我們都知道虛擬化手藝可以幫忙企業(yè)節(jié)流開支，簡化IT資本治理，可是我們可以或許操縱虛擬化手藝來加強(qiáng)系統(tǒng)和收集的安然性嗎?跟著虛擬蜜罐(honeypot)和蜜網(wǎng)(honeynet)手藝的呈現(xiàn)，到利用Hyper-V虛擬化手藝分派辦事器角色，再到虛擬利用法度的無縫沙盒(sandboxing)手藝和最新版本VMWare工作站的發(fā)布，謎底是必定的。本文將切磋若何利用虛擬化東西進(jìn)步Windows環(huán)境的安然性等標(biāo)題問題。
虛擬化安然vs安然的虛擬化
常常會(huì)有人談?wù)撎摂M環(huán)境中呈現(xiàn)的安然標(biāo)題問題，而大年夜部門會(huì)商都是環(huán)繞若何呵護(hù)虛擬機(jī)標(biāo)題問題標(biāo)。誠然，虛擬化手藝可能帶來某些安然風(fēng)險(xiǎn)，但是，假定用得恰當(dāng)，虛擬化手藝也能夠或許幫忙進(jìn)步安然性。
節(jié)制力是呵護(hù)系統(tǒng)的一個(gè)首要身分，包含對(duì)企業(yè)內(nèi)部人員的節(jié)制和拜候公司收集資本的外部人員的節(jié)制(例如長途用戶利用便攜式電腦和移動(dòng)設(shè)備拜候收集)。虛擬化手藝可以或許幫忙你集中節(jié)制最終用戶所拜候的利用法度，而桌面虛擬手藝則可以或許為具有暗藏風(fēng)險(xiǎn)的利用法度、網(wǎng)站等成立安然、孤立的計(jì)較機(jī)環(huán)境。
數(shù)據(jù)集中化治理可以或許確保數(shù)據(jù)的安然性，而基于辦事器的虛擬化手藝可以或許確保首要數(shù)據(jù)不被存儲(chǔ)在臺(tái)式機(jī)或很等閑遺掉或被盜竊的筆記本電腦中。
沙盒手藝
沙盒是指器不克不及直接拜候主一種相對(duì)孤立的環(huán)境，可以或許安然地運(yùn)行那些可能對(duì)把持系統(tǒng)、其他利用法度或收集造成威脅的法度。虛擬機(jī)機(jī)資本，所以使沙盒手藝十分安然。假定系統(tǒng)中存在不不變的利用法度、有安然縫隙利用法度或未知利用法度，你可以將如許的利用法度安裝在虛擬機(jī)中，如許的話，當(dāng)該利用法度呈現(xiàn)標(biāo)題問題時(shí)，就不會(huì)對(duì)主機(jī)系統(tǒng)的其他部門造成影響。
因?yàn)槭占癁g覽器常常會(huì)成為歹意軟件和病毒報(bào)復(fù)打擊的對(duì)象，我們可以將瀏覽器在虛擬機(jī)中運(yùn)行，當(dāng)然你也能夠在虛擬機(jī)中運(yùn)行其他互聯(lián)網(wǎng)相干的法度(如電子郵件客戶端、聊天法度和P2P文件共享法度等)。虛擬性可以或許拜候互聯(lián)網(wǎng)，可是不克不及拜候公司的局域網(wǎng)，這可以或許幫忙你呵護(hù)主機(jī)把持系統(tǒng)和拜候本地資本的商業(yè)法度免受互聯(lián)網(wǎng)中的報(bào)復(fù)打擊。
另外一個(gè)好處就是，當(dāng)虛擬機(jī)遭到報(bào)復(fù)打擊時(shí)可以或許很精練地恢復(fù)，VM軟件會(huì)在特定的時(shí)候點(diǎn)對(duì)機(jī)械進(jìn)行“快照”，是以可以或許很快速地恢復(fù)到報(bào)復(fù)打擊前的狀況。
無縫虛擬利用軟件和豐碩的VMWare Workstation 6.5實(shí)戰(zhàn)經(jīng)驗(yàn)
最新版本的VMWare Workstation (6.5版本)供給了最完全的桌面功能，并且其“Unity”功能可以或許讓你在主機(jī)桌面中查看在主機(jī)把持系統(tǒng)的利用法度(來自虛擬機(jī))。對(duì)用戶而言，這意味著完全的無縫虛擬利用法度整合，把持過程加倍便利。用戶可以或許輕松在虛擬機(jī)和主機(jī)間進(jìn)行拖放或粘貼把持，底子不會(huì)感觸感染利用法度是在虛擬機(jī)中運(yùn)行，這就是說對(duì)虛擬機(jī)中的利用程最新版本的VMWare Workstation (6.5版本)供給了最完全的桌面功能，并且其“Unity”功能可以或許讓你在主機(jī)桌面中查看在主機(jī)操序(如收集瀏覽器)實(shí)施沙盒手藝時(shí)不再會(huì)感觸感染到任何障礙。
這類新軟件還可以或許幫忙用戶安裝虛擬機(jī)以便超越多個(gè)監(jiān)控器進(jìn)行把持，這很首要，特別是當(dāng)你需要在虛擬機(jī)中同事運(yùn)行幾個(gè)利用法度時(shí)。或你也能夠安裝多個(gè)虛擬機(jī)在不合的監(jiān)控器上顯示，如許就更等閑追蹤用戶在特按時(shí)候所把持的虛擬計(jì)較機(jī)。別的也能夠在后臺(tái)運(yùn)行虛擬機(jī)，而不利用workstation用戶界面。
辦事器分手
辦事器整合是良多企業(yè)利用虛擬化的首要目標(biāo)，當(dāng)然你也能夠不利用虛擬化而在一臺(tái)機(jī)械上運(yùn)行多個(gè)辦事器角色，你的域節(jié)制機(jī)還可以作為DNS辦事器、DHCP辦事器、RRAS辦事器等?？墒窃谝慌_(tái)辦事器上運(yùn)行多個(gè)角色，出格是在域節(jié)制器上，會(huì)造成重大年夜的安然風(fēng)險(xiǎn)。虛擬化可讓你在統(tǒng)一物理機(jī)上運(yùn)行所有這些不異的角色，并將辦事器分手，因?yàn)樗麄兪窃诹尕甑奶摂M機(jī)上運(yùn)行。
微軟公司發(fā)布的Hyper-V虛擬軟件可以或許避免VM間的未經(jīng)授權(quán)的通信，且每個(gè)虛擬機(jī)在分手出來的單個(gè)工作過程中運(yùn)行，并且在用戶模式中獨(dú)一有限的權(quán)限，這可以或許包管主辦事器和法度的安然性。其他可以或許分手虛擬機(jī)的安然機(jī)制包含分手虛擬設(shè)備，一種從每個(gè)虛擬機(jī)到主辦事器的自力的VMBus，并且VM之間沒有共享空間。
寄望：
值得寄望的是，假定VM把持系統(tǒng)在VM之間傳輸內(nèi)容或在局域網(wǎng)內(nèi)共享磁盤，就會(huì)帶來很大年夜的安然風(fēng)險(xiǎn)，并且會(huì)擺蕩用戶利用虛擬手藝的決心。
虛擬蜜罐手藝和蜜網(wǎng)手藝
蜜罐是指用來勾引報(bào)復(fù)打擊者的計(jì)較機(jī)，而蜜網(wǎng)則是指包含蜜罐的全部收集，收集外部人員會(huì)感覺蜜網(wǎng)是某種出產(chǎn)收集，其目標(biāo)包含三方面：
·轉(zhuǎn)移報(bào)復(fù)打擊者的寄望力，呵護(hù)真實(shí)的出產(chǎn)收集;
·讓你對(duì)試圖報(bào)復(fù)打擊收集的報(bào)復(fù)打擊類型進(jìn)行預(yù)警，如許就有時(shí)候?qū)ｉT研究若何對(duì)這些報(bào)復(fù)打擊，以防報(bào)復(fù)打擊真實(shí)的收集和系統(tǒng);
·匯集可以用于鑒定報(bào)復(fù)打擊者的信息。
蜜罐和蜜網(wǎng)可利用物理機(jī)械構(gòu)建，可是代價(jià)將會(huì)很昂貴，并且難以治理。有了虛擬手藝，就可以在一臺(tái)物理機(jī)上成立大年夜型的蜜網(wǎng)，并且成本很低。虛擬桌面還可以找出收集中防病毒軟件沒有防備到病毒和歹意軟件。
寄望：
作為最好安然方案，可以或許轉(zhuǎn)移互聯(lián)網(wǎng)的報(bào)復(fù)打擊的蜜網(wǎng)應(yīng)當(dāng)在專用物理機(jī)上運(yùn)行，如許就不會(huì)連接到真實(shí)的出產(chǎn)收集，或與真正收集間有防火墻。蜜網(wǎng)凡是被置于DMZ或外圍收集中，另外一種編制就是將蜜罐置于內(nèi)部收集中以檢測來自內(nèi)部的報(bào)復(fù)打擊。
因?yàn)榱级喙敬丝潭紝⑵涑霎a(chǎn)辦事器放在VM上運(yùn)行，虛擬環(huán)境不再作為勾引報(bào)復(fù)打擊者的旌旗燈號(hào)，而是真實(shí)的出產(chǎn)收集。
總結(jié)
恰當(dāng)擺設(shè)虛擬手藝可覺得公司收集供給多一層的安然保障，為了實(shí)現(xiàn)最好安然做法，該當(dāng)確保對(duì)運(yùn)行在虛擬機(jī)上的把持系統(tǒng)和利用法度實(shí)施的呵護(hù)與對(duì)運(yùn)行在物理機(jī)中的把持系統(tǒng)和利用法度實(shí)施的呵護(hù)是一樣，總之，虛擬化手藝只能作為安然東西庫的一種東西，而不是全數(shù)。