\\\"我之所以對虛擬化敬而遠之是因為我對管理程序中的安全問題早有耳聞\\\"，位于美國佛羅里達州的整形和醫(yī)療器械供應(yīng)商Exactech公司的網(wǎng)絡(luò)管理員克雷格。布什表示。\\\"一臺服務(wù)器發(fā)生故障不會影響到整個網(wǎng)絡(luò)，但是如果是管理程序就有可能發(fā)生這樣的事，我們必須看到所有的安全問題都得到解決才會考慮介入虛擬化\\\".在此我們將虛擬化環(huán)境的安全問題歸納為四點：

1.虛擬機溢出導致安全問題蔓延

IT管理者們擔心管理程序設(shè)計過程中的安全隱患會傳染同臺物理主機上的虛擬機，這種現(xiàn)象被稱作\\\"虛擬機溢出\\\".

如果虛擬機能夠從所在管理程序的獨立環(huán)境中脫離出來，工業(yè)專家們表示入侵者會有機可乘進入控制虛擬機的管理程序，進而避開專門針對保護虛擬機而設(shè)計的安全控制系統(tǒng)。

\\\"虛擬世界的安全問題正在試圖脫離虛擬機的控制范圍\\\"，伯頓集團的資深分析師PeteLindstrom在最近的虛擬化安全網(wǎng)絡(luò)廣播會議上表示。

\\\"據(jù)我所知，沒有那家公司會允許安全問題通過管理程序技術(shù)的方式在虛擬主機間相互傳播和蔓延\\\"Catapult系統(tǒng)公司的咨詢師史蒂夫。羅斯表示，他主要負責VMware虛擬化環(huán)境的配置和維護。

\\\"這是有可能發(fā)生的，入侵者或者安全漏洞會在虛擬機之間來回搗亂，但是我們將它們看做是開發(fā)過程中的必須面對的問題\\\"Bowdoin大學的系統(tǒng)工程師提姆。安東尼茲表示。安東尼茲在性能服務(wù)器上使用的是VMwareESX虛擬化程序，他通過在資源集群里隔絕虛擬機來盡量回避這樣的問題，這主要依賴應(yīng)用程序或者虛擬機信息的敏感程度。\\\"我們用隔離虛擬機的方式來提供安全性\\\"，他表示。

位于芝加哥的Cars.com的技術(shù)運作總監(jiān)EdwardChristensen也是采用隔離虛擬機的方式來保障虛擬環(huán)境的安全性。

保障虛擬環(huán)境安全的傳統(tǒng)方式是在數(shù)據(jù)庫和應(yīng)用程序?qū)娱g設(shè)置防火墻，Christensen表示。在線自動化公司使用的是VMware公司的虛擬化管理程序在他們的惠普服務(wù)器上進行虛擬機配置，Christensen表示從網(wǎng)絡(luò)上脫機保存虛擬化環(huán)境有助于緩解安全隱憂。\\\"這對于虛擬化環(huán)境來說是比較好的方法\\\"他表示。

2.虛擬機成倍增長，補丁更新負擔加重

\\\"虛擬機修補面臨更大的挑戰(zhàn)，因為隨著虛擬機增長速度加快，補丁修復(fù)問題也在成倍上升\\\"伯頓集團的Lindstrom表示。\\\"證實各個機器上補丁修復(fù)的能力在虛擬世界里更加重要\\\".

IT管理人們也認同補丁在虛擬化環(huán)境中的關(guān)鍵性，但是在虛擬機和物理服務(wù)器補丁之間實質(zhì)的區(qū)別并非在于安全問題，而是量的問題。\\\"我們需要緊記虛擬化服務(wù)器與物理服務(wù)器一樣也需要補丁管理和日常維護\\\"Catapult公司的羅斯表示。Transplace公司有三種虛擬化環(huán)境——兩個在網(wǎng)絡(luò)內(nèi)部，一個在隔離區(qū)（DMZ）上——大約有150臺虛擬機。\\\"管理程序額外增加了層來用于補丁管理，不過無論物理機還是虛擬機上補丁都非常關(guān)鍵\\\"，羅斯表示。

對Bowdoin的Antonowicz來說，應(yīng)對虛擬服務(wù)器的增長過快是目前優(yōu)先考慮的問題，當服務(wù)器成倍增長已經(jīng)超出我們的控制之時，我們也要及時增加補丁服務(wù)器的數(shù)量。過去他們會將40臺服務(wù)器作為補丁，但是現(xiàn)在用于安全保障的補丁服務(wù)器數(shù)量已經(jīng)超過了80臺。他希望將來能有一款工具能更好的實現(xiàn)這一進程的自動化。

\\\"在沒有任何物理約束的情況下，虛擬機的增長速度不斷加快\\\"Antonowicz表示。\\\"在我們使用更多的虛擬機之前，我需要了解更多補丁自動化的信息\\\".

3.在隔離區(qū)（DMZ）運行虛擬機

通常，許多IT管理人都不愿在隔離區(qū)（DMZ）上放置虛擬服務(wù)器。其它的IT管理者們也不會在隔離區(qū)（DMZ）的虛擬機上運行關(guān)鍵性應(yīng)用程序，甚至是對那些被公司防火墻保護的服務(wù)器也敬而遠之。根據(jù)伯頓集團的Lindstrom的說法。不過如果用戶正確采取安全保障措施，這樣做也是可行的。\\\"你可以在隔離區(qū)（DMZ）內(nèi)運行虛擬化，即使防火墻或隔離設(shè)備都是物理機上。在多數(shù)情況下，如果把資源分離出來是比較安全的方式\\\"，他表示。

Bowdoin公司的Antonowicz表示，不管是隔離區(qū)還是非隔離區(qū)，他都會建立虛擬化環(huán)境，他是采用在虛擬資源的集群中限制訪問的辦法。\\\"每個集群都是自己的資源和入口，因此無法在集群之間來回串聯(lián)\\\"，他解釋說。許多IT管理者們致力于將他們的虛擬服務(wù)器分隔開，將他們置于公司防火墻的保護之下，還有一些做法是將虛擬機放置在隔離區(qū)內(nèi)-只在上面運行非關(guān)鍵性應(yīng)用程序。Transplace公司的IT基礎(chǔ)架構(gòu)總裁斯科特。安克表示，防火墻和在隔離區(qū)虛擬機上運行的應(yīng)用程序之后就是價值的體現(xiàn)，比如DNS的服務(wù)。

\\\"我們在可信賴主機的平臺上運行防火墻。在我們的隔離區(qū)，我們將在少數(shù)VMware公司實例上運行物理服務(wù)器，但是在可信賴平臺和非信賴網(wǎng)絡(luò)之間的鴻溝卻難以跨越\\\"，安克表示。

4.管理程序技術(shù)的新特性容易受到黑客的攻擊

任何新的操作系統(tǒng)都是會有漏洞和瑕疵的。那這是否意味著黑客就有機可乘，發(fā)現(xiàn)虛擬操作系統(tǒng)的缺陷進而發(fā)動攻擊呢？

工業(yè)觀察家們建議安全維護人員要時刻對虛擬化操作系統(tǒng)保持警惕，他們存在潛在導致漏洞和安全隱患的可能性，安全維護人員只靠人工補丁修護是不夠的。

\\\"虛擬化從本質(zhì)上來說全新的操作系統(tǒng)，還有許多我們尚不了解的方面。它會在優(yōu)先硬件和使用環(huán)境之間相互影響\\\"位于Ptak的諾埃爾協(xié)會創(chuàng)始人兼首席分析師RichPtak表示。\\\"讓情況一團糟的可能性是存在的\\\".

虛擬化管理程序并非是人們自己所想象的那種安全隱患。根據(jù)對微軟公司銷售旺盛的補丁Windows操作系統(tǒng)的了解，象VMware這樣的虛擬化廠商也在致力于開發(fā)管理程序技術(shù)時控制安全漏洞的可能性。

\\\"VMware公司與微軟公司相比成績顯著，在各大廠商中走在了行業(yè)的前列\(zhòng)\\"互聯(lián)網(wǎng)研究集團的負責人彼得。克里斯蒂表示。\\\"不過管理程序使用的代碼數(shù)量相對簡單，比八千萬行的代碼要安全的多\\\"。