虚拟化安全威胁

随着大数据、云平台的热潮席卷全球，大多数企业正在实施或者已经完成虚拟化，将传统硬件服务器系统迁移到虚拟化平台中，逐步向虚拟化方向迈进。

任何新业务的部署都会引入新的风险，因此，对于当前虚拟化大集中平台，安全风险不仅包含传统硬件架构中的风险，还会有因虚拟化引入的新的安全风险。本文主要讲解虚拟化后带来的新的安全风险。

Hypervisor安全威胁

在CVE的数据库中，虚拟化软件的漏洞累计超过超过700条，其中主要是vmware系统的。作为虚拟机的底层系统，一旦存在漏洞，将危及运行其上的所有虚拟机。

网络虚拟化安全威胁

虚拟化后，同一物理服务器上的不同虚拟机间可能通过硬件背板而不是网络进行通讯，因此这些通讯流量对标准的网络安全控制来说是不可见的，无法对它们进行监控或内嵌封堵。内嵌虚拟设备可以解决这个问题;另一个解决途径是硬件辅助虚拟化(Hardware AssistedVirtualization)，它需要与Hypervisor和虚拟化管理框架进行API级别的整合。

当一个可疑的虚拟机迁移进信任区域，在传统以网络为基础的安全控制措施下，将无法检测到它的不当行为。在每个虚拟机上安装全套的安全工具，是添加保护层的另一途径。

存储虚拟化安全威胁

虚拟化后，多租户对同一存储区域都有访问权。
租户数据迁移后，原磁盘释放给其他租户使用，原有数据未被彻底清除的话，也可能被新租户获取。

虚拟机镜像文件在休眠时是数据文件形式存数的，有被修改的风险。

对内存/存储清零或者对全部数据加密是此问题的解决方案。加密密钥应当存储在虚拟环境以外的一个基于策略的密钥服务器上。此外，如果没有使用加密或恰当的数据擦洗，虚拟机在运行的状态下迁移，自身可能面临风险。

网络边界模糊安全威胁

虚拟化后，一个物理接口上配置的不同网络的虚拟接口，逻辑网络间无明显边界，同一个租户可以运行在同一个物理机上，传统架构中的网络物理边界消失，只能通过逻辑域划分界定边界，虚拟化环境中，防火墙做逻辑隔离，内部通过虚拟交换机和VlAN标记等方式来界定防火墙保护特定的区域，以弥补防火墙在物理位置上不能清楚的体现的缺陷。

特权用户安全威胁

虚拟化环境下，除了租户可以访问自己的数据外，管理员由于需要对资源进行管理，因此也可以接触数据，SaaS提供商可能会利用其它PaaS、IaaS的服务，因此也可能会有特权用户，从而可能造成数据泄露、损坏或被修改。因此必须控制好权限分配，以防止操作不当或恶意删除等安全威胁。

总之，同其它任何新技术一样，虚拟化安全有自己的安全挑战。既不能认为虚拟化后的安全同传统架构的安全大同小异，也不能认为虚拟化后的安全不能保证，只有采取适当的安全解决方案后，虚拟化网络的安全仍然是可以保证的。