虛擬化的長(zhǎng)處已經(jīng)是盡人皆知，包含多租戶、更佳的辦事器操縱率和數(shù)據(jù)中間整合等。云辦事供給商可(用虛擬化)實(shí)現(xiàn)更高的密度，由此轉(zhuǎn)化更好的利潤(rùn);企業(yè)可用虛擬化來緊縮在辦事器硬件上的本錢支出，同時(shí)晉升營(yíng)運(yùn)效力。
虛擬化帶來所有以客居編制運(yùn)行把持系統(tǒng)的安然標(biāo)題問題，和虛擬化獨(dú)有的安然威脅。虛擬化是根本舉措措施即辦事(IaaS)云和私有云中的關(guān)頭身分之一，并且愈來愈多地被利用在平臺(tái)即辦事(PaaS)和軟件即辦事(SaaS)供給商的后臺(tái)中。虛擬化也是由公有云或私有云交付的虛擬桌面的一項(xiàng)關(guān)頭手藝。
這些安然標(biāo)題問題可能包含：Hypervisor層引進(jìn)的新安然考慮和新的虛擬化獨(dú)有的安然威脅，例如，虛擬機(jī)間的報(bào)復(fù)打擊和盲點(diǎn)，安然功能耗損CPU和內(nèi)存導(dǎo)致的機(jī)能標(biāo)題問題，虛擬機(jī)舒展(VM Sprawl)導(dǎo)致的運(yùn)作復(fù)雜度。新的標(biāo)題問題如防護(hù)間隙(Instant-On Gap)、數(shù)據(jù)稠濁、加密虛擬機(jī)鏡像的難度和殘存數(shù)據(jù)斷根等正成為核心。
Hypervisor安然
Hypervisor需參照最好實(shí)踐進(jìn)行加固。利用虛擬化的企業(yè)和用戶首要關(guān)心的是Hypervisor所運(yùn)行物理主機(jī)是不是有得當(dāng)?shù)慕ㄔO(shè)治理、把持和物理安然。
虛擬機(jī)間報(bào)復(fù)打擊和盲點(diǎn)
虛擬化對(duì)收集安然帶來巨大年夜的威脅，虛擬機(jī)間可能經(jīng)由過程硬件背板而不是收集進(jìn)行通信，是以這些通信流量對(duì)尺度的收集安然節(jié)制來講是不成見的，沒法對(duì)它們進(jìn)行監(jiān)控或內(nèi)嵌封堵。內(nèi)嵌虛擬設(shè)備可以解決這個(gè)標(biāo)題問題;另外一個(gè)解決路子是硬件輔助虛擬化(Hardware Assisted Virtualization)，它需要與Hypervisor和虛擬化治理框架進(jìn)行API級(jí)別的整合。虛擬機(jī)的遷徙也是令人擔(dān)憂的處所。一個(gè)可能的報(bào)復(fù)打擊場(chǎng)景是一個(gè)可疑的虛擬機(jī)遷徙進(jìn)信賴區(qū)域，在傳統(tǒng)以收集為根本的安然節(jié)制辦法下，將沒法檢測(cè)到它的不當(dāng)行動(dòng)。在每個(gè)虛擬機(jī)上安裝全套的安然東西，是加添呵護(hù)層的另外一路子。
機(jī)能標(biāo)題問題
將為物理辦事器設(shè)計(jì)的安然軟件安裝在虛擬辦事器上會(huì)導(dǎo)致嚴(yán)重的機(jī)能降落，因?yàn)橐恍┌踩蝗蝿?wù)，好比病毒掃描很是占用CPU資本。虛擬化辦事器上的共享環(huán)境導(dǎo)致了資本競(jìng)爭(zhēng)。出格是在虛擬桌面或高密度環(huán)境中，安然軟件需具有虛擬環(huán)境辨認(rèn)能力，或它需要可以或許在一臺(tái)虛擬機(jī)上履行安然功能來撐持其他虛擬機(jī)。
虛擬機(jī)舒展(VM Sprawl)導(dǎo)致的運(yùn)作復(fù)雜度
在典型的企業(yè)中，虛擬機(jī)可供給的便捷性導(dǎo)致虛擬機(jī)需求的增加。這產(chǎn)生了更大年夜的報(bào)復(fù)打擊面，弊端建設(shè)或把持掉誤導(dǎo)致安然縫隙的概率也隨之上升。實(shí)施基于策略的治理和虛擬化治理架構(gòu)的利用是必需的。
防護(hù)間隙(Instant-On Gap)
虛擬機(jī)封鎖/啟動(dòng)便捷，再連絡(luò)威脅改變的速度，產(chǎn)生了一種環(huán)境：當(dāng)虛擬機(jī)被封鎖時(shí)建設(shè)是安然的;可是當(dāng)它被再次啟動(dòng)時(shí)，威脅已演變了，成果該虛擬機(jī)便可能存在縫隙風(fēng)險(xiǎn)了。最好實(shí)踐包含基于收集的安然節(jié)制和“虛擬補(bǔ)丁”，他們?cè)谑占髁窟_(dá)到新擺設(shè)或新啟動(dòng)的虛擬機(jī)前，對(duì)已知報(bào)復(fù)打擊行動(dòng)進(jìn)行查抄。也可能采納近似收集拜候節(jié)制(NAC)的辦法，以隔離還沒有更新的虛擬機(jī)，直至法則和模式庫(kù)更新到最新并履行完成掃描任務(wù)。
虛擬機(jī)加密導(dǎo)致的機(jī)能標(biāo)題問題
虛擬機(jī)鏡像不管在靜止仍是運(yùn)行狀況都有被盜取或竄改脆弱縫隙。對(duì)應(yīng)的解決方案是在任甚么時(shí)辰候?qū)μ摂M機(jī)鏡像進(jìn)行加密，但這又會(huì)導(dǎo)致機(jī)能標(biāo)題問題。在安然性要求高或有律例要求的環(huán)境下，(加密的)機(jī)能成本是值得的。加密必需與治理性辦法、數(shù)據(jù)泄漏呵護(hù)(DLP)和審計(jì)蹤跡共同以避免運(yùn)行中虛擬機(jī)的快照(Snapshot)泄漏，從而給報(bào)復(fù)打擊者獲得快照中數(shù)據(jù)的機(jī)緣。
數(shù)據(jù)稠濁
另外一個(gè)標(biāo)題問題是不合等第的數(shù)據(jù)(或虛擬機(jī)儲(chǔ)存著不合等第的數(shù)據(jù))可能交叉稠濁在統(tǒng)一臺(tái)物理機(jī)械中。在PCI(這里指PCI-DSS，付出卡行業(yè)數(shù)據(jù)安然尺度)條目中，我們稱之為同化實(shí)施模式。我建議組合利用虛擬局域網(wǎng)、防火墻、進(jìn)侵檢測(cè)/進(jìn)侵防護(hù)系統(tǒng)(IDS/IPS)來包管虛擬機(jī)隔離以撐持同化實(shí)施模式。我還保舉利用數(shù)據(jù)分類和基于策略的治理(例如，DLP數(shù)據(jù)泄漏呵護(hù))來預(yù)防數(shù)據(jù)稠濁。在云計(jì)較環(huán)境中，某一最低安然呵護(hù)的租戶，其安然性可能成為多租戶虛擬環(huán)境中所有租戶共有的安然性。
虛擬機(jī)數(shù)據(jù)斷根
當(dāng)虛擬機(jī)從一個(gè)物理辦事器間遷徙至另外一物理辦事器時(shí)，企業(yè)需要確保沒有任何一個(gè)比特?cái)?shù)據(jù)遺留在磁盤上，有關(guān)數(shù)據(jù)可能被其他用戶恢復(fù)或當(dāng)磁盤被收受領(lǐng)受時(shí)恢復(fù)。對(duì)內(nèi)存/存儲(chǔ)清零或?qū)θ珨?shù)數(shù)據(jù)加密是此標(biāo)題問題標(biāo)解決方案。加密密鑰該當(dāng)存儲(chǔ)在虛擬環(huán)境以外的一個(gè)基于策略的密鑰辦事器上。別的，假定沒有益用加密或得當(dāng)?shù)臄?shù)據(jù)擦洗，虛擬機(jī)在運(yùn)行的狀況下遷徙，本身可能面對(duì)風(fēng)險(xiǎn)。
虛擬機(jī)鏡像竄改
預(yù)先建設(shè)的虛擬設(shè)備和鏡像，在你啟動(dòng)之前可能建設(shè)不當(dāng)或被竄悔改。
可隨便遷徙的虛擬機(jī)
虛擬機(jī)可以從一個(gè)物理辦事器遷徙到別的一個(gè)物理辦事器的奇特能力為審計(jì)和安然監(jiān)測(cè)增加了復(fù)雜度。在良多情況下，虛擬機(jī)可以在不產(chǎn)生告警或?qū)徲?jì)跟蹤的環(huán)境下被從頭安設(shè)于另外一個(gè)物理辦事器(與地輿位置無關(guān))。