操作系统虚拟化之保安-资讯安全网.pdf

操作系統虛擬化之保安 2008 年 2 月 © 香港特別行政區政府 這份文件的內容為香港特別行政區政府的財產，未經香港特別行政區政府的明文 批准，不得轉載全部或部份文件內容。 免責聲明：政府盡力確保本文資料準確，但不明示或隱含保證資料準確無誤。對於因使用本文資 料而引致或與之有關的任何錯誤或遺漏，香港特別行政區政府概不承擔任何法律責任。 目錄 摘要 2 I. 介紹 3 II. 虛擬化之管理考慮 4 促進虛擬化之因素 4 虛擬化之優點 4 虛擬化之缺點 6 III. 給資訊科技從業人員有關虛擬化的建議 7 部署虛擬化 7 保安威脅 7 IV. 結論 9 操作系統虛擬化之保安 第 1 頁 摘要 當伺服器和桌上電腦陸續為資訊科技經理帶來管理、彈性和保安等問題時，由虛擬機器 （virtual machines ）所提供的獨立執行環境（isolated execution environment ）也許可解決 此問題。另一項優點是假如有人遺失手提電腦，虛擬化技術可幫助保護機構的數據，以 免意外地向外間洩露。在用戶手提電腦中的加密檔案夾，也可預先建立鎖定的桌上電腦 環境。隨著主要微處理器（microprocessor ）供應商日趨增加虛擬化硬件的供應，虛擬化 產品已成為資訊科技管理的實務解決方案。在此文中，我們將討論虛擬化技術的管理議 題，並提供在伺服器與桌上環境上部署虛擬化技術時可用的選擇。 操作系統虛擬化之保安 第 2 頁 I. 介紹 當研究人員首次提出Multi-Programming 和time-sharing 概念時，「虛擬機器」此名詞最 早便出現在 1960 年的學術文章中。早期虛擬機器概念的例子可追溯到 1960 年代的IBM 1 M44/44X 計畫，與之後發展出如IBM 360/67 和VM/370 等IBM 大型主機系統。在當時， 電腦計算能力仍是稀有資源，充分利用有限的硬件是很重要的，而虛擬化技術便是其一 解決方案。 虛擬化（Virtualisation ）已被定義為「a framework or methodology of dividing the resources of a computer into multiple execution environments, by applying one or more concepts or technologies such as hardware and software partitioning, time-sharing, partial or complete 2 machine simulation, emulation, and many others 」 ，意即虛擬化是利用硬件和軟件分割、 分時(time-sharing) 、部份或全部機器模擬(simulation) 、仿效(emulation)的概念，把電腦 資源分割為數個執行環境。虛擬化技術可使電腦資源能夠被最有效地使用 ，以增加投資 回報，從用戶觀點來看，虛擬化可使在同一個實體電腦中運行多個操作系統。 與 1960 年代和 1970 年代比較，現在的電腦硬件相對便宜，且更有威力而供應更加充足， 資訊科技管理仍視虛擬化是一項有效的管理策略，當今伺服器虛擬化技術的驅動力包 括： 1. 可減少