服務(wù)器虛擬化的優(yōu)勢已經(jīng)從多方面論述過了，但對(duì)hypervisor安全缺陷的關(guān)注還不夠。如果您由于不小心或缺少經(jīng)驗(yàn)，就會(huì)很容易遇到安全問題。

更多企業(yè)轉(zhuǎn)向虛擬化來降低成本和增加靈活性，同時(shí)又帶來了虛擬化和hypervisor安全方面的花費(fèi)。Gartner預(yù)測60%以上計(jì)劃在2012年用虛擬服務(wù)器代理物理服務(wù)器的環(huán)境，安全性降低了。主要原因之一在于物理服務(wù)器環(huán)境的安全工具和相關(guān)最佳實(shí)踐無法在虛擬環(huán)境中繼續(xù)采用。

Hypervisor，無論VMware ESXi、微軟Hyper-V、Xen還是KVM，增加的代碼都意味著更多受攻擊點(diǎn)的出現(xiàn)。而分發(fā)攻擊可能會(huì)導(dǎo)致各種不愉快的結(jié)果，例如黑客可以通過攻擊一臺(tái)或多臺(tái)虛擬機(jī)、甚至宿主機(jī)和底層硬件設(shè)備。而入侵者可以找到多種虛擬化和hypervisor安全漏洞展開攻擊：一些是跟虛擬化本身相關(guān)的，其他的可能是由于IT人員不小心導(dǎo)致。

遷移過程把不同安全級(jí)別的宿主機(jī)聯(lián)系到一起

在任何時(shí)候您都可以通過虛擬化遷移軟件，如VMware vMotion，在一臺(tái)或多臺(tái)安全級(jí)別不同的宿主機(jī)之間遷移工作負(fù)載。在遷移虛擬機(jī)時(shí)，目標(biāo)虛擬服務(wù)器應(yīng)該具備兼容的安全級(jí)別和政策。

IT管理員在對(duì)具備了混合的龐大而復(fù)雜的多安全等級(jí)操作系統(tǒng)之間進(jìn)行操作的時(shí)候，需要特別小心，除非部署了相應(yīng)的管理機(jī)制。當(dāng)使用遷移工具時(shí)，您需要在源宿主機(jī)和目標(biāo)主機(jī)之間部署安全兼容性審查機(jī)制(當(dāng)工作負(fù)載遷移是發(fā)生在云環(huán)境中時(shí)該過程引發(fā)的問題甚至更多)。

不可見的虛擬機(jī)流量

很多傳統(tǒng)物理架構(gòu)的網(wǎng)絡(luò)安全工具在虛擬環(huán)境中不再可用。它們可能是通過檢查物理網(wǎng)絡(luò)連接上服務(wù)器之間的流量來實(shí)現(xiàn)的，而對(duì)于虛擬機(jī)流量是不可見的，這會(huì)導(dǎo)致虛擬化的受攻擊問題蔓延。

畢竟，在宿主機(jī)內(nèi)部的虛擬機(jī)流量不會(huì)離開主機(jī)到物理網(wǎng)絡(luò)中運(yùn)行，對(duì)于不習(xí)慣虛擬化和hypervisor安全問題的IT部門可能會(huì)有問題。例如，網(wǎng)絡(luò)管理員不能監(jiān)控到位于單個(gè)宿主機(jī)上多臺(tái)虛擬服務(wù)器上的多種應(yīng)用。結(jié)果導(dǎo)致受到攻擊的某個(gè)虛擬機(jī)可能會(huì)影響同一宿主機(jī)上的其它虛擬機(jī)。

為解決該問題，IT組織開始關(guān)注新的網(wǎng)絡(luò)管理和安全產(chǎn)品，例如Catbird Network Inc.’s vSecurity, Reflex System LLC’s Virtual Management Centre 和 Altor Network’s Virtual Firewall。

超越虛擬機(jī)范圍的攻擊

一些專家認(rèn)為，攻擊者可能會(huì)受益于這種基于底層hypervisor上運(yùn)行的虛擬機(jī)內(nèi)部子操作系統(tǒng)的模式。例如，虛擬服務(wù)器的子操作系統(tǒng)可能會(huì)通過底層命令調(diào)用hypervisor，我們稱之為hypercall。而hypervisor通常不會(huì)檢查hypercall到底來自于子操作系統(tǒng)還是某個(gè)虛擬機(jī)上運(yùn)行的應(yīng)用。

這樣的話，如果攻擊進(jìn)入到某個(gè)子操作系統(tǒng)內(nèi)，它就有可能蔓延到虛擬服務(wù)器和其它的組件，包括虛擬主機(jī)、hypervisor、其它虛擬機(jī)或其它宿主機(jī)。

IBM 2010年11月的安全報(bào)告分析顯示虛擬化和hypervisor安全問題在過去的十年里在Citrix Systems, IBM, Microsoft, Oracle, Red Hat 和 VMware的系統(tǒng)中都曾發(fā)生過。數(shù)據(jù)顯示其中35%的安全問題從子虛擬機(jī)蔓延到其它的虛擬機(jī)和hypervisor，而只有15%的安全攻擊影響限制在子系統(tǒng)內(nèi)，沒有對(duì)hypervisor和宿主機(jī)系統(tǒng)帶來影響。

IT人員需要關(guān)注的另一方面問題是未經(jīng)授權(quán)的虛擬機(jī)復(fù)制。由于hypervisor以文件的形式保存虛擬機(jī)，所以很可能會(huì)拷貝并在其它主機(jī)上運(yùn)行虛擬機(jī)。入侵者可以通過網(wǎng)絡(luò)把虛擬機(jī)拷貝到可移動(dòng)存儲(chǔ)介質(zhì)上，并在自己的服務(wù)器上訪問虛擬機(jī)的內(nèi)容。由于入侵者獲得了虛擬機(jī)的副本，所以可能虛擬機(jī)不會(huì)感覺到入侵過程發(fā)生了。

這僅僅是部分非法訪問虛擬環(huán)境的方式。在關(guān)于虛擬化和hypervisor安全問題的第二部分內(nèi)容中，我們將涉及防護(hù)方法。