虛擬服務(wù)器并不具有物理服務(wù)器內(nèi)置的諸多安全保障機(jī)制。盡管現(xiàn)在入侵服務(wù)器已經(jīng)成為一件非常困難的事情,但是從虛擬服務(wù)器當(dāng)中成功竊取數(shù)據(jù)也并不會(huì)令人感到驚訝。
盡管虛擬化環(huán)境存在單點(diǎn)故障和安全漏洞等可能性,但是從另一方面來(lái)說(shuō)其縮小了需要保護(hù)的設(shè)備范圍。借助于虛擬化技術(shù)提供的整合特性,企業(yè)的硬件設(shè)備規(guī)模不斷縮小,這種趨勢(shì)可以幫助減少一些和網(wǎng)絡(luò)及電力供應(yīng)相關(guān)的高可用性需求。
虛擬化技術(shù)使用更加小型化的不間斷電源線路和發(fā)電機(jī)以保證電力的持續(xù)供應(yīng),減少物理網(wǎng)絡(luò)接口數(shù)量能夠降低網(wǎng)絡(luò)受到攻擊的風(fēng)險(xiǎn),你甚至可以在處于活動(dòng)狀態(tài)的端口上增加監(jiān)控。盡管這種方式能夠減少和硬件相關(guān)的安全問(wèn)題,但是不幸的是,其會(huì)對(duì)軟件資源造成很大的威脅。用戶能夠輕松創(chuàng)建并部署虛擬服務(wù)器和網(wǎng)絡(luò),在某些情況當(dāng)中甚至不需要得到提前批準(zhǔn)。
當(dāng)然,如果認(rèn)為僅僅依靠一臺(tái)惡意服務(wù)器或者虛擬交換機(jī)就能夠造成整個(gè)基礎(chǔ)架構(gòu)全部癱瘓,這種想法是十分牽強(qiáng)的。然而,如果一個(gè)未經(jīng)注冊(cè)的系統(tǒng)進(jìn)入到受控制的基礎(chǔ)架構(gòu)之后,它的存在對(duì)于基礎(chǔ)架構(gòu)的穩(wěn)定性來(lái)說(shuō)確實(shí)造成了威脅。惡意系統(tǒng)將會(huì)成為數(shù)據(jù)中心防護(hù)鎧甲上的一道裂紋,這種情況正在變得越來(lái)越普遍,因?yàn)樵谔摂M化環(huán)境當(dāng)中部署新系統(tǒng)并不會(huì)面臨物理硬件開(kāi)銷等種種限制。過(guò)去,在項(xiàng)目開(kāi)始之前需要提前申請(qǐng)資金購(gòu)買物理服務(wù)器, 最后這個(gè)過(guò)程居然成為一種防御惡意部署的安全保障措施。
然而對(duì)于虛擬化環(huán)境來(lái)說(shuō),只需要簡(jiǎn)單點(diǎn)擊幾次鼠標(biāo)就可以創(chuàng)建大量的虛擬服務(wù)器,之前成本方面的限制不復(fù)存在。保護(hù)基礎(chǔ)架構(gòu)需要首先了解其中包含哪些組件,但是完成這項(xiàng)工作正在變得越來(lái)越困難。每臺(tái)新增加的虛擬機(jī)都有可能成為數(shù)據(jù)中心盔甲上的一個(gè)可能裂紋。限制虛擬環(huán)境用戶權(quán)限以及制定審計(jì)報(bào)告是防止部署惡意系統(tǒng)的最佳方式。
伴隨虛擬化技術(shù)所產(chǎn)生的、傳統(tǒng)硬件環(huán)境并不會(huì)遇到的另外一種安全問(wèn)題就是數(shù)據(jù)竊取。過(guò)去,數(shù)據(jù)竊賊在嘗試獲取服務(wù)器的敏感數(shù)據(jù)之前都需要花費(fèi)一段時(shí)間來(lái)破解操作系統(tǒng)的安全防護(hù)機(jī)制。這是因?yàn)橥ǔ8`賊并沒(méi)有其他可用方式:他們只能通過(guò)物理方式訪問(wèn)硬件或者復(fù)制數(shù)據(jù),而硬件通常被放置在封閉的環(huán)境當(dāng)中,使用攝像頭和保安進(jìn)行監(jiān)控,而數(shù)據(jù)和軟件由操作系統(tǒng)進(jìn)行加密和保護(hù)。登陸操作系統(tǒng)之后竊取數(shù)據(jù)是一種更加具有挑戰(zhàn)性的方式,如果有人想要訪問(wèn)這些受保護(hù)的數(shù)據(jù),還有可能觸發(fā)監(jiān)控告警,并且其訪問(wèn)信息也將會(huì)被記錄下來(lái)。當(dāng)然,這并不意味著竊取數(shù)據(jù)的行為以后不會(huì)再次發(fā)生,但是實(shí)現(xiàn)難度已經(jīng)大大提升。
而當(dāng)虛擬化技術(shù)出現(xiàn)之后,服務(wù)器不再是硬件設(shè)備,而是位于存儲(chǔ)設(shè)備當(dāng)中的一系列文件集合。和任何其他類型文件一樣,我們可以復(fù)制操作系統(tǒng)當(dāng)中的任何數(shù)據(jù),并且不會(huì)影響原始服務(wù)器的正常運(yùn)行。這種特性不是bug,而是用來(lái)幫助部署虛擬機(jī)的全新特性。將虛擬機(jī)的所有文件復(fù)制之后,可以對(duì)其進(jìn)行重命名之后再次開(kāi)機(jī),或者轉(zhuǎn)移到其他站點(diǎn)用于災(zāi)難恢復(fù)。不幸的是,這種可移植性帶來(lái)了新的隱患。盡管服務(wù)器文件的體積非常龐大并且不容易移動(dòng)或者復(fù)制,但也并非完全不能實(shí)現(xiàn)的。
由于復(fù)制的數(shù)據(jù)并不是處在活動(dòng)狀態(tài),因此可以輕松下載并復(fù)制到可插拔的USB設(shè)備當(dāng)中,之后使用這些文件構(gòu)建新的虛擬機(jī)。盡管竊賊需要使用額外權(quán)限才能夠訪問(wèn)虛擬化環(huán)境,但是并不需要全部的管理員權(quán)限。虛擬化技術(shù)使得竊取整臺(tái)服務(wù)器甚至整個(gè)數(shù)據(jù)中心變?yōu)榭赡?。竊賊不再需要物理訪問(wèn)權(quán)限就能夠竊取服務(wù)器或者破壞現(xiàn)有的安全防護(hù)機(jī)制。
數(shù)據(jù)破壞
正如之前所說(shuō),虛擬機(jī)是一系列文件的集合,這意味著除了復(fù)制這些文件之外,某些用戶還可以刪除它們。不論是故意的——比如員工惡意報(bào)復(fù);或者是異常的應(yīng)用程序進(jìn)程——比如失控的快照,在這些操作面前你的虛擬機(jī)都是十分脆弱的。VMware和其他廠商都擁有多種機(jī)制來(lái)保護(hù)和恢復(fù)數(shù)據(jù),但是本質(zhì)上,你的虛擬機(jī)仍然是一些可以被輕易刪除的文件集合。
數(shù)據(jù)竊取和破壞等情況可能出現(xiàn)在多種IT系統(tǒng)當(dāng)中,不論是基于硬件還是軟件的。然而,如果服務(wù)器位于硬件環(huán)境當(dāng)中,就存在一種受制于虛擬機(jī)數(shù)量和蔓延的天然防護(hù)機(jī)制,為數(shù)據(jù)提供安全保障。而對(duì)于虛擬化環(huán)境來(lái)說(shuō), 這些防護(hù)機(jī)制當(dāng)中的大多數(shù)都不復(fù)存在。事實(shí)上,我們錯(cuò)誤利用的很多工具和特性都有可能導(dǎo)致數(shù)據(jù) 竊取和數(shù)據(jù)丟失事件的發(fā)生。虛擬化技術(shù)并不會(huì)在短時(shí)間內(nèi)消失,因此要求IT部門從不同的角度來(lái)重新思考系統(tǒng)的冗余性、可用性和安全性。