保护数据:识别并避免hypervisor攻击

日期: 2012-04-10 作者:Bill Claybrook翻译:张冀川 来源:TechTarget中国 英文

既然在虚拟环境中存在大量的客户操作系统以及网络安全缺陷,那么成功攻击hypervisor后可能会造成灾难性的后果。但是如果进行适当的规划,你就可以更好地保护数据并将虚拟化以及hypervisor的安全缺陷降至最低。   大多数安全专家认同最好在系统(也就是操作系统,hypervisor)中设计安全性措施,而不是在事后才增加安全性措施。但是早期这一安全性措施很难实施,这是由于服务器的动态性以及在设计大多数hypervisor时存储以及网络的虚拟化还没有完全实现。

例如,迁移工具,如VMware vMotion是在2001年VMware ESX Server 1.0发布之后的两到三年才推出的。与此同……

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

既然在虚拟环境中存在大量的客户操作系统以及网络安全缺陷,那么成功攻击hypervisor后可能会造成灾难性的后果。但是如果进行适当的规划,你就可以更好地保护数据并将虚拟化以及hypervisor的安全缺陷降至最低。

  大多数安全专家认同最好在系统(也就是操作系统,hypervisor)中设计安全性措施,而不是在事后才增加安全性措施。但是早期这一安全性措施很难实施,这是由于服务器的动态性以及在设计大多数hypervisor时存储以及网络的虚拟化还没有完全实现。例如,迁移工具,如VMware vMotion是在2001年VMware ESX Server 1.0发布之后的两到三年才推出的。与此同时,伴随着软件攻击在规模以及复杂性方面都有所增加,这都增加了潜在的安全性缺陷。

  如何攻击hypervisor
 
  网络入侵者通常尝试使用hypervisor服务,比如创建/删除、克隆以及迁移来制造并扩大威胁。如果代码的安全性保证程度较低,那么随着软件堆栈规模以及API数目的增加,攻击成功的可能性同样会增加。通常来讲,规模更大的软件堆栈要比规模更小的软件堆栈提供更大的攻击平面,这是因为代码的规模更大将意味着代码的错误更多。

  上述场景同样适用于具有大量API的第三方应用:API接口为攻击者提供了更多的攻击路径以及更大的攻击平面。(典型的API包括了hypervisor调用,以及由硬件以及带有hypervisor能够处理的参数的处理器指令所产生的中断。)

  除此之外,如果厂商在开发代码时没有考虑安全性的话,那么通常将会产生更低的安全性保证以及更大的攻击面。正因为如此,涉及规模更大的代码如果基于更高的安全性级别可能要比没有集成安全性的、规模更小的代码更加安全。

  hypervisor攻击场景概述

  当hypervisor被控制后,攻击者将能够攻击该主机上的所有虚拟机。攻击hypervisor的一个可能的结果如下:虚拟机的资源利用率可能会增加,这将导致整个主机乃至一组服务器不能够提供服务。当攻击涉及到多个虚拟机时,问题将更加严重。但是来自SolarWinds、VMware以及HyTrust等公司的监控工具能够检测并防止上述攻击。

  有些专家建议使用另一种方法破坏hypervisor: rootkits。但是结果是几乎没有人在现实环境中使用这种方法。最有名的rootkit是由Rutkowska所开发的Blue Pill。Blue Pill通过hypervisor控制计算资源。被控制的hypervisor并不需要重启,这使得监控变得困难起来。Blue Pill能够截断内部通信并发送错误的回应(自Blue Pill发布以来,人们使用Red Pill rootkit对其进行检测)。

  预防hypervisor攻击

  虽然能够从虚拟化和云环境获益,但是很多用户却没有认真考虑安全性问题。数据中心增加了虚拟化服务器、存储和网络后,同时也增加了过去在物理环境中没有发现的新的安全性问题。

  如果你刚刚开始考虑对数据中心进行虚拟化,从一开始就可以使用以下几个对hypervisor进行保护以更好地实现数据保护的技巧:

  • 不要将入侵检测作为一种选择。没有什么比安全更重要。
  • hypervisor厂商提供了最好的入侵检测技术,因为hypervisor厂商投入大量资金将入侵检测代码放置在入侵者最有可能攻击的位置。从开发虚拟化平台或者支持虚拟化平台的厂商那儿获取有关hypervisor安全性的尽可能多的信息。讨论入侵检测技术时同样要考虑技术专家的建议。如果组织内没有相关专家,那么可以考虑聘请顾问。
  • 询问厂商hypervisor攻击可能发生在哪些地方以及可以使用哪些安全性工具避免入侵者对hypervisor进行攻击。
  • 对hypervisor进行评估时,需要比较攻击区域的规模以及API的数量。
  • 有些hypervisor集成在操作系统内核中,有些hypervisor运行在裸机之上。安排内部的专家与hypervisor厂商进行接洽,讨论为什么有些厂商认为他们的hypervisor架构提供了最高的安全级别。
  • 尽可能对hypervisor进行对比研究,时刻将安全性铭记于心。额外关注谁对hypervisor进行了比较以及这些报告是不是由hypervisor厂商所赞助的。

  在部署虚拟化后实施安全性

  如果已经部署了一个或多个hypervisor,那么可以使用以下几种方法提升虚拟化环境的保护能力:

  • 使用安全工具监控虚拟环境,包括虚拟机之间以及虚拟机和主机之间的网络流量。这些工具必须能够将虚拟化的管理能力进行可视化并提供监督功能。
  • 将hypervisor监控集成到整个系统的管理/监控基础实施中。
  • 对虚拟化环境进行持续的验证以确保虚拟化服务器的安全性以及完整性。

  随着越来越多的公司在虚拟化基础设施中运行关键业务工作负载并存储敏感的数据,hypervisor安全性的重要程度将持续增加。虽然本文提及的这些预防措施并不能确保虚拟化环境的安全,但是在虚拟化环境中使用这些预防措施肯定能够将hypervisor遭受攻击的风险降至最低。

翻译

张冀川
张冀川

TechTarget中国特约专家,任职于某国企信息中心,负责数据中心硬件基础设施及信息系统运维管理工作,对虚拟化及云计算技术有浓厚兴趣,并在工作中积极应用

相关推荐

  • 起底虚拟机优势

    虚拟机是物理计算机的逻辑表现形式。虚拟机有众多优势,但列举虚拟机的众多优势之前有必要了解下虚拟机是如何创建以及如何工作的。为创建一个虚拟机,先要在物理计算机上安装hypervisor。

  • 主流hypervisor总拥有成本及功能对比

    在众多hypervisor中做出选择可能是管理员要做出的最重要的决定之一。在做出上述决定时,务必牢记要在已经推出市场一段时间的hypervisor中进行选择。

  • 如何根据业务需求对超融合技术进行评估

    超融合技术的发展已经吸引了许多IT管理员和企业高管的注意。相比传统方式,超融合基础架构提供了一种更为简便的资源部署、管理和支持方式。

  • 预测潜风险:加强容器保护

    容器是IT行业最热门的软件话题。共享虚拟机通用部分——操作系统、管理工具乃至应用,大大减少了镜像消耗的内存资源,同时减少了加载相同代码的众多副本所需占用的网络带宽。