2_Symantec_symposium_服务器虚拟化环境安全防护_weiyan.ppt

Presentation Identifier Goes Here 1 服务器虚拟化环境的安全防护 目录 聚焦服务器虚拟化 1 服务器虚拟化的安全问题 2 赛门铁克的整体解决方案 3 由Applied Research进行的调查 全球3,700家企业参与 IT战术、IT战略和C级别专业人士参与 跨行业调 Presentation Identifier Goes Here 3 2011 虚拟化与云计算演进调查 关注虚拟化及云的5个方面： Server virtualization Storage virtualization Desktop/endpoint virtualization Private Storage-as-a-Service Private or hybrid cloud computing 结论之一：服务器虚拟化最为成熟 (45%的企业正在实施) 服务质量的挑战成为重中之重 影响服务器虚拟化决策的TOP 3 问题 Presentation Identifier Goes Here 5 目录 聚焦服务器虚拟化 1 服务器虚拟化的安全问题 2 赛门铁克的整体解决方案 3 虚拟化最主要的安全威胁及解决建议（Gartner） 信息安全并不是一开始就接入到虚拟化项目 2009年，40%的虚拟化项目在规划阶段没有安全团队的介入。（更早为50%） 运营团队认为没有改变，具备了技能、流程； 忽略了新引入的虚拟化层；——新的手段、工具；培训等 忽略了职责的分离、工作负载与物理实体的分离的问题；——流程的变更调整 虚拟化层的破坏会导致所有托管工作负荷的破坏 Virtualization Layer成为新的IT基础架构的一部分——工具/流程 虽然攻击界面少，但依然存在漏洞的风险 像基础设施一样的对待：补丁管理、配置管理等 保持该层尽可能地“瘦” 关注并要求IPS厂商研究支持对于该层的攻击特征的检测 不同安全级别的工作负荷存在一台物理机上，缺乏充分的隔离 不同安全域的工作负荷一定程度还需要通过物理网络的隔离技术 Presentation Identifier Goes Here 7 虚拟化最主要的安全威胁及解决建议（Gartner） 现有安全机制中缺乏对VM-to-VM的控制和使其通信可见的手段 虚拟化厂商对VM-to-VM 的通讯通过软件的虚拟网络或者虚拟交换机实现，但不透明。 关注在Hypervisor层的IPS类技术和产品 当下替代方案： 至少应保留在物理网络层面的监控 使用VM上的Host-based的防护软件——工具/流程 缺乏对Hypervisor/VMM层的管理访问控制手段 对该层有多路径的管理手段： 浏览器、命令行、管理工具、console、脚本等 减少管理访问界面（路径），通过受限的区域进行访问 加强管理访问操作的监控、审计——工具/流程 网络管理与安全管理职责分离的局面会因虚拟化而被打破 管理VM与管理 virtual network swiches 可能同是一个虚机平台系统管理员 建议物理网络管理与虚拟网络管理应为同一个team Presentation Identifier Goes Here 8 目录 聚焦服务器虚拟化 1 服务器虚拟化的安全问题 2 赛门铁克的整体解决方案 3 服务器虚拟化防护的基本原则 加固与锁定 覆盖hosts, guests 和Management的深度防护 关注授权，认证，帐号; 关注监控与审计 职责的分离及最小权限原则 管理员权限控制 配置管理 Presentation Identifier Goes Here 10 面向“服务器虚拟化”的安全解决方案 11 虚拟化服务器的安全防护 （面向技术） 虚拟化服务器的安全管理 （面向运维） 提供对虚拟化服务器的管理操作： 1）创建新的虚机、虚拟网络、虚拟磁盘等 2）虚机的开机、关机、挂机、恢复 提供对虚拟化服务器主机信息、硬件利用率等信息的监控 有效的安全工作流程监管 锁定虚拟化服务器(VM/Hypervisor)的安全配置 监控和审计对虚拟化服务器的操作 虚拟化服务器的安全防护（面向技术） Presentation Identifier Goes Here 12 从三个方面的防护（物理机/虚拟机）： Host IPS Host IPS Host IDS 13 Symantec SCSP实时分析服务器上的蛛丝马迹 明确允许/禁止的访问 可能产生风险的ESX虚拟化平台例子 错误配置的主机 改变系统默认配置(例如运行虚拟网卡处于监听模式在一个虚拟交换组里面) 开启了FTP服务，导致信息外泄 错误设置了ESX host (COS)中Linux防火墙规则，导致破坏了必威体育官网网址