英特爾高管：虛擬化省錢沒省心

2009-07-24 14:00:48
云計(jì)算
虛擬化 英特爾安全解決方案經(jīng)理Steve Orrin對那些正在打算部署虛擬化技術(shù)的人們提出了一些簡單而有用的忠告。他表示,剛開始實(shí)施虛擬化的時(shí)候不宜對那些價(jià)值高、數(shù)據(jù)重要的系統(tǒng)進(jìn)行虛擬化。

虛擬化并不是一件容易的事情。安全問題使復(fù)雜的虛擬化過程更加困難。安全問題也是匆忙實(shí)施這種技術(shù)的企業(yè)經(jīng)常容易忽略的問題。

英特爾安全解決方案經(jīng)理Steve Orrin對那些正在打算部署虛擬化技術(shù)的人們提出了一些簡單而有用的忠告。他說，最開始的時(shí)候不要對高價(jià)值的重要任務(wù)的東西實(shí)施虛擬化。首先可以對一些值得投資的有價(jià)值的東西進(jìn)行虛擬化，但是，這些東西并沒有重要到這種程度，以至于一旦中斷就會產(chǎn)生嚴(yán)重的問題。

Orrin補(bǔ)充說，由于有許多新的基礎(chǔ)設(shè)施，將會出現(xiàn)許多錯(cuò)誤和挑戰(zhàn)。要學(xué)習(xí)，并且把學(xué)到的東西應(yīng)用到高價(jià)值的系統(tǒng)中。

Orrin將在下個(gè)星期舉行的ISACA國際會議上發(fā)表一個(gè)題為“從虛擬化與安全到基于虛擬化的安全”的報(bào)告。這個(gè)報(bào)告的主題是安全應(yīng)該能夠幫助虛擬化的部署，而不是阻礙虛擬化的部署。

節(jié)省金錢但是沒有減少擔(dān)心

Orrin說，如果安全經(jīng)常是虛擬化部署中事后才想起的事情，這個(gè)原因也許是虛擬化的目標(biāo)單純地方在了節(jié)省成本方面，而沒有發(fā)揮虛擬化提供的日益增多的靈活性的優(yōu)勢。

Orrin指出，管理員應(yīng)該理解虛擬化對于他們意味著什么。在你走出一臺服務(wù)器僅運(yùn)行一個(gè)應(yīng)用程序的世界的時(shí)候，可能會出現(xiàn)許多安全問題，還有許多像安全問題一樣難以解決的運(yùn)營問題。

當(dāng)應(yīng)用程序從一臺服務(wù)器遷移到另一臺服務(wù)器，改變它們使用的資源，甚至改變它們的位置的時(shí)候，安全的要素變得更加復(fù)雜了。你對于不同的虛擬機(jī)需要不同水平的安全。人們從20臺服務(wù)器減少到一臺大型服務(wù)器，重要任務(wù)的應(yīng)用程序與實(shí)驗(yàn)的應(yīng)用程序以及小型的IT和人力資源應(yīng)用程序都在同一臺機(jī)器上運(yùn)行。一個(gè)安全政策如何覆蓋所有這些應(yīng)用程序?

Orrin說，但是，大多數(shù)部署比這種情況更復(fù)雜。在大多數(shù)機(jī)構(gòu)，這不是20:1的整合。許多機(jī)構(gòu)在多個(gè)地方有多個(gè)數(shù)據(jù)中心，管理員還要整合數(shù)據(jù)中心。

缺乏安全政策

Orrin說，這個(gè)解決方案要有一個(gè)說明許多安全水平(可能是高、中和低級)的安全政策，并且逐步地實(shí)施虛擬化。如果做得好，就會得到遵守法規(guī)的益處。他說，我看到許多例子，人們發(fā)現(xiàn)很容易使用安全控制并且把這些措施報(bào)告給審計(jì)者。

但是，做得很好并不容易。有一個(gè)新的軟件層需要保證其安全。這個(gè)軟件層就是管理程序以及一個(gè)虛擬機(jī)管理器。虛擬化技術(shù)能夠幫忙。

Orrin說，VMsafe和類似于Xen的工具能夠讓你利用虛擬機(jī)管理器，這樣，一臺虛擬機(jī)就能夠?yàn)榱硪粋€(gè)虛擬機(jī)做殺毒的事情。這個(gè)目標(biāo)是利用你現(xiàn)有的安全機(jī)制并且讓這個(gè)安全機(jī)制熟悉虛擬化。

讓殺毒軟件屬性虛擬化是一件事情，讓防火墻熟悉虛擬化是一件更困難的事情。云計(jì)算中的防火墻不能運(yùn)行同樣水平的保護(hù)，特別是如果管理程序運(yùn)行虛擬機(jī)之間的通訊的話。

Orrin補(bǔ)充說，一些人對此做出的反應(yīng)是把所有的網(wǎng)絡(luò)通訊重新傳送到網(wǎng)絡(luò)，而不允許虛擬機(jī)相互之間直接交換數(shù)據(jù)包。思科和瞻博網(wǎng)絡(luò)等一些廠商讓你那樣做，然而你那樣做就得不到虛擬化提供的效率優(yōu)勢。從效率的觀點(diǎn)看，虛擬設(shè)備有很大意義，但是，如果你同那些已經(jīng)建立虛擬設(shè)備的人們談?wù)撨@個(gè)事情，你會發(fā)現(xiàn)那里有一些局限性。

大型計(jì)算機(jī)能夠簡化虛擬化嗎?Orrin說，大型機(jī)是所有的虛擬化的祖先。IBM喜歡談?wù)撨@個(gè)事情。但是，如果你與大型機(jī)一起使用Linux或者Unix操作系統(tǒng)，大型計(jì)算機(jī)擁有自己的接入控制和流程隔離設(shè)施，并且當(dāng)你設(shè)法將大型計(jì)算機(jī)與客戶機(jī)-服務(wù)器架構(gòu)以及VMware混合使用的時(shí)候，大型計(jì)算機(jī)會出現(xiàn)故障。

Orrin稱，他喜歡大型計(jì)算機(jī)的想法。他是主張使用大型計(jì)算機(jī)的人。他看到了大型計(jì)算機(jī)的魅力和力量。那不是Windows或者Unix服務(wù)器。他補(bǔ)充說，企業(yè)所有的重要任務(wù)軟件都放在大型計(jì)算機(jī)上的情況是很少的。這可能是虛擬化部署的一個(gè)有價(jià)值的部分。

Orrin指出，虛擬化的另一個(gè)關(guān)鍵問題是，在許多虛擬化部署中，通用的虛擬機(jī)模板存儲下來，然后根據(jù)需要復(fù)制和配置。人們根據(jù)一個(gè)黃金拷貝建立虛擬機(jī)。如果有人試圖攻擊這個(gè)黃金拷貝，他們就能夠根據(jù)每一個(gè)實(shí)例的情況破壞整個(gè)系統(tǒng)。安全軟件僅查看運(yùn)行的東西，而黃金拷貝是不運(yùn)行的。因此，你需要能夠調(diào)查這些黃金拷貝。一個(gè)休息的虛擬機(jī)是一個(gè)大型的ISO文件。

Orrin補(bǔ)充說，企業(yè)生產(chǎn)提供必要的安全保護(hù)的產(chǎn)品。他們提供在設(shè)置之前的改變控制與管理以及一個(gè)虛擬機(jī)的證明。在遷移期間，虛擬機(jī)在線路上能夠遭到攻擊。甚至還有虛擬機(jī)在兩臺服務(wù)器之間遷移的時(shí)候遭到攻擊的例子。這種攻擊改變轉(zhuǎn)送中的安全數(shù)據(jù)。因此，要保護(hù)虛擬機(jī)的完整性，他們必須要保證正在配置的虛擬機(jī)是原始的，也就是沒有修改過的虛擬機(jī)。

Orrin說，好消息是有許多工具和技術(shù)能夠解決這些問題。IT部門只需要使用合適的工具。

分享名稱：英特爾高管：虛擬化省錢沒省心
網(wǎng)站地址：http://m.5511xx.com/article/ccdgseh.html