云计算虚拟化平台安全分析

云计算虚拟化安全

云计算虚拟化平台安全分析

时间：2013-04-11 作者： 来源： 浏览次数： 263

云计算的背景

工业革命的发生使人类从手工业、农业社会开始迈入机器工业、信息化社会。第一、二次IT，以个人计算机和互联网的广泛应用为标志。而今我们又将经历第三次IT革命云计算，这将是一场颠覆性的革命。有人说云计算是技术革命的产物，也有人说云计算只不过是已有技术的最新包装，是设备厂商和软件厂商新瓶装旧酒的一种商业策略。但我们认为云计算是社会经济、技术进步、商业模式转换的共同作用结果。云计算的典型特征是将IT的各类资源进行池化，并以服务的形式提供或交付给用户。当然要实现资源的池化，就不得不提到虚拟化技术，虚拟化技术实现了物理资源的逻辑抽象和统一表示。通过虚拟化技术可以提高资源的利用率，并能根据用户业务需求的变化，快速、灵活地进行自由部署。

同时由于当前各行各业在云计算建设过程大多处于初级阶段，相对来讲三大运营商和有实力的企业单位，经过几年的建设已经初步建成了基础设施即服务（IaaS）云， 更多的单位已经开展实验环境的研究，逐步将非核心的业务移植到云平台上。纵观国内的云计算建设情况绝大部分是以IaaS为主，当然要建设一个成熟的IaaS云计算平台，必须实现服务器虚拟化、网络虚拟化、存储虚拟化三大关键技术。这其中由于虚拟化技术的引入，打破了传统的网络边界的划分方式，使得传统的安全技术手段无法做到有效的安全防护，因此许多人认为安全问题是云计算技术发展推广的最大瓶颈。

虚拟化带来的挑战

虚拟化是个宽泛的技术术语，是指将各类资源，如计算资源等加以抽象，并对具体的技术特性加以封装隐藏，对外提供统一的逻辑接口。而虚拟化是云计算的重要支撑技术，可以说是虚拟化为我们带来了“云”，同时也是云计算区别于传统计算模式的重要特点。常见的虚拟化技术主要包括：网络虚拟化、服务器虚拟化、存储虚拟化、应用虚拟化、桌面虚拟化等。无论哪种虚拟化技术，虚拟化的目的就是虚拟化出一个或多个租户相互隔离的执行环境，用于运行操作系统及应用或者进行数据通讯。而主机虚拟化是建设IaaS云平台的核心，通过虚拟化技术可将一台物理主机虚拟成多台虚拟机，每个虚拟机可运行不同的操作系统和应用，使得传统物理设施的资源利用率得到明显提高，还使得系统动态部署变得更加灵活、便捷。

然而，在虚拟化技术大规模应用的结果，由于同一物理机内部的虚拟机之间进行数据交换时并不经过传统的网络接入层交换机，直接导致许多传统的安全防护手段失效，无法对虚拟机之间的进行隔离控制，他们之间的流量数据无法做到监控和审计等问题。并且当前的传统基于主机层面的安全防护手段，无法适应虚拟机环境。同时虚拟化的网络结构，使得传统的分域防护变得难以实现，虚拟化的服务提供模式，使得对使用者身份、权限和行为的鉴别、控制与审计变得更加困难。为了解决虚拟化的安全问题，天融信推出了虚拟化安全

云计算虚拟化安全

平台TopVSP，全面应对虚拟化所带来的安全挑战，为虚拟化环境提供灵活，高效，全面的安全解决方案。

天融信的解决思路和方法

设计思路

既然传统的安全防护措施无法有效的对虚拟机的安全进行防护，特别是在网络虚拟化后，同一主机内，不同虚拟机之间的网络访问控制层面上的安全防护。同时又由于虚拟化软件的引入，导致hypervisor层的安全显得至关重要。天融信提出了TopVSP三层防御体系，从网络层面，系统层面，管理层面三个层面对虚拟化环境进行安全保护。

TopVSP三层防御体系架构图

网络层面

·虚拟机的网络安全，对虚拟机之间以及虚拟机与外网的通信进行访问控制、内容过滤、应用代理、QOS、DOS/DDOS防御、入侵检测、病毒查杀等。

·虚拟机的虚拟出口安全，防止虚拟机修改MAC地址、监听以及伪造包对其他虚拟机进行攻击的行为。 ·安全策略迁移，借助集中管理平台，可以实现安全策略跟随虚拟机进行迁移，从而保证虚拟机即使迁移了能继续受到保护。

云计算虚拟化安全

系统层面

·保护虚拟化平台的安全：在虚拟化环境下最重要的也是最需要保护的就是虚拟化平台自身，虚拟化平台一旦被攻破，那么所有虚拟机都将受到威胁。所以虚拟化安全平台针对虚拟化平台自身系统进行保护，控制虚拟化平台对外开放的端口，对虚拟化平台系统进行IDS，IPS，Ddos防御。虚拟化安全平台会针对不同的虚拟化平台进行漏洞扫描，最新漏洞跟踪，漏洞补丁管理等功能。

·限制虚拟机允许访问的系统资源：在虚拟化环境下所有虚拟机都集中在一起，并且虚拟机的控制权是分配给客户的，同时虚拟机的硬件是虚拟化平台提供的，一旦用户利用虚拟化平台的漏洞就有可能穿越虚拟机，从而获得虚拟化平台的其他资源，而这些资源是不应该被虚拟机访问到的。虚拟化安全平台针对不同的虚拟化平台可以限制虚拟机资源的访问，虚拟机的每个访问请求都会经过资源控制策略的检测，每个虚拟机只能访问分配给它的资源。

·虚拟机镜像加密：如果虚拟机镜像被恶意获得，那么其中的数据就有可能被泄露，所以通过虚拟机镜像加密技术可以保证即使镜像文件被获取也无法读取其中的内容。同时镜像的加密对于虚拟机自身来说是透明的。

·虚拟机日志分析：通过收集虚拟机客户系统的日志，并对日志进行分析，可以使管理员引起注意，察觉虚拟机的一些异常行为。

·虚拟机外设控制：虚拟化安全平台可以控制虚拟机访问所有外设的权限。比如虽然管理员给每个虚拟机分配了usb，但可以通过虚拟化安全平台来控制虚拟机是否可以读取usb。

管理层面

·管理通道的安全：通过IPSEC，VPN，SSH，TLS等技术保证管理通道的安全。

·虚拟化平台管理员的认证以及权限管理：通过对管理信令的监控可以对管理员操作虚拟机的权限进行控制。

·虚拟机操作事件审计：记录管理员操作虚拟机的每个事件，以便事后审计。

·虚拟安全策略：在虚拟化环境下，不同的虚拟机可能由不同的管理员管理，这就会需要配置不同的安全策略，类似传统的虚拟防火墙，虚拟安全策略能够使不同管理员可以配置不同的安全策略，并且安全策略之间相互独立。

技术实现

虚拟化安全平台系统组件

云计算虚拟化安全

TopVSP总体架构图

虚拟化安全平台由集中管理平台TopVSP Policy（TP），虚拟化安全网关TopVSP vGate，客户系统内安全代理TopVSP Desktop（TD），虚拟化平台接入引擎TopVSP Access engine（TAE），四个组件构成：

·集中管理平台TP负责安全策略的集中管理，并对安全策略的迁移功能提供支持。

·虚拟化安全网关TopVSP vGate是以虚拟机形式部署在虚拟化平台上，并通过虚拟化平台接入引擎TAE获得虚拟化平台的网络通信数据，从而实现对所有虚拟机之间以及虚拟化平台本身的网络通信进行防护。 ·客户系统内安全代理TD是安装在客户操作系统内的服务，负责收集客户系统的日志信息，文件一致性保护，外设的权限控制等。

·虚拟化平台接入引擎TAE负责实现虚拟化平台的网络数据导流到虚拟化安全网关vGate，针对不同的虚拟化平台需要安装对应的接入引擎。同时针对不同的平台还可以对虚拟化平台自身系统 …… 此处隐藏：2730字，全部文档内容请下载后查看。喜欢就下载吧 ……