虛擬服務(wù)器并不具有物理服務(wù)器內(nèi)置的諸多安全保障機(jī)制。盡管現(xiàn)在入侵服務(wù)器已經(jīng)成為一件非常困難的事情，但是從虛擬服務(wù)器當(dāng)中成功竊取數(shù)據(jù)也并不會(huì)令人感到驚訝。

盡管虛擬化環(huán)境存在單點(diǎn)故障和安全漏洞等可能性，但是從另一方面來(lái)說(shuō)其縮小了需要保護(hù)的設(shè)備范圍。借助于虛擬化技術(shù)提供的整合特性，企業(yè)的硬件設(shè)備規(guī)模不斷縮小，這種趨勢(shì)可以幫助減少一些和網(wǎng)絡(luò)及電力供應(yīng)相關(guān)的高可用性需求。

虛擬化技術(shù)使用更加小型化的不間斷電源線路和發(fā)電機(jī)以保證電力的持續(xù)供應(yīng)，減少物理網(wǎng)絡(luò)接口數(shù)量能夠降低網(wǎng)絡(luò)受到攻擊的風(fēng)險(xiǎn)，你甚至可以在處于活動(dòng)狀態(tài)的端口上增加監(jiān)控。盡管這種方式能夠減少和硬件相關(guān)的安全問(wèn)題，但是不幸的是，其會(huì)對(duì)軟件資源造成很大的威脅。用戶能夠輕松創(chuàng)建并部署虛擬服務(wù)器和網(wǎng)絡(luò)，在某些情況當(dāng)中甚至不需要得到提前批準(zhǔn)。

當(dāng)然，如果認(rèn)為僅僅依靠一臺(tái)惡意服務(wù)器或者虛擬交換機(jī)就能夠造成整個(gè)基礎(chǔ)架構(gòu)全部癱瘓，這種想法是十分牽強(qiáng)的。然而，如果一個(gè)未經(jīng)注冊(cè)的系統(tǒng)進(jìn)入到受控制的基礎(chǔ)架構(gòu)之后，它的存在對(duì)于基礎(chǔ)架構(gòu)的穩(wěn)定性來(lái)說(shuō)確實(shí)造成了威脅。惡意系統(tǒng)將會(huì)成為數(shù)據(jù)中心防護(hù)鎧甲上的一道裂紋，這種情況正在變得越來(lái)越普遍，因?yàn)樵谔摂M化環(huán)境當(dāng)中部署新系統(tǒng)并不會(huì)面臨物理硬件開(kāi)銷等種種限制。過(guò)去，在項(xiàng)目開(kāi)始之前需要提前申請(qǐng)資金購(gòu)買物理服務(wù)器， 最后這個(gè)過(guò)程居然成為一種防御惡意部署的安全保障措施。

然而對(duì)于虛擬化環(huán)境來(lái)說(shuō)，只需要簡(jiǎn)單點(diǎn)擊幾次鼠標(biāo)就可以創(chuàng)建大量的虛擬服務(wù)器，之前成本方面的限制不復(fù)存在。保護(hù)基礎(chǔ)架構(gòu)需要首先了解其中包含哪些組件，但是完成這項(xiàng)工作正在變得越來(lái)越困難。每臺(tái)新增加的虛擬機(jī)都有可能成為數(shù)據(jù)中心盔甲上的一個(gè)可能裂紋。限制虛擬環(huán)境用戶權(quán)限以及制定審計(jì)報(bào)告是防止部署惡意系統(tǒng)的最佳方式。

伴隨虛擬化技術(shù)所產(chǎn)生的、傳統(tǒng)硬件環(huán)境并不會(huì)遇到的另外一種安全問(wèn)題就是數(shù)據(jù)竊取。過(guò)去，數(shù)據(jù)竊賊在嘗試獲取服務(wù)器的敏感數(shù)據(jù)之前都需要花費(fèi)一段時(shí)間來(lái)破解操作系統(tǒng)的安全防護(hù)機(jī)制。這是因?yàn)橥ǔ８`賊并沒(méi)有其他可用方式：他們只能通過(guò)物理方式訪問(wèn)硬件或者復(fù)制數(shù)據(jù)，而硬件通常被放置在封閉的環(huán)境當(dāng)中，使用攝像頭和保安進(jìn)行監(jiān)控，而數(shù)據(jù)和軟件由操作系統(tǒng)進(jìn)行加密和保護(hù)。登陸操作系統(tǒng)之后竊取數(shù)據(jù)是一種更加具有挑戰(zhàn)性的方式，如果有人想要訪問(wèn)這些受保護(hù)的數(shù)據(jù)，還有可能觸發(fā)監(jiān)控告警，并且其訪問(wèn)信息也將會(huì)被記錄下來(lái)。當(dāng)然，這并不意味著竊取數(shù)據(jù)的行為以后不會(huì)再次發(fā)生，但是實(shí)現(xiàn)難度已經(jīng)大大提升。

而當(dāng)虛擬化技術(shù)出現(xiàn)之后，服務(wù)器不再是硬件設(shè)備，而是位于存儲(chǔ)設(shè)備當(dāng)中的一系列文件集合。和任何其他類型文件一樣，我們可以復(fù)制操作系統(tǒng)當(dāng)中的任何數(shù)據(jù)，并且不會(huì)影響原始服務(wù)器的正常運(yùn)行。這種特性不是bug，而是用來(lái)幫助部署虛擬機(jī)的全新特性。將虛擬機(jī)的所有文件復(fù)制之后，可以對(duì)其進(jìn)行重命名之后再次開(kāi)機(jī)，或者轉(zhuǎn)移到其他站點(diǎn)用于災(zāi)難恢復(fù)。不幸的是，這種可移植性帶來(lái)了新的隱患。盡管服務(wù)器文件的體積非常龐大并且不容易移動(dòng)或者復(fù)制，但也并非完全不能實(shí)現(xiàn)的。

由于復(fù)制的數(shù)據(jù)并不是處在活動(dòng)狀態(tài)，因此可以輕松下載并復(fù)制到可插拔的USB設(shè)備當(dāng)中，之后使用這些文件構(gòu)建新的虛擬機(jī)。盡管竊賊需要使用額外權(quán)限才能夠訪問(wèn)虛擬化環(huán)境，但是并不需要全部的管理員權(quán)限。虛擬化技術(shù)使得竊取整臺(tái)服務(wù)器甚至整個(gè)數(shù)據(jù)中心變?yōu)榭赡?。竊賊不再需要物理訪問(wèn)權(quán)限就能夠竊取服務(wù)器或者破壞現(xiàn)有的安全防護(hù)機(jī)制。

數(shù)據(jù)破壞

正如之前所說(shuō)，虛擬機(jī)是一系列文件的集合，這意味著除了復(fù)制這些文件之外，某些用戶還可以刪除它們。不論是故意的——比如員工惡意報(bào)復(fù)；或者是異常的應(yīng)用程序進(jìn)程——比如失控的快照，在這些操作面前你的虛擬機(jī)都是十分脆弱的。VMware和其他廠商都擁有多種機(jī)制來(lái)保護(hù)和恢復(fù)數(shù)據(jù)，但是本質(zhì)上，你的虛擬機(jī)仍然是一些可以被輕易刪除的文件集合。

數(shù)據(jù)竊取和破壞等情況可能出現(xiàn)在多種IT系統(tǒng)當(dāng)中，不論是基于硬件還是軟件的。然而，如果服務(wù)器位于硬件環(huán)境當(dāng)中，就存在一種受制于虛擬機(jī)數(shù)量和蔓延的天然防護(hù)機(jī)制，為數(shù)據(jù)提供安全保障。而對(duì)于虛擬化環(huán)境來(lái)說(shuō)， 這些防護(hù)機(jī)制當(dāng)中的大多數(shù)都不復(fù)存在。事實(shí)上，我們錯(cuò)誤利用的很多工具和特性都有可能導(dǎo)致數(shù)據(jù) 竊取和數(shù)據(jù)丟失事件的發(fā)生。虛擬化技術(shù)并不會(huì)在短時(shí)間內(nèi)消失，因此要求IT部門從不同的角度來(lái)重新思考系統(tǒng)的冗余性、可用性和安全性。