云计算虚拟化平台安全分析.doc

云计算虚拟化平台安全分析时间：2013-04-11作者：来源：浏览次数：263云计算的背景工业革命的发生使人类从手工业、农业社会开始迈入机器工业、信息化社会。第一、二次IT，以个人计算机和互联网的广泛应用为标志。而今我们又将经历第三次IT革命云计算，这将是一场颠覆性的革命。有人说云计算是技术革命的产物，也有人说云计算只不过是已有技术的最新包装，是设备厂商和软件厂商新瓶装旧酒的一种商业策略。但我们认为云计算是社会经济、技术进步、商业模式转换的共同作用结果。云计算的典型特征是将IT的各类资源进行池化，并以服务的形式提供或交付给用户。当然要实现资源的池化，就不得不提到虚拟化技术，虚拟化技术实现了物理资源的逻辑抽象和统一表示。通过虚拟化技术可以提高资源的利用率，并能根据用户业务需求的变化，快速、灵活地进行自由部署。同时由于当前各行各业在云计算建设过程大多处于初级阶段，相对来讲三大运营商和有实力的企业单位，经过几年的建设已经初步建成了基础设施即服务（IaaS）云，更多的单位已经开展实验环境的研究，逐步将非核心的业务移植到云平台上。纵观国内的云计算建设情况绝大部分是以IaaS为主，当然要建设一个成熟的IaaS云计算平台，必须实现服务器虚拟化、网络虚拟化、存储虚拟化三大关键技术。这其中由于虚拟化技术的引入，打破了传统的网络边界的划分方式，使得传统的安全技术手段无法做到有效的安全防护，因此许多人认为安全问题是云计算技术发展推广的最大瓶颈。虚拟化带来的挑战虚拟化是个宽泛的技术术语，是指将各类资源，如计算资源等加以抽象，并对具体的技术特性加以封装隐藏，对外提供统一的逻辑接口。而虚拟化是云计算的重要支撑技术，可以说是虚拟化为我们带来了“云”，同时也是云计算区别于传统计算模式的重要特点。常见的虚拟化技术主要包括：网络虚拟化、服务器虚拟化、存储虚拟化、应用虚拟化、桌面虚拟化等。无论哪种虚拟化技术，虚拟化的目的就是虚拟化出一个或多个租户相互隔离的执行环境，用于运行操作系统及应用或者进行数据通讯。而主机虚拟化是建设IaaS云平台的核心，通过虚拟化技术可将一台物理主机虚拟成多台虚拟机，每个虚拟机可运行不同的操作系统和应用，使得传统物理设施的资源利用率得到明显提高，还使得系统动态部署变得更加灵活、便捷。然而，在虚拟化技术大规模应用的结果，由于同一物理机内部的虚拟机之间进行数据交换时并不经过传统的网络接入层交换机，直接导致许多传统的安全防护手段失效，无法对虚拟机之间的进行隔离控制，他们之间的流量数据无法做到监控和审计等问题。并且当前的传统基于主机层面的安全防护手段，无法适应虚拟机环境。同时虚拟化的网络结构，使得传统的分域防护变得难以实现，虚拟化的服务提供模式，使得对使用者身份、权限和行为的鉴别、控制与审计变得更加困难。为了解决虚拟化的安全问题，天融信推出了虚拟化安全平台TopVSP，全面应对虚拟化所带来的安全挑战，为虚拟化环境提供灵活，高效，全面的安全解决方案。天融信的解决思路和方法设计思路既然传统的安全防护措施无法有效的对虚拟机的安全进行防护，特别是在网络虚拟化后，同一主机内，不同虚拟机之间的网络访问控制层面上的安全防护。同时又由于虚拟化软件的引入，导致hypervisor层的安全显得至关重要。天融信提出了TopVSP三层防御体系，从网络层面，系统层面，管理层面三个层面对虚拟化环境进行安全保护。TopVSP三层防御体系架构图网络层面·虚拟机的网络安全，对虚拟机之间以及虚拟机与外网的通信进行访问控制、内容过滤、应用代理、QOS、DOS/DDOS防御、入侵检测、病毒查杀等。·虚拟机的虚拟出口安全，防止虚拟机修改MAC地址、监听以及伪造包对其他虚拟机进行攻击的行为。·安全策略迁移，借助集中管理平台，可以实现安全策略跟随虚拟机进行迁移，从而保证虚拟机即使迁移了能继续受到保护。系统层面·保护虚拟化平台的安全：在虚拟化环境下最重要的也是最需要保护的就是虚拟化平台自身，虚拟化平台一旦被攻破，那么所有虚拟机都将受到威胁。所以虚拟化安全平台针对虚拟化平台自身系统进行保护，控制虚拟化平台对外开放的端口，对虚拟化平台系统进行IDS，IPS，Ddos防御。虚拟化安全平台会针对不同的虚拟化平台进行漏洞扫描，最新漏洞跟踪，漏洞补丁管理等功能。·限制虚拟机允许访问的系统资源：在虚拟化环境下所有虚拟机都集中在一起，并且虚拟机的控制权是分配给客户的，同时虚拟机的硬件是虚拟化平台提供的，一旦用户利用虚拟化平台的漏洞就有可能穿越虚拟机，从而获得虚拟化平台的其他资源，而这些资源是不应该被虚拟机访问到的。虚拟化安全平台针对不同的虚拟化平台可以限制虚拟机资源的访问，虚拟机的每个访问请求都会经过资源控制策略的检测，每个虚拟机只能访问分配给它的资源。·虚拟机镜像加密：如果虚拟机镜像被恶意获得，那么其中的数据