比來幾年來，福建中醫(yī)藥大年夜學(xué)加強(qiáng)了數(shù)據(jù)中間的安然防護(hù)扶植，前后擺設(shè)了安然網(wǎng)關(guān)、WEB利用防護(hù)，防病毒軟件等安然系統(tǒng)，根基實(shí)現(xiàn)了物理鴻溝安然及終端安然。但因?yàn)樘摂M化系統(tǒng)本身的特點(diǎn)，若何實(shí)現(xiàn)虛擬化系統(tǒng)的主機(jī)縫隙防護(hù)面對著挑戰(zhàn)。
福建中醫(yī)藥大年夜學(xué)原名福建中醫(yī)學(xué)院，成立于1958年，是我國創(chuàng)辦較早的高檔中醫(yī)藥院校之一，是福建省重點(diǎn)扶植高校，2010年3月經(jīng)教育部核準(zhǔn)改名為福建中醫(yī)藥大年夜學(xué)。黌舍具有國度中醫(yī)藥治理局重點(diǎn)學(xué)科20個(gè)，福建省重點(diǎn)學(xué)科12個(gè)。
福建中醫(yī)藥大年夜黌舍園計(jì)較機(jī)收集建于1998年，2002年共同“數(shù)字福建”扶植打算，擬定《“數(shù)字福建中醫(yī)學(xué)院”扶植打算草案》。2004年擬定《福建中醫(yī)學(xué)院數(shù)字化校園扶植整體打算》，同年立項(xiàng)扶植。2007年完成數(shù)字化校園扶植招標(biāo)，同年10月統(tǒng)一身份認(rèn)證、信息門戶、數(shù)據(jù)共享和辦公主動(dòng)化系統(tǒng)起首投進(jìn)利用，隨后其它系統(tǒng)也接踵投進(jìn)利用至今。
我校校園信息化項(xiàng)目顛末量年的扶植，現(xiàn)稀有十臺機(jī)架式辦事器及刀片式辦事器、多套存儲硬件，經(jīng)由過程虛擬化擺設(shè)，承載數(shù)字化校園、網(wǎng)站群系統(tǒng)等浩繁利用，數(shù)據(jù)級容災(zāi)跨兩個(gè)校區(qū)，籠蓋Linux/Windows兩大年夜平臺的數(shù)據(jù)庫、中間件等等。
比來幾年來，我校加強(qiáng)了數(shù)據(jù)中間的安然防護(hù)扶植，前后擺設(shè)了安然網(wǎng)關(guān)、WEB利用防護(hù)，防病毒軟件等安然系統(tǒng)，根基實(shí)現(xiàn)了物理鴻溝安然及終端安然。但因?yàn)樘摂M化系統(tǒng)本身的特點(diǎn)，若何實(shí)現(xiàn)虛擬化系統(tǒng)的主機(jī)縫隙防護(hù)面對著挑戰(zhàn)。
非論是物理辦事器仍是虛擬辦事器，其上的把持系統(tǒng)包含各類數(shù)據(jù)庫、中間件等等利用都可能存在安然縫隙，黑客或病毒等可以經(jīng)由過程這些縫隙報(bào)復(fù)打擊辦事器。這類報(bào)復(fù)打擊的過程一般以下圖1所示：
圖1：操縱縫隙實(shí)施報(bào)復(fù)打擊流程
針對辦事器的縫隙，假定用打?qū)嶓w補(bǔ)丁的編制解決，需要與觸及的所有第三方利用軟件開辟商調(diào)和及確認(rèn)利用軟件的兼容性，且良多補(bǔ)丁修補(bǔ)都需要重啟動(dòng)辦事器。這類做法每年集中做一次兩次可以，但和安然縫隙同步履行生怕不太實(shí)際。今朝的近況是，我們一般會利用收集IPS設(shè)備對一些首要的安然縫隙做策略禁止。但附加在IPS上的策略數(shù)量過量的話，IPS機(jī)能將不敷利用。實(shí)際上，這類編制也只能針對有限的幾種安然縫隙設(shè)定策略禁止，相對各類把持系統(tǒng)及利用軟件存在的幾千種安然縫隙來講，無異于杯水車薪。針對這類窘境，對主機(jī)安然有更高要求的利用者一般會在收集IPS以外再實(shí)施主機(jī)防火墻及主機(jī)IPS系統(tǒng)，在每臺辦事器上擺設(shè)主機(jī)加固軟件，將大年夜部門IPS策略分擔(dān)到各臺主機(jī)上，如許的話，因?yàn)槊?**立的主機(jī)上的把持系統(tǒng)及利用是有限的，其上的主機(jī)IPS需要承載的策略其實(shí)不會良多，根基可以知足安然的需要。
在傳統(tǒng)的機(jī)房中，我們可以用互換機(jī)、路由器、防火墻、IPS等傳統(tǒng)的安然設(shè)備實(shí)現(xiàn)各個(gè)安然功能。但在虛擬化的環(huán)境中，虛擬機(jī)之間的彼此通信直接經(jīng)由過程虛擬化軟件底層的虛擬互換機(jī)進(jìn)行，假定報(bào)復(fù)打擊者利用某一臺虛擬辦事器報(bào)復(fù)打擊別的的虛擬辦事器的話，我們在鴻溝擺設(shè)的IPS、防火墻和用來偵測內(nèi)部報(bào)復(fù)打擊的IDS都將掉往感化。
事實(shí)上，針對虛擬化環(huán)境下的主機(jī)安然，我們需要用“虛擬化”的目光來對待和思慮。以VMware虛擬化軟件舉例，全部VMware的虛擬化系統(tǒng)中，所有的虛擬機(jī)VM是經(jīng)由過程vSwitch虛擬互換機(jī)進(jìn)行通信的，VMware利用兩組API來承載通信節(jié)制。此中VMsafe API負(fù)責(zé)和收集相干的通信，vShield Endpoint API負(fù)責(zé)和內(nèi)容、利用相干的通信。假定我們能讓安然軟件嵌進(jìn)到VMware的虛擬化軟件底層且可以或許直接調(diào)用這兩組API的話，虛擬化環(huán)境本身的安然包含虛擬辦事器的安然不便可以實(shí)現(xiàn)了嗎。
當(dāng)然，我們知道虛擬化環(huán)境下，各虛擬辦事器的資本操縱率遍及會達(dá)到50%以上，這要比物理機(jī)期間的平均10%擺布增加5倍。從這個(gè)角度來看，假定合用于虛擬化環(huán)境的安然軟件是需要擺設(shè)于每個(gè)虛擬機(jī)的話，我們需要慎重考慮。事實(shí)安然軟件本身就是很耗資本且習(xí)慣“爭搶”資本的，而安然軟件的掃描、更新等更是極耗資本。
綜上所述，解決虛擬化環(huán)境下的主機(jī)安然的最好編制是“無代辦署理安然”，即在虛擬化軟件的底層安裝一個(gè)嵌進(jìn)式軟件，實(shí)現(xiàn)防火墻及IPS功能。這個(gè)無代辦署理防火墻、IPS既可以節(jié)制各虛擬機(jī)之間及虛擬機(jī)與外界之間的通信，又可以不在各個(gè)虛擬辦事器上安裝代辦署理的前提下對各個(gè)虛擬機(jī)實(shí)現(xiàn)定制化的IPS及防火墻策略。簡單的說，在VMware的ESX上安裝一臺安然虛擬機(jī)，這臺安然虛擬機(jī)可以針對ESX上虛擬出來的不合虛擬辦事器及其上的利用實(shí)施不合的縫隙防護(hù)安然策略，同時(shí)也能夠阻斷虛擬機(jī)之間可能存在的彼此報(bào)復(fù)打擊或跳板式報(bào)復(fù)打擊。這類安然防護(hù)需要考慮到前文提到的虛擬化系統(tǒng)的資本操縱率緊湊的標(biāo)題問題，不克不及對虛擬化系統(tǒng)產(chǎn)生很大年夜的資本承擔(dān)。更首要的是，這類實(shí)施策略及防護(hù)的過程不克不及點(diǎn)竄把持系統(tǒng)和數(shù)據(jù)庫、中間件等利用的內(nèi)核，不克不及產(chǎn)生“兼容性標(biāo)題問題”，更不克不及重啟動(dòng)辦事器。
我校今朝虛擬化環(huán)境現(xiàn)有辦事器包含九個(gè)UCS刀片、BladeCenter H的9個(gè)刀片。利用籠蓋全部數(shù)字化校園，數(shù)據(jù)庫采取Oracle，中間件采取IBM WAS。在根據(jù)《國度成長鼎新委辦公廳關(guān)于組織實(shí)施2013年***安然專項(xiàng)有關(guān)事項(xiàng)的通知》的第2點(diǎn)的(2)提到的“云把持系統(tǒng)安然加固和虛擬機(jī)安然治理產(chǎn)品”的規(guī)范，同時(shí)參考了福建省內(nèi)其他兄弟單位及教育主管單位的實(shí)際案例。我們考查了趨勢科技及其他幾個(gè)廠商的產(chǎn)品，此中趨勢科技的DeepSecurity有很大年夜的優(yōu)勢，表此刻以下幾個(gè)方面：
1、產(chǎn)品功能周全，趨勢科技的DeepSecurity能周全實(shí)現(xiàn)虛擬化環(huán)境的整體安然。
2、產(chǎn)品相對成熟， DeepSecurity產(chǎn)品從2006年推出至今，已有很長的汗青，而其他廠商的類似產(chǎn)品推出大年夜多獨(dú)一一年乃至幾個(gè)月。
3、利用案例良多，虛擬化及云計(jì)較的領(lǐng)軍者VMware和Amazon本身也在利用趨勢科技的DeepSecurity產(chǎn)品。在省內(nèi)的兄弟高校及教育主管單位有成功的利用。
趨勢科技的DeepSecurity以無代辦署理的編制實(shí)現(xiàn)虛擬化環(huán)境的整體安然。以下是無代辦署理安然的示意圖：
圖2：無代辦署理安然示意圖
經(jīng)由過程在虛擬化環(huán)境擺設(shè)趨勢科技的DeepSecurity，我們可以在VMware的vCenter中直接調(diào)用DeepSecurity的節(jié)制臺，對虛擬化環(huán)境做一次主機(jī)縫隙掃描，再利用DeepSecurity按照掃描后的成果給的“虛擬補(bǔ)丁”保舉策略，便可對全部虛擬化環(huán)境的主機(jī)縫隙作統(tǒng)一的縫隙防護(hù)。當(dāng)然，我們也能夠額外擬定本身的防護(hù)策略。以上過程只需鼠標(biāo)把持，不需要治理員自行編寫任何防護(hù)策略，節(jié)儉了大年夜量時(shí)候，也不需要過于專業(yè)的常識。
IT手藝日新月異，高校信息化扶植的虛擬化期間的到臨不成抗拒。如安在新的期間、新的手藝系統(tǒng)架構(gòu)下考慮高校收集的安然是每個(gè)高校IT治理者的責(zé)任。面對新手藝、新架構(gòu)帶來的挑戰(zhàn)，我們只能在闡發(fā)并掌控新手藝道理的前提下從頭考慮我們的收集安然系統(tǒng)，才能面對最新的收集安然威脅，讓信息手藝更好的辦事于高校的扶植與成長。