很容易地将保护延伸至每一台新加入的虚拟机上。

而且，虚拟机级保护不仅能抵御物理硬盘丢失或被盗的危害，还可以帮IT团队阻止未授权数据转移、访问或复制。采用虚拟机级加密方法还有以下5条更深远的优势：

1. 持续防护

与传输中工作负载就没有加密的物理级保护不同，虚拟机级加密能在工作负载在企业基础设施中移动、克隆或做快照时都提供持续的保护。

2. 可移植的防护

虚拟机级加密摒除了受硬件、虚拟机管理器或云提供商限制的风险，为混合IT环境和传输中的工作负载提供了理想的完全可移植的保护。

3. 灵活防护

IT部门可利用虚拟机级加密来加密敏感工作负载，并连同非敏感工作负载一起安全执行，给不同虚拟机分配不同密钥和策略。

4. 增强治理

通过初始化虚拟机级加密，IT团队还能实现基于启动引导的策略，控制谁能访问数据，数据都存放在哪儿，以及怎么保护数据。

5. 易于终止

虚拟机级加密还可以安全终止单个工作负载，以简单直接的方式在工作负载完结时终止。

新施行的严格隐私立法，比如欧盟的《通用数据保护条例》(GDPR)，提升了公司企业处理和存储欧盟公民个人可识别信息(PII)的风险。

因此，公司企业需采取恰当的措施确保此类敏感数据不出现在公共域。但在IT环境虚拟化和超融合的世界，攻击界面也显著扩张，保护数据本身成为了公司企业的重中之重。

解决方案就是通过利用客户机加密和将密钥置入企业自身掌控之下，来确保防护是跟着数据走的。如我们所见，虚拟机级加密不仅仅保护企业基础设施内外的工作负载，还提供了很多其他优势，包括方便IT部门控制数据安全的各方各面，确保数据只能被授权用户访问——即便云系统已经被黑。