第1章：什么是安全威胁？

通讯:注册和保存!获得特别优惠，免费章节，文章参考指南更新，并通过订阅InformIT时事通讯插入到行业发生在你角落的脉搏!注册后的免费优惠券!

现在就试试Safari在线图书吧!为程序员和IT专业人员访问最大的完全可搜索的电子参考图书馆!

在开始讨论虚拟化安全之前，我们首先需要了解一些常用术语和概念。具体地说，我们需要知道虚拟基础设施如何适应数据中心、虚拟生态系统或我们将在本书中使用的虚拟环境的整个图景。2020欧洲杯预赛我们将定义虚拟环境的边界，以及它如何从10,000英尺的视角改变数据中心。2020欧洲杯预赛除了这个基本定义之外，我们还需要具体定义虚拟化安全方面的威胁、漏洞和故障。这些关键术语将贯穿全书，每个术语都有许多定义。我们将创建特定的定义，并使用一些专业渗透测试人员使用的常见示例。了解虚拟环境如何可能受到攻击以及威胁的来源也很重要。在附录D中提到了许多网站和书籍，以供进一步阅读渗透测试。

以下章节将以一种您可以在虚拟环境中管理风险的方式介绍这些威胁。在任何可能的情况下，都将采取可能的方法来减轻风险。不幸的是这本书不能解决所有可能的风险,所以我们只覆盖这些地区前面提到的序言中尽可能多的信息,以便读者可以推断未来的威胁以及确定地方监控网络上发现新的漏洞和学习如何保护它们。

因为这一章和接下来的章节将会提出安全问题，所以有时候我和我的作者似乎有点偏执。好吧，也许有点偏执;然而，适当的偏执会帮助您进行风险分析，并考虑虚拟环境遭到破坏的所有可能后果。如果你不喜欢“偏执狂”这个词，我想用“安全意识”来代替，因为这正是本章和其他章节的主旨:提高你对所有无数威胁的意识。下面的章节提供了一些具体的建议，帮助那些寻求安全解决方案的人实现虚拟化，并为虚拟化的成功做出贡献。

尽管本章从第3章“理解VMware虚拟基础设施安全”开始，根据序言中的图P.1处理整个虚拟环境，但每一章都处理整个环境的一个子集。

没有虚拟化的10000英尺视图

我们可以使用下面的安全元素列表或安全方面来描述现有系统的安全模型。每个元素通常由不同的小组执行，每个小组使用不同的方法、协议和文档来制定或确保各自的安全方面。公司可能有一个文档来处理安全性，但是不同的组织最终实现了不同的部分，其中有特定于其组、组织和业务单元的例外。这一切都从一个书面的安全策略开始，该策略涵盖了从物理到虚拟化安全的各个方面。安全策略不仅定义了安全角色，还定义了如何应对具体的物理和虚拟威胁。有时这些文件具有效力(比如某人的工作岌岌可危)，有时则不然。但总的来说，它们都涵盖或应该涵盖以下人身威胁:

• 信息分类、定义和文档标记策略

• 处理机密文件和其他文件

• 对建筑物或校园的物理威胁，如炸弹和生化威胁

• 对火灾和医疗紧急情况的回应

• 监控入口，停车车库等

• 监控进出安全区域的入口

• 对网络攻击的回应，以及对使用的保护措施的一般声明

除了上述列表之外，安全策略还涵盖了更多的安全威胁和关注点，以及保护实体(组织、企业和企业)免受任何已知问题的预防性步骤。虽然安全策略很重要，但实现是必须的。关键是安全策略的实现和这些步骤的文档。当我们只看数据中心时，通常会采取以下步骤:2020欧洲杯预赛

1. 保护数据中心。2020欧洲杯预赛

   确保数据中心的安全需要使用物理控制和监控工具来监控访问(卡钥匙、摄像机)、电源供应和控制、冷却和更改控制协议。

2. 安全的网络。

   保护网络意味着安全的网络架构，其至少包括防火墙，路由器，网关，入侵检测和预防系统以及可能的合规审计和监控系统。

3. 保护服务器。

   保护服务器需要使用改进的身份验证、日志记录和加固来保护服务器操作系统。此步骤还包括大多数漏洞预防工具，如反病毒、间谍软件/恶意软件探测器、垃圾邮件过滤器、一些防火墙和蠕虫保护机制。这一步骤可能包括将服务器放置在数据中心中，可能是在进一步的物理安全方面(如门、键盘监控、卡键访问、删除未使用的软件等)之后。2020欧洲杯预赛

4. 保护应用程序。

   保护应用程序需要将应用程序集成到身份验证工具、应用程序加固、划分和其他安全编码工具中，并定期对应用程序进行补丁和更新。

5. 安全的用户。

   保护用户需要了解更多有关用户进行身份验证，跟踪和监控的信息。这不仅是密码（用户知道的），而且可能是视网膜或指纹扫描（用户是什么），以及其他工具，如公共访问卡（CAC）和RSA键（用户有什么）。用户培训到现货社会工程和其他安全概念也很重要。

如果我们很幸运，数据中心的安全性，网络，服务器，应用程序和2020欧洲杯预赛用户都是单个组织的一部分，并且一切都集成了完全且不脱节。但是，在引入虚拟化时，此模型会更改。虚拟化增加了复杂性，更改控制点，并引入了新的安全问题和威胁。

1万英尺的视图与虚拟化

虚拟化系统的安全模型可以使用以下定义列表进行描述;这些步骤与上一节中的步骤不同，因为通常只涉及虚拟化管理员，在讨论了安全的物理方面之后。虚拟化管理员很可能不是安全管理员，应该与安全管理员合作，以适当地保护系统。下面的每一个步骤都添加到前面“无虚拟化的10,000英尺视图”小节中描述的步骤中。

1. 保护数据中心。2020欧洲杯预赛

   另外，保护数据中心还需要确2020欧洲杯预赛保物理控制台能够通过专用监视器或某种形式的远程手段监视虚拟化服务器，以防止系统崩溃。这是访问崩溃数据的唯一方法。请注意，当虚拟化主机崩溃时，在该虚拟主机中运行的所有虚拟机都会崩溃。

2. 保护虚拟化服务器。

   保护虚拟化服务器需要对服务器进行加固、设置监视和审计以及适当的身份验证保护。实际上，虚拟化服务器应该被视为数据中心中的数据中心。2020欧洲杯预赛像保护数据中心一样保护虚拟化服务器。2020欧洲杯预赛

3. 保护虚拟网络。

   保护虚拟网络需要创建一个安全的虚拟网络架构，与物理网络安全性携手合作。包括在此内部有可能入侵检测和预防系统，虚拟机漏洞管理工具，甚至虚拟网络合规性审计工具。虚拟网络包括虚拟机的所有网络（包括虚拟防火墙和其他保护机制），虚拟化服务器管理，虚拟机迁移和对存储设备的访问。

4. 保护物理网络。

   确保物理网络以前描述的每正常方法需要安全架构。应该进一步保护虚拟网络的接口，包括使用防火墙和网络分离的存储接口。

5. 保护虚拟机。

   保护虚拟机对于确保虚拟化层不暴露于攻击非常重要。这是在“没有虚拟化的10,000英尺视图”一节中“保护服务器”下所采取的常规步骤之外的。

6. 保护应用程序。

   保护应用程序需要确保应用程序不会将虚拟化层公开为性能和其他问题。例如，在所有虚拟机上同时运行全磁盘防病毒扫描将创建性能问题。

7. 安全的用户。

   保护用户另外需要限制对虚拟化服务器的访问以及对虚拟机的直接控制台访问，同时维护所有认证协议。

如前所述，100,000英尺的虚拟化介绍了新的元素和安全的方面。这些通常由称为虚拟化管理员的新角色处理，并且与总安全图片分开。大多数企业安全文件和协议现在刚刚开始考虑虚拟化服务器，因为它们处理虚拟机的增加。但仅从虚拟机视角看待安全性有点窄。

需要一个全面的安全体系结构，它将包括虚拟化的所有方面，以及传统的物理角色。安全架构师、管理员和管理人员现在必须处理虚拟化服务器。需要的是对安全架构师、设计人员和管理人员进行教育，以便无论是否使用虚拟化，都能全面了解安全性。旧的方法不完全适用，必须开发新的方法。这些新的安全问题和保护方法是本书所深入探讨的。

应用虚拟化安全

两幅10000英尺高的视图从两个不同的角度看数据中心:旧学校和新学校。2020欧洲杯预赛图1.1显示两所学校之间的明确划分。在网络传递到厚多边形表示的虚拟基础架构的领域之后，您需要将安全方法组合以确保整个环境。

图1.1

虚拟基础设施与物理世界的接触在哪里

内容外，粗线分界内图1.1包括物理世界的某些方面，在系统之间进行的电缆，用于管理环境的单独服务器以及使用的远程存储。其余的环境落入保护虚拟基础架构的领域。划分是将IDS / IPS服务器等人和此是故意的，因为您需要了解物理ID / IPS可能在环境中不起作用，除非它在界面上适当地放置到虚拟基础架构中。值得注意的是，您可能有多个IDS / IPS系统涉及安全性的特定方面。其他小分明涉及可以提供多项职责的系统，并且可以在虚拟环境之外的系统以及虚拟环境中作用。

实现虚拟化安全的一个大问题是，可能会出现来自物理世界的重复工作。那么，为什么不把您通常在物理机器上做的事情应用到虚拟机器上呢?不幸的是，这还不能做到——除非对正在使用的虚拟化服务器进行更改。具体来说，目前使用的许多BIOS安全措施和安全硬件都不能应用于虚拟机，而任何可以应用于物理机中的操作系统的加固技术都可以应用于虚拟机中的来宾操作系统。因此，我们必须在两个截然不同的环境中应用安全性。当与VMware vSphere4.0一起使用时，VMsafe和vNetwork api(在第3章中介绍)将在缓解这些问题方面发挥相当大的作用。实际上，过去需要物理元素的东西现在可能需要软件元素。

从这里可以得出的主要观点是，虚拟基础设施是物理数据中心中的数据中心。2020欧洲杯预赛随着更强大的笔记本电脑的出现，您的虚拟基础设施可能变得可移动，这意味着一个有限但可移动的数据中心。2020欧洲杯预赛这在过去几乎是一个闻所未闻的概念，但现在它是可能的。