虚拟化安全.pptx

虚拟化安全交流内容大纲 虚拟化发展 虚拟化面临的安全威胁 虚拟化安全解决思路虚拟化发展虚拟化发展20世纪50年代———充分利用硬件资源IBM 7044计算机——— 虚拟化雏形虚拟化的价值￥降低管理成本提高资源利用率提高稳定性更多的…服务器整合更大的灵活性人们对虚拟化的担心“人们对虚拟化最担心的问题是 安全.”Frank Gens, IDC, Senior VP Chief Analyst虚拟化面临最大的挑战虚拟化面临的安全威胁如何保障物理主机、系统可用性 物理主机、系统故障一个篮子多个鸡蛋，提高了效率如何确保篮子的安全呢？1虚拟化底层自身安全问题 虚拟化底层安全Hypervisor新出现的软件层，肯定具有安全漏洞，需要打补丁和配置自身完整性Hypervisor安全漏洞可用性安全配置不当2VMDom0AppAppDriverinterfaceGuset OSHypervisorVMM自身安全问题虚拟机逃逸打破了Sandbox危机到大厦逃逸的影响信息泄露服务中断后门，Hypervisor、VM（1）（2）（3）VMM自身安全问题XenVMware漏洞Hyper-V虚拟服务器的数据安全 数据安全一个虚拟机就是一个文件夹3虚拟服务器的数据安全VM动态迁移传统安全策略不能感知、跟随和调整动态迁移数据明文传输内存中信息泄露VMVMVMAppAppAppvMotionGuset OSGuset OSGuset OSHypervisorHypervisorStorage vMotion虚拟服务器的数据安全当虚拟机共享或者重新分配硬件资源时会造成很多的安全风险。信息可能会在虚拟机之间被泄露。例如，如果虚拟机占用了额外的内存，然而在释放的时候没有重置这些区域，分配在这块内存上的新的虚拟机就可以读取到敏感信息。Dom0Ghost OSGhostOSGhostOSHypervisor伪物理地址到机器地址映射表CPUMemoryNIC虚拟机网络流量不可见 虚拟机之间攻击/流量不可见在vSwitch中的网络流量不可见传统安全防护措施失效，无法进行流量监测、过滤打破了以前的区域边界，无法进行隔离VM之间的攻击不能防范VMVMVMVMAppAppAppApp4Guset OSGuset OSGuset OSGuset OSvSwitchHypervisorHypervisorNetworkFW/ IDS / IPS虚拟机网络流量不可见攻击在虚拟机之中发生快照、还原的威胁和漏洞风险 启动防护间隙 ?重新激活,安全策略过期新生成虚拟机 ? ?休眠 激活5????虚拟机必须带有已配置完整的客户端和最新的病毒库 资源争夺防病毒风暴传统安全软件如何造成“防病毒风暴“？定期扫描CPU＋IO网络硬盘病毒库更新网络IO病毒库于内存所常驻重复的内存使用6安全管理成本增加 虚拟机安全管理复杂安裝新VM配置客户端病毒库更新补丁管理7传统安全管理方式来管理新架构已经落后风险依然存在传统的防护手段不能适应新环境传统的安全问题依旧存在FWAnti - DDoSPatch 管理……数据泄露恶意代码、DDoS后门、Rootkit……新技术引入新问题新型防护体系如何构建流量不可见边界消失离线VM……如何在新环境中建立安全架构、机制和防护措施传统IT威胁、弱点新威胁、新弱点虚拟化安全解决思路虚拟化安全解决方案解决方案高可用、备份Hypervisor自身安全加固安全区域划分针对于虚拟化的新型防护架构访问控制、分级管理针对虚拟化的管理工具目标面向虚拟和物理环境的一致安全策略享受虚拟化的所有经济优势FT物理主机、系统故障 物理主机、系统故障连续自动重新启动硬件容错使用 HA1未受保护100%10%0%物理主机、系统故障备份服务器运行应用程序服务器的 虚拟主机 备份服务器 物理主机、系统故障 数据安全虚拟主机虚拟主机几秒钟内即可全面恢复 Exchange、SQL、SharePoint 和 Active Directory 数据：单个邮箱/电子邮件/私有或公共文件夹/日历项目/任务/用户帐户或属性/SQL 数据库13备份存储一次性备份虚拟访客系统1一次性备份，满足各种恢复选择要求虚拟机完整恢复应用程序恢复应用程序全面恢复文件/文件夹全面恢复重定向恢复使用代理不使用代理几乎没有或无 I/O 影响恢复整个访客计算机全面恢复数据全面恢复应用程序数据管理视图与 vStorage API 进行了集成提高虚拟性能恢复整个访客虚拟机 管理视图与 vStorage API 进行了集成虚拟机虚拟机Hypervisor自身安全 虚拟化底层安全及时漏洞修补三网分离，锁定管理层网络访问设置和执行针对底层的严格访问控制策略定期的日志审计虚拟机虚拟机虚拟机应用程序应用程序应用程序2操作系统操作系统操作系统Hyperviso