发布日期:2013-04-28 15:59 来源:中国电信网络安全实验室 标签: 核心 架构 安全
 

IaaS核心架构安全(3)

虚拟处理系统是通过在物理主机上运行虚拟机平台软件将异构的物理主机虚拟成满足上层需要的虚拟主机。主要涉及的物理设备有主机服务器。虚拟处理系统可以使用本地硬盘、SAN、iSCSI等作为存储,也可以使用虚拟存储系统作为存储。客户虚拟机是虚拟处理系统将物理主机进行虚拟产生的虚拟机,是客户操作系统安装的位置。

业务管理平台负责向用户提供业务受理、业务开通、业务监视、业务保障等能力。业务平台通过与客户、计费系统、虚拟化平台的交互实现IaaS业务的端到端运营和管理。

在虚拟化安全方面,应充分利用虚拟化平台提供的安全功能,进行合理配置,防止客户虚拟机恶意访问虚拟平台或其他客户的虚拟机资源。

(1)服务器虚拟化安全

虚拟机管理器VMM是用来运行虚拟机VM的内核,代替传统操作系统管理着底层物理硬件,是服务器虚拟化的核心环节。其安全性直接关系到上层的虚拟机安全,因此VMM自身必须提供足够的安全机制,防止客户机利用溢出漏洞取得高级别的运行等级,从而获得对物理资源的访问控制,给其他客户带来极大的安全隐患。

在具体的安全防护及安全策略配置上,应满足如下要求。

虚拟机管理器应启用内存安全强化策略,使虚拟化内核、用户模式应用程序及可执行组件(如驱动程序和库)位于无法预测的随机内存地址中。在将该功能与微处理器提供的不可执行的内存保护结合使用时,可以提供保护,使恶意代码很难通过内存漏洞来利用系统漏洞。

虚拟机管理器应开启内核模块完整性检查功能,利用数字签名确保由虚拟化层加载的模块、驱动程序及应用程序的完整性和真实性。

在安全管理上采取服务最小化原则:虚拟机管理器接口应严格限定为管理虚拟机所需的API,并关闭无关的协议端口。

规范虚拟机管理器补丁管理要求。在进行补丁更新前,应对补丁与现有虚拟机管理器系统的兼容性进行测试,确认后与系统提供厂商配合进行相应的修复。同时应对漏洞发展情况进行跟踪,形成详细的安全更新状态报表。

对每台物理机之上的虚拟平台,严格控制对虚拟平台提供的HTTP、Telnet、SSH等管理接口的访问,关闭不需要的功能,禁用明文方式的Telnet接口。

在用户认证安全方面,采用高强度口令,降低口令被盗用和破解的可能性。

另外,在服务器虚拟化高可用性方面,目前一些主流虚拟化软件提供商推出了成熟的虚拟化高可用性技术或方案,如高可用性HA(High Availability)、零宕机容错FT(Fault Tolerance)、备份与恢复DT(Data Recovery)等方式快速恢复故障用户的虚拟机系统,提高用户系统的高可用性。

1)高可用性:在宿主物理机发生故障时,受影响的虚拟机在其他宿主物理机上的备份自动重启,从而为虚拟机用户提供易于使用和经济高效的高可用性。其具体原理是虚拟化平台实时监控系统内虚拟机的运行状态,若该虚拟机没有在指定时间内生成检测信号,就认为其发生了故障并自动重新启动该虚拟机。对于启用该服务,要求虚拟机与其备份虚拟机必须不在一台宿主物理机上。

2)零宕机容错:通过构建容错虚拟机的方式,在虚拟机发生数据、事务或连接丢失等故障时快速启用容错虚拟机。容错可提供比HA更高级别的业务连续性。其具体要求是虚拟机与其容错虚拟机必须不在同一台宿主物理机上,容错保护的虚拟机文件也必须存储在共享存储器上。

3)备份和恢复:可以实现对虚拟机进行全面和增量的恢复,也能进行个别文件和目录的恢复。在不中断虚拟机的使用或虚拟机提供的数据和服务的情况下,创建并管理虚拟机备份,并在这些备份过时后将其删除。可以根据故障虚拟机的状态选定虚拟机的存储点,然后将该虚拟机重新写入目标主机或资源池。在重写的过程中,Data Recovery仅改写有变动的数据,重写完后该虚拟机即可重新启动。

(2)网络虚拟化安全

网络虚拟化安全主要通过在虚拟化网络内部加载安全策略,增强虚拟机之间以及虚拟机与外部网络之间通信的安全性,确保在共享的资源池中的信息应用仍能遵从企业级数据隐私及安全要求。

其具体安全防护要求如下。

利用虚拟机平台的防火墙功能,实现虚拟环境下的逻辑分区边界防护和分段的集中管理,配置允许访问虚拟平台管理接口的IP地址、协议端口、最大访问速率等参数。

利用现有虚拟基础架构容器(主机、虚拟交换机、VLAN)作为逻辑信任分区或组织分区。

定义策略以在分区边界之间对网络流量进行桥接、设置防火墙保护策略并加以隔离。

虚拟交换机应启用虚拟端口的限速功能,通过定义平均带宽、峰值带宽和流量突发大小,实现端口级别的流量控制。同时应禁止虚拟机端口使用混杂模式进行网络通信嗅探。

对虚拟网络平台的重要日志进行监视和审计,及时发现异常登录和操作。

在创建客户虚拟机的同时,根据具体的拓扑和可能的通信模式,在虚拟网卡和虚拟交换机上配置防火墙,提高客户虚拟机的安全性。

相关评论

专题信息
    随着云计算技术的应用越来越广泛,云计算的可信性和安全性问题凸显。本书叙述了采用可信云安全技术解决云计算可信和安全问题的方法。可信云安全技术是在云计算环境中,针对云端互动的人进行可信计算和安全计算的技术。