雖然辦事器虛擬化手藝以爆炸式速度囊括全球的數(shù)據(jù)中間，但保護(hù)虛擬環(huán)境安然的手藝卻嚴(yán)重滯后。據(jù)附屬惠普公司的收集安然解決方案供給商TippingPoint的產(chǎn)品線治理總監(jiān)詹姆斯.考利格的說(shuō)法，這個(gè)事實(shí)可能會(huì)讓某些擺設(shè)了虛擬化的企業(yè)為辦事器安然標(biāo)題問(wèn)題而頭疼不已?？祭裨诒灸瓿醪迨謧惗剡M(jìn)行的信息化安然歐洲2010峰會(huì)時(shí)表達(dá)了這番不雅點(diǎn)。
按照Gartner咨詢公司的數(shù)據(jù)統(tǒng)計(jì)：從某方面來(lái)講，2009年下半年起碼有16%的企業(yè)級(jí)工作負(fù)載是在虛擬辦事器上運(yùn)行的，可是這個(gè)比例到了2012年有看增加到50%--即以X86為根本的虛擬機(jī)將達(dá)到大年夜概5800萬(wàn)個(gè)?？墒荊artner咨詢公司也猜想稱，這些虛擬辦事器中大年夜約有60%的安然性要遜于他們所代替的物理辦事器。
Forrester研究公司也指出，采取虛擬化治理法度軟件的企業(yè)中有98%正在利用VMware虛擬化手藝。這意味著假定VMware軟件被發(fā)現(xiàn)存在零日縫隙的話，黑客可能會(huì)經(jīng)由過(guò)程諸如電子郵件，收集或域名辦事器等各類路子來(lái)策動(dòng)報(bào)復(fù)打擊。
虛擬辦事器的安然性為甚么就不如他們所代替的物理辦事器呢？考利格所提到的某些導(dǎo)致辦事器安然級(jí)別較低的啟事包含：
*良多辦事器虛擬化項(xiàng)目實(shí)施之初就未將安然標(biāo)題問(wèn)題考慮在內(nèi)
*所有的虛擬工作負(fù)載存在虛擬軟件遭到安然威脅的可能
*不合信賴級(jí)別的虛擬工作負(fù)載凡是被整合在單個(gè)物理主機(jī)上，沒有進(jìn)行足夠的隔離
*良多企業(yè)對(duì)治理法度/虛擬機(jī)監(jiān)管層治理拜候的足夠節(jié)制和治理東西
這些對(duì)虛擬環(huán)境的實(shí)際威脅以治理法度為中間可以劃分為幾個(gè)類別：
黑客報(bào)復(fù)打擊：這會(huì)觸及對(duì)治理法度的干擾或插進(jìn)地痞治理法度。因?yàn)橹卫矸ǘ仁窃诖胫闷鲗偌?jí)別上運(yùn)行的，因?yàn)橹卫矸ǘ壬线\(yùn)行的任何把持系統(tǒng)都很難乃至不成能偵測(cè)到這些威脅。從理論上來(lái)講，節(jié)制了治理法度的黑客會(huì)節(jié)制任安在物理辦事器上運(yùn)行的虛擬機(jī)。
虛擬機(jī)溢出：會(huì)導(dǎo)致虛擬機(jī)溢出的縫隙會(huì)承諾黑客威脅到特定的虛擬機(jī)，將黑客報(bào)復(fù)打擊從虛擬辦事器進(jìn)級(jí)到節(jié)制底層的治理法度。
虛擬機(jī)跳躍：與虛擬化溢出近似，虛擬機(jī)跳躍會(huì)承諾報(bào)復(fù)打擊從一個(gè)虛擬機(jī)轉(zhuǎn)而往威脅在統(tǒng)一個(gè)物理硬件上運(yùn)行的其他虛擬辦事器。
虛擬機(jī)被盜：這是一種用電子編制盜取虛擬機(jī)文件然后周圍傳播和運(yùn)行的能力。是一種相當(dāng)于盜取了完全的物理辦事器的報(bào)復(fù)打擊，并且無(wú)需進(jìn)進(jìn)安然的數(shù)據(jù)中間和移除計(jì)較設(shè)備。
所有這些威脅編制是當(dāng)企業(yè)擺設(shè)虛擬環(huán)境時(shí)，他們利用了一種全新的關(guān)頭任務(wù)元素：治理法度。因?yàn)閷?duì)治理法度的成功報(bào)復(fù)打擊會(huì)導(dǎo)致對(duì)所有托管的工作負(fù)載都造成威脅--而對(duì)個(gè)別虛擬工作負(fù)載的成功報(bào)復(fù)打擊也會(huì)對(duì)治理法度造成威脅，是以企業(yè)的治理法度應(yīng)當(dāng)被認(rèn)定為關(guān)頭任務(wù)軟件并進(jìn)行恰當(dāng)?shù)陌踩环雷o(hù)，考利格夸大年夜說(shuō)。
在傳統(tǒng)的IT環(huán)境中，收集流量可利用一系列辦事器安然防護(hù)系統(tǒng)來(lái)偵測(cè)歹意行動(dòng)以實(shí)現(xiàn)監(jiān)控，查抄和過(guò)濾?？墒翘摂M環(huán)境的標(biāo)題問(wèn)題是經(jīng)由過(guò)程虛擬交互及運(yùn)行的虛擬機(jī)之間的通信很大年夜一部門是無(wú)形的：它不是經(jīng)由過(guò)程有線電纜來(lái)實(shí)現(xiàn)通信，也就沒法用正常編制來(lái)實(shí)施監(jiān)控?？祭裼X得只有一種解決方案可以解決這個(gè)標(biāo)題問(wèn)題"那就是必需成立虛擬機(jī)到虛擬機(jī)的流量可視化和節(jié)制"。
一個(gè)復(fù)雜的標(biāo)題問(wèn)題是虛擬數(shù)據(jù)中間中常常會(huì)呈現(xiàn)職責(zé)的分手。辦事器和運(yùn)營(yíng)團(tuán)隊(duì)凡是負(fù)責(zé)虛擬互換機(jī)的建設(shè)和治理。幾近或完全沒有綜合性的利用東西和安然節(jié)制。對(duì)收集和安然團(tuán)隊(duì)而言，這會(huì)導(dǎo)致實(shí)施建設(shè)審核可視性的缺掉，就很難對(duì)拓?fù)浜徒ㄔO(shè)改變進(jìn)行偵測(cè)，考利格夸大年夜會(huì)所"收集和安然團(tuán)隊(duì)必需掌控拜候?qū)拥囊慌e一動(dòng)"。
考利格保舉了三種編制來(lái)實(shí)現(xiàn)這一方針：
1.硬件編制
硬件路子會(huì)觸及迫使ESX主機(jī)之間的流量由進(jìn)侵檢測(cè)系統(tǒng)加以審核。考利格描述這個(gè)系統(tǒng)的每個(gè)ESX托管都建設(shè)了獨(dú)一無(wú)二的出進(jìn)虛擬本地局域網(wǎng)，建設(shè)了虛擬本地局域網(wǎng)的進(jìn)侵檢測(cè)系統(tǒng)要建設(shè)每個(gè)進(jìn)口虛擬本地局域網(wǎng)和出口虛擬本地局域網(wǎng)。如許能包管所有虛擬機(jī)到虛擬機(jī)的流量可以經(jīng)由過(guò)程有線發(fā)送到進(jìn)侵檢測(cè)系統(tǒng)進(jìn)行審核，只有潔凈的流量才能在每個(gè)進(jìn)口/出口虛擬本地局域網(wǎng)之間進(jìn)行通行。這類編制的不足的地方就是在多個(gè)數(shù)據(jù)中間和災(zāi)害恢復(fù)站點(diǎn)進(jìn)行復(fù)制的成本太高。
2.完全虛擬化的編制
采取這類編制，每個(gè)ESX主機(jī)都建設(shè)了虛擬進(jìn)侵檢測(cè)系統(tǒng)和防火墻，每個(gè)虛擬機(jī)建設(shè)的和談可以鑒定甚么流量應(yīng)當(dāng)被檢測(cè)。這類編制能包管所有被許可的內(nèi)部虛擬機(jī)流量都能被檢測(cè)到，并且當(dāng)虛擬機(jī)在物理主機(jī)之間遷徙時(shí)，安然和談也會(huì)隨之一路遷徙，不外不足的地方是這類編制是影響系統(tǒng)架構(gòu)的機(jī)能為代價(jià)的。
3.綜合編制
這是一種可以大年夜幅度減緩?fù)耆摂M化編制而至使的虛擬受損的折中編制。這類編制是在每個(gè)虛擬機(jī)上運(yùn)行虛擬轉(zhuǎn)向器，虛擬機(jī)建設(shè)了甚么流量應(yīng)當(dāng)被改變標(biāo)的目標(biāo)-轉(zhuǎn)向物理進(jìn)侵檢測(cè)系統(tǒng)的和談來(lái)進(jìn)行檢測(cè)。進(jìn)侵檢測(cè)系統(tǒng)只承諾經(jīng)由過(guò)程檢測(cè)的潔凈流量在虛擬機(jī)之間進(jìn)行通行。
是以甚么是最好編制？考利格暗示甚么是合適企業(yè)用戶的最好編制要取決于企業(yè)本身的方針和預(yù)算和面對(duì)風(fēng)險(xiǎn)的立場(chǎng)。某些成功的解決方案可能會(huì)觸及這些三種編制中此中兩種編制的連絡(luò)利用。
考利格暗示，好動(dòng)靜是跟著安然公司研發(fā)出能供給必備功能的更多產(chǎn)品，構(gòu)建和實(shí)施這些解決方案可能在不久的將來(lái)將變得加倍等閑。