虚拟化数据中心的安全设计探讨

摘 要 随着信息技术的快速发展，越来越多企事业单位开始应用虚拟化数据中心，而信息安全问题使得人们格外重视虚拟化数据中心的安全设计。本文从其安全风险出发，简单论述几点安全设计策略。

关键词 虚拟化；安全风险；隔离；数据

中图分类号TP39 文献标识码A 文章编号 1674-6708（2014）119-0226-02

早在上世纪60年代，IBM便提出虚拟化技术，近年来在云计算技术的发展下，虚拟化技术日益普及，据悉，越来越多客户认识到虚拟化技术的重要作用，并计划在未来几年内大力应用虚拟技术，进行IT基础设施的虚拟化改造。虚拟化数据中心就是应用虚拟化技术建立虚拟化资源池，实现对整个系统的资源集中调配，要保证数据中心的安全运行，必须采取恰当安全措施，防护安全风险。

1 虚拟化数据中心的安全风险

1.1 网络架构调整带来的安全风险

虚拟化数据中心与传统数据中心的网络架构不同，这就带来了新的安全风险。在虚拟机部署之前，在防火墙上建立一个隔离区，其对物理层上的服务器采用严格的访问控制，将不法分子的攻击控制在一个范围或区域内；部署虚拟机后，一台虚拟机出故障失效后，安全问题极可能通过网络传输到其他虚拟机上。

1.2 虚拟环境的安全风险

虚拟环境的安全风险最常见的是补丁、虚拟机跳跃、虚拟机溢出。在物理服务器上安装多个虚拟机后，定期给每个虚拟机进行补丁的更新和维护，而补漏的虚拟机就可能潜藏安全风险。另外，研究表明：不法分子可利用虚拟机破坏主机，潜藏病毒、恶性软件等的踪迹，给虚拟化数据中心的运行带来一定风险。

1.3 来自虚拟化软件的安全风险

虚拟化的BSD客户端与物理层面上的设备一样具有安全问题。虚拟化BSD客户端与单个设备一样有安全风险。Hypervisor，是一个操作系统，负责管理主机0C与客户端0S之间的通信，管理员无需担心单个设备上的BSD安全，但必须关注BSD的安全。

例如：主机箱客户端的虚拟CD加ISO文件，首先，主机上的虚拟化软件进程能接入ISO文件，由于其是高级用户运行，权限较高，故而接入ISO文件基本不成问题；然后，由于客户端上有一个程序负责与主机的通信，这时候只需要在客户端上安装相应的软件，在客户端上的Hypervisor进行调令，向主机发出命令申请，申请与主机WMM通信，要求主机代替客户端启动硬件调用，这个时候会使客户端认为主机正在接入物理CD。这个例子说明，主机与客户端之间有一个高级用户运用的未检查系统，它会被不法分子利用，利用客户端实现对主机的破坏，从数据拦截到数据中心的全面攻击等，因此，必须重视虚拟化软件的安全保护。

2 安全设计

2.1 安全需求分析

与传统数据中心相比，虚拟化数据中心新增了主机动态迁移和业务混存安全风险，安全需求从主机动态迁移到其他物理层面，利用通道隔离、接入控制和安全策略动态迁移实现数据中心的三维安全，如图1所示。

2.2 网络安全部署

虚拟化数据中心的最大优点是实现数据资源的集中调配，数据调配非常灵活，而网络安全防护点应上移，不将网关设计在防火墙上，这样有利于确保数据中心的性能不遭受影响，确保防火墙的灵活性。可以将虚拟化数据中心的服务器群分成两组，安全级别较低的服务器群与客户端之间采用防火墙隔离，利用防火墙实现访问控制；安全级别高的服务器群则通过身份认证网关于客户端隔离，起到良好的数据保护效果。

2.3 存储虚拟化的安全防护措施

2.3.1 资源隔离和访问控制

存储虚拟化后最大的便利就是用户只需要将需要存储的数据提交给虚拟磁盘即可，由虚拟磁盘进行数据的分区存储，这虽然给用户带来很大便利，但同时也带来了一些安全问题，如：不同安全级别的数据被存储到同一物理介质上，而安全级别较低的主机则可以访问到高安全级别的数据信息，此时，必须采取合适的隔离和访问控制措施，必须有授权才能访问授权的资源，未经授权的不仅看不到资源，还看不到资源的存在。

对虚拟客户机加载vShield APP组件（虚拟应用防火墙）、隔离和保护应用，vShield APP中的虚拟化程序级别防火墙能提供自适应的安全保护机制，能在虚拟机和主机之间迁移，便于企业及时了解虚拟应用情况，实现主机与虚拟机之间无障碍通信。

2.3.2 数据加密

数据加密是最常见的安全措施，存储虚拟化后，数据加密是数据的最后一道安全防线。随着数据加密技术的快速发展，设计人员应根据实际需求采取合适的数据加密技术，保护数据的完整性和正确性。

2.3.3 入侵检测系统

在存储系统中设计一个分布式入侵检测系统，它能对存储设备的所有读写操作进行抓取、统计、分析，并对其中的异常情况报警。入侵存储系统有独立的硬件和操作系统，它与主机是相互独立的，在主机被入侵时第一时间提供信息保护。一般来说，应在存储系统的关键路径上部署入侵检测系统，并加强系统管理，及时报警、及时响应、及时处理。

3 安全管理措施

在虚拟化数据中心构建初期，组织一支专业安全管理队伍进行系统的安全管理，并制定相应的安全管理规程；进入构建中后期时，由行政组织进行数据中心的安全管理。在业务流量方面，既要保证相应业务所需的带宽，又确定不同业务对信息的需求，定期分析网络流量、硬件利用率等，防范因数据中心的性能缺陷导致安全风险。在资源管理方面，借鉴有效的资源运维管理经验，利用工具加强对资源变更的跟踪和管理。在没有明确的虚拟化环境的行业准则时，单位应根据实际情况和安全管理规程以及现有的技术标准进行安全管理的改良，制定一个适合本单位的安全管理准则，有效提高安全管理效果，保证数据中心的安全运行。

4结论

本文从系统、环境和软件三个方面分析虚拟化数据中心面临的安全风险，结合笔者的实践经验，提出安全设计的几点措施，要求单位从数据中心的安全需求出发，全方位做好安全管理工作，确保虚拟化数据中心的安全。

参考文献

[1]田勇，孙舟，施越，等.构建证券行业虚拟化数据中心基础架构的信息安全研究[J].信息网络安全，2012（12）：1-3.

[2]钱馨，张辉鹏.虚拟化数据中心的安全问题分析[J].信息安全与技术，2013，4（8）：50-53.