保护虚拟化环境加快云计算部署.pdf

白皮书：保护虚拟化环境，加快云计算部署 保护虚拟化环境 加快云计算部署 2010年3月 Nimrod Vax CA Technologies安全管理部门 目录 执行摘要 1 章节一： 虚拟化环境中的访问管理 2 虚拟安全风险 4 云计算 7 章节二： 保护虚拟化环境 9 启用IaaS 12 章节三： 结束语 13 章节四： 关于作者 13 版权©2010 CA. 保留所有权利。此处相关的所有商标，商号，服务标签和徽标归其各自公司所有。本刊物仅为您参考所用。在适用法律允许的范围内，CA提供此“原样”文件，没有任何形式的担保，包括但不限于任 何适销性担保，针对特定用途的适用性担保，或非侵权担保。CA对任何使用此文件所造成的直接或间接损失或损害不负任何责任，包括但不限于利润损失，业务中断，信誉损失或 数据丢失，即使CA已经提前被告 知会造成此种损失的可能性。 执行摘要 挑战 一家大型保险公司的一名出于好心的开发人员克隆了生产虚拟机（VM ）并且将其在 QA环境中运行。这家公司没有采用任何访问控制措施，所以这名开发人员能够自由 访问QA、开发和生产环境。当他打开该系统的副本，机器看上去是在正常生产过程 中。为了测试其功能性，这名开发人员运行了一些索赔方案，而他并没有意识到系 统实际上是正在开支票，同时开始把支票邮寄给客户。一个客户在接到关于正在处 理的索赔事件的两张支票，然后打电话询问他应该用哪一张来兑现。当企业采用虚 拟化和云技术时，就会出现一系列新的有关身份、访问和审计等方面的问题，这些 问题可能会增加信息暴露的风险。在托管虚拟平台上的妥协会将所有虚拟的客户置 于风险之上。审计人员现在开始针对这些风险提出一些很尖锐的问题。据了解，90% 的企业会将“安全和控制”作为采用更广泛云计算技术的主要抑制理由。 机遇 为降低虚拟化安全风险，必须用本地安全措施来实现独立的访问执行和监控技术的 衔接。目前一定要通过虚拟化平台上的细粒度的访问控制和行为审计来对一些在传 统上由人身安全的问题的存在而控制的漏洞进行校正。为了减少与安全考虑相关的 新要求并且满足审计者的要求，就需要一种能够提供特权访问管理的全面的解决方 案。如果想在市场上吸引企业关注，服务提供商交付的IaaS需要为他们的客户提供额 外的可视性和控制功能。 效益 一种有效的解决方案需要确保特权用户在虚拟化基础架构上进行批准的操作时受到 一定的限制。这在一定程度上可以降低那些可能会损害客户形象工程的过度特权账 户或外来入侵行为所带来的风险。通过网络隔离实现的机对机保护需要辅以访问控 制。安全策略的集中化管理可以将因虚拟机散乱而导致的部署和管理成本实现最小 化。最终，在虚拟化基础设施和客户虚拟机上实施的所有敏感管理行为必须能够为 合规性要求和风险缓释做好安全记录和密切审计工作。 白皮书：保护虚拟化环境，加快云计算部署 1 章节一： 虚拟化技术概述 虚拟化技术能够在相同的物理硬件上实现对多个操作系统实例或者虚拟机（VM ）的 执行。每台虚拟机运行起来俨然就是拥有一个专用的操作系统和众多托管应用的物 理机。在相同的物理硬件平台上，每台虚拟机需要访问控制，有时也会因为不同的 虚拟机而存在一定的差异。一些虚拟化平台要求一个外部的托管操作系统，其它就 直接嵌入在硬件中了。虚拟化平台中的分层被称为管理程序（hypervisor ），它能够 帮助在虚拟机中实现硬件资源分享。鉴于撰写此文献的目的，我们将使用术语“管理 程序”来代指相关的托管虚拟机系统。几种常用的方法可以帮助实现虚拟化。虚拟机 上的