从信息安全领域看虚拟化技术

1959年，在一篇名为《大型高速计算机中的时间共享》(Time Sharing in Large Fast Computers)文章中出现了虚拟化的基本概念，这篇文章被认为是虚拟化技术的最早论述。近两年，随着虚拟化技术的特点和优势越来越多被人发现，虚拟化的硬件条件不断成熟，虚拟化技术的发展已经进入了高速发展时期。尽管从目前看来并不是所有的应用都能够被虚拟化，但虚拟化技术所带来的软硬件购买成本的降低、电力需求的下降、放置空间的减少、IT管理成本的下降等等一系列优点确实是不争的事实。

虚拟化技术可以满足不同的需求，可能是计算虚拟化，可能是存储虚拟化，也可能是网络虚拟化，或者兼而有之；虚拟化技术的贡献目标也不尽相同，可能是硬件采购需求的降低，可能是机房供电系统负荷的降低，也可能是总体拥有成本(TCO)的下降。尽管计算机应用领域五花八门，但安全问题始终是贯穿整个软件生命周期的焦点问题之一。在信息化程度越高的单位，安全问题越需要受到重视，所以理应重视虚拟化技术在安全方面的作用。

1 隔离应用

通过虚拟化技术可以在一台物理机器上同时运行多个虚拟的操作系统(guest OS)，而物理机器上的主机操作系统(host 0S)和虚拟的操作系统之间、虚拟操作系统之问无法直接通信。尽管多个操作系统运行一台物理机器上，共享使用外设和网络，但他们之间通信更类似于网络中松散耦合的节点。

虚拟化技术的这种特点可以用来解决两类问题：应用程序的不稳定和脆弱性。应用程序的不稳定会导致内存泄露、系统资源浪费，严重时可能导致系统崩溃；黑客可利用应用程序的脆弱性进行攻击和未授权访问。如果将应用程序封闭在虚拟机中，这两类问题造成的影响将相当有限。在虚拟化环境中，CPU、存储器、I/O的虚拟化为应用隔离和保护提供了保障，应用程序的资源泄露和被攻击不会影响到物理机操作系统的安全。

例如，将重要的用户数据，如网银账号、Email口令等信息保存在物理机操作系统中，在虚拟化环境中上网、下载、安装新软件，可以有效地避免此类重要信息被盗窃。从虚拟机环境直接访问物理主机的系统是不可能的，因而保证了在虚拟环境被破坏时，重要用户数据的安全性。即使虚拟环境被破坏了，将虚拟机恢复到初始状态也非常简单，并没有什么专门的技巧。

虚拟机可以隔离应用的特点常被用来进行计算机病毒或恶意软件样本分析。传统的病毒查杀都是通过特征码，这种查杀方法很被动，无法查杀未知病毒。传统的病毒分析人员在遇到新病毒时，会利用各种工具对病毒行为进行跟踪和调试，从行为上而不是从代码上定义病毒，这种手工查杀的方式对未知病毒十分有效。如果将病毒放入虚拟机中执行，利用虚拟机隔离应用的特点，就能达到既不破坏物理主机操作系统又能观察病毒行为特征的要求。在虚拟机的掌控下，病毒的行为部是可以观察和控制，如果将观察过程自动化，能何效提高对未知病毒的查杀能力，这是国际反病毒领域中前沿的课题。

值得一提的是，在虚拟化技术中往往使用虚拟机监视器(VMM)来模拟硬件并响应虚拟机的请求，而虚拟机监视器是用软件实现的，如果虚拟机监视器中存在缺陷，可能会导致虚拟机的隔离功能失去作用。这种担心不是多余的，2007年3月VeriSign公司和今年2月C0reSecurity Technologies公司都宣称其在VMWare中发现了可以影响主机操作系统的漏洞，并得到了VMWare公司的承认。

2 灾难备份和高可用性

灾备和高可用性是目前虚拟机企业应用中的重要方面。传统备份主要通过拷贝、压缩数据文件、日志文件进行的。这种方式有两个缺陷：数据恢复周期长，对数据恢复的软硬件环境有一定的要求。

虚拟化技术有助于减少数据备份和恢复过程的代价。在虚拟化环境中可以通过备份整个虚拟机映像文件来对整个虚拟环境进行备份，而备份对象往往是固定的几个映像文件。恢复时只需要重新加载映像文件即可，恢复甚至可以住不同硬件配置、不同操作系统下进行，几分钟之内就可以完成，比传统的重装系统，重新配置环境，重新配置应用，再恢复数据等繁琐的步骤要简单高效得多。高效率可以减少宕机时间，减少业务中断带来的风险，增加业务连续性、提高服务水平和信誉度。

在对宕机时间有严格要求的环境下，需要通过高可用性(HA)配置或热备技术来保障业务的连续性。集群技术可以为业务提供高可用性、负载均衡，热备技术可以保障在主节点宕机时备份节点及时接管业务。这两种解决方式都需要提供两个以上的物理服务器，虚拟化技术出现以后，可以用更低的代价获得高可用性。

使用虚拟化技术提供高可用性必须保证有一个或多个节点运行于虚拟环境下。在热备技术中，备用节点在主节点正常运行时没有业务需要处理，资源使用情况也极少，这种情况下就可以在一台物理服务器上部署多个应用的虚拟备份节点，虚拟备份节点可以根据需要动态地提供热备服务。

在热备方案中，主要问题是如何在虚拟节点间保证数据一致性，如何在物理机和虚拟机之间复制数据，如何提高备份效率。目前Vizioncore公司已经为虚拟机环境提供了一系列的解决方案，其中包括了主机层(hostlevel)上的虚拟机映像的运行时选择性备份和复制，虚拟机或物理机的映像选择性备份和恢复，从备份映像中提取文件，物理机映像到虚拟机映像的转换等。

3 蜜罐

美国L．Spizner是一个著名的蜜罐技术专家。他曾对蜜罐做了这样的一个定义：蜜罐是一种资源，它的价值是被攻击或攻陷。这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东西，这样就为使用者提供了额外的、有价值的信息。蜜罐不会直接提高计算机网络安全，但是它却是其他安全策略所不可替代的一种主动防御技术。

目前主要的蜜罐产品包括有SPECTER、HOME—MADE蜜罐、HONEYD、SMOKEDETECTOR，、BIGEYE、LABREA TARPIT、NETFACADE、KFSENSOR、TINY蜜罐、MANTRAP、HONEYNET等。蜜罐软件常被信息安全公司用于跟踪僵尸网络和收集恶意代码。为了让蜜罐能够监测更大范围内的攻击行为，往往通过组建蜜罐网络的方式使用蜜罐。所谓的蜜罐I删络是住是一组i蜜罐的集合，这些蜜罐是往一个人或者一个组织的控制之下，一个蜜罐上可以运行多种不同的操作系统，可以有一个或者多个不同的配置和环境。

采用虚拟化的方式部署的蜜罐要比传统方式要经济的多。虚拟蜜罐软件允许在旧一台物理机器上建立许多个虚拟蜜罐用于模仿多个不同配置、不同环境的系统，每一个系统都有自己独立的IP和端口。一旦虚拟蜜罐被破坏，重建虚拟蜜罐也要容易得多。由此一来，可以极大地减少建立蜜罐网络的费用。现住使用较多的虚拟蜜罐软件是Honeyd，Honeyd可以在单个物理主机上模拟高达65536个虚拟蜜罐，可以进行网络拓扑、网络应用层协议的模拟，并具有完整的日志系统，在引诱黑客攻击、反恶意代码、遏制垃圾邮件方面都具有广泛的应用。

尽管使用虚拟化方式建立蜜罐具有许多传统方式无法比拟的优点，但虚拟化的蜜罐也很可能使攻击者放弃攻击。恶意软件是可以通过简单的算法检测出其运行环境是否虚拟化的，一旦攻击者发现自己运行于虚拟机中就可能会放弃攻击。一方面是因为对虚拟化环境的破坏难以波及剑物理主机，另一方面虚拟化的环境可能本身就是一个陷阱，因为在虚拟化环境下进行反恶意软件的分析并不罕见。即使是这样，还是可以认为虚拟化的蜜罐比传统的蜜罐具有大得多的优势，一方面，因为目前绝大多数恶意软件和攻击行为还无法识别虚拟环境，另一方面，虚拟化环境应用越来越广泛，不再是信息安全人员用于分析恶意代码的工具了。

4 结束语

尽管虚拟化技术一再被人们看好，但是向虚拟化转变的过程中还是存在不少的问题和矛盾。虚拟化不是一台两台设备的虚拟化，而是要求整个环境或数据中心的虚拟化，大规模的虚拟化要求在系统规划、设计、实现和使用中必须比传统方式考虑得更多。虚拟化软件实现的方式并不相同，如VMWare和Xen在处理特权指令、虚拟内存管理单元(MMU)的方式上就不一样。如何选择合适的虚拟化技术?多种虚拟化技术并存会带来哪些新的复杂性?一台物理机器上可以运行多个虚拟环境，如何对它们进行的访问控制和权限分配?这些都是需要考虑的问题。相信在虚拟化厂商和用户的不懈努力下，虚拟化过程遇到的困难和问题鄢会一一被解决，虚拟化的明天必将更美好。  （责编：Catherine）

转载：感谢您对网站平台的认可，以及对我们原创作品以及文章的青睐，非常欢迎各位朋友分享到个人站长或者朋友圈，但转载请说明文章出处。