北京IT外包如何減少虛擬化云環(huán)境的安全隱患

2020-03-27 17:48 作者：艾銻無限 瀏覽量：

   

在一封題為“我們可以從新冠病毒疫情中學(xué)會(huì)什么”的公開信中，他寫道：

“冥冥中自有深意”

“我堅(jiān)信，無論是好是壞，眼下所發(fā)生的一切事情背后自有深意。”不管是好事還是壞事。它提醒我們：

1)無論我們在文化、宗教、職業(yè)、經(jīng)濟(jì)狀況或聲望方面存在多大差異，我們在疫情爆發(fā)時(shí)都是平等的。

2）我們都是相互聯(lián)系的，影響一個(gè)人的事情也會(huì)影響其他人。

3）我們設(shè)置的虛假邊界沒有什么價(jià)值，因?yàn)檫@種病毒不需要護(hù)照就會(huì)傳播。它通過短暫的壓迫提醒我們，這個(gè)世界上許多人終生都在壓迫中度過。

4）我們的健康是多么珍貴，我們是如何通過食用營養(yǎng)不良的加工食品和飲用被化學(xué)物質(zhì)污染的水而忽視它的。如果我們不注意我們的健康，我們當(dāng)然會(huì)生病。

5）生命的短暫，提醒我們最重要的是要互相幫助，尤其是幫助那些老人或病人。

6）我們的社會(huì)已經(jīng)變得多么崇尚物質(zhì)。在困難時(shí)期，我們應(yīng)該記住，我們需要的是必需品(食物、水、藥品)，而不是我們有時(shí)不必要地賦予高昂價(jià)值的奢侈品。

7）我們的家庭和家庭生活是多么重要，我們是多么忽視了這一點(diǎn)。它正迫使我們重返家園，這樣我們才能重建家園，鞏固我們的家庭。

8）我們真正的工作不是現(xiàn)在的工作，那是我們所做的，而不是我們生來要做的。我們真正的工作是互相照顧，互相保護(hù)，互相得益。

北京IT外包  |  如何減少虛擬化云環(huán)境的安全隱患

 
在云計(jì)算中，有三種基本服務(wù)模型：軟件即服務(wù)(SaaS)、平臺(tái)即服務(wù)(PaaS)和基礎(chǔ)架構(gòu)即服務(wù)(IaaS)。此外，還有三種基本的部署模型：公有、混合和私有。虛擬化通常被用于上述的這些云計(jì)算模型和部署中，以實(shí)現(xiàn)其諸多優(yōu)勢，包括成本效益、增加運(yùn)行時(shí)間、改善災(zāi)難恢復(fù)和應(yīng)用隔離。

在云部署中處理虛擬化時(shí)，誰來管理安全并不重要，不管是提供商還是企業(yè)客戶，因?yàn)樾枰鉀Q相同的安全問題。選擇一項(xiàng)服務(wù)和部署模型時(shí)，要知道SaaS提供了這個(gè)環(huán)境最小的控制，同時(shí)IaaS則提供了最多的控制。類似的，在公有云中，需要遵守云服務(wù)提供商(CSP)的規(guī)則，同時(shí)在私有云中，則具備環(huán)境的完全控制。這一點(diǎn)對于安全同樣適用，用戶控制了云部署中的很小的部分，而剩下的則由CSP控制。無法訪問部署模型的具體部分，CSP則需要實(shí)施更合適的安全度量來處理。



云計(jì)算中虛擬化的安全問題

盡管虛擬化帶來了很多優(yōu)勢，但是也導(dǎo)致了很多安全問題：

管理程序：這個(gè)程序在相同的物理機(jī)上運(yùn)行了多種虛擬機(jī)。如果管理程序中易于受到攻擊，攻擊者就會(huì)利用其進(jìn)入到整個(gè)主機(jī)，從而就可以訪問每一個(gè)運(yùn)行在主機(jī)上的客用虛擬機(jī)。由于管理程序很少更新，已有的漏洞會(huì)危害整個(gè)系統(tǒng)的安全。如果發(fā)現(xiàn)了漏洞，關(guān)鍵就是盡快打補(bǔ)丁，組織潛在危害。

資源分配：物理內(nèi)存或者數(shù)據(jù)存儲(chǔ)被一個(gè)虛擬機(jī)使用并重新分配給其他虛擬機(jī)時(shí)，數(shù)據(jù)泄露也是風(fēng)險(xiǎn)。泄露通常發(fā)生在不再被需要的VM被刪除以及釋放資源分配給其他的VM事。一個(gè)新的VM收到了額外的資源，會(huì)采用取證調(diào)查技術(shù)獲取整個(gè)物理內(nèi)存的的鏡像，以及數(shù)據(jù)存儲(chǔ)。整個(gè)鏡像隨后會(huì)用于
分析，這樣就會(huì)將前一個(gè)VM留下的重要信息透露出去。

虛擬機(jī)攻擊：如果攻擊者成功威脅了一個(gè)VM，就可以在很長一段時(shí)間里通過網(wǎng)絡(luò)攻擊相同主機(jī)上的其他VM.這也是越來越流行的一種跨虛擬機(jī)攻擊方法，主要在于VM之間的流量無法被標(biāo)準(zhǔn)IDS/IPS軟件程序檢查出來。

遷移攻擊：在必要時(shí)，大多數(shù)虛擬化界面中遷移虛擬機(jī)都很容易實(shí)現(xiàn)。VM通過網(wǎng)絡(luò)發(fā)送給另外的虛擬化服務(wù)器，這個(gè)服務(wù)器上相同VM已經(jīng)設(shè)置好。但是如果沒能很好地管理流程，VM就可以通過非加密的渠道發(fā)送，可能被工具這通過網(wǎng)絡(luò)中執(zhí)行中間人攻擊(MITM)嗅探到。

減少安全擔(dān)憂

下面我們來介紹如何減少上面指出的安全問題：

管理程序：針對管理程序定期檢查可用的最新的升級非常重要，同時(shí)要相應(yīng)的升級系統(tǒng)。通過保持管理程序的更新，能夠阻止攻擊者利用已知的漏洞并控制主機(jī)系統(tǒng)，包括運(yùn)行在上面的所有虛擬機(jī)。

資源分配：當(dāng)從一個(gè)虛擬機(jī)將資源再分配給另一個(gè)虛擬機(jī)時(shí)，二者都需要確保其安全。舊的數(shù)據(jù)存在于物理內(nèi)存中，也存在于數(shù)據(jù)存儲(chǔ)中，需要用零來重寫覆蓋。

虛擬機(jī)攻擊：有必要區(qū)別相同物理主機(jī)上的VM的流量進(jìn)入和輸出。這樣我們就能夠應(yīng)用入侵檢測和預(yù)防算法盡快捕獲攻擊者帶來的威脅。

遷移攻擊：為了防止遷移攻擊發(fā)生，必須保證網(wǎng)絡(luò)的安全性，防止MITM滲透帶來的威脅。這樣做的話，就算攻擊者能夠威脅一個(gè)VM，但是無法成功執(zhí)行MITM攻擊。此外，通過安全的取代發(fā)送數(shù)據(jù)可能也會(huì)比較有用。雖然有人認(rèn)為最好還是在遷移必須發(fā)生時(shí)，破壞并重新創(chuàng)建虛擬機(jī)鏡像，但是通過安全渠道和網(wǎng)絡(luò)更靠譜。

對于虛擬化的云環(huán)境可能會(huì)出現(xiàn)多種攻擊，但是如果在實(shí)施和管理云部署的時(shí)候進(jìn)行了合適的安全控制和規(guī)程是可以預(yù)防的。在嘗試確保云環(huán)境安全之前，理解這些惡意攻擊如何執(zhí)行很重要。這將有助于確保企業(yè)的防御更好地適應(yīng)環(huán)境中最可能出現(xiàn)的威脅。在確保環(huán)境安全之后，檢查安全度量是否
很好地嘗試執(zhí)行攻擊預(yù)防。這些可以在企業(yè)內(nèi)部執(zhí)行或者聘請防御檢測公司來執(zhí)行。