摘要：相比于傳統(tǒng)架構(gòu)，服務(wù)器虛擬化技術(shù)實(shí)現(xiàn)了計(jì)算、網(wǎng)絡(luò)和存儲(chǔ)資源的統(tǒng)一管理，具有更高的平臺(tái)投資效費(fèi)比、簡(jiǎn)化管理難度及擴(kuò)展性強(qiáng)等優(yōu)勢(shì)，將其應(yīng)用于黨政內(nèi)網(wǎng)及軍工涉密等信息敏感程度高和網(wǎng)絡(luò)安全重要性強(qiáng)的領(lǐng)域，建設(shè)基于服務(wù)器虛擬化技術(shù)的數(shù)據(jù)中心，對(duì)其網(wǎng)絡(luò)安全方面提出了更高的挑戰(zhàn)。文章通過分析服務(wù)器虛擬化涉及的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)點(diǎn)，提出了選用國(guó)產(chǎn)自主可控的安全虛擬化產(chǎn)品、三網(wǎng)分離、安全域劃分等網(wǎng)絡(luò)安全設(shè)計(jì)思路，在提升數(shù)據(jù)中心運(yùn)行效能的前提下，使得數(shù)據(jù)中心網(wǎng)絡(luò)更加安全、可靠。
關(guān)鍵詞：服務(wù)器虛擬化;數(shù)據(jù)中心;網(wǎng)絡(luò)安全
在新的信息技術(shù)不斷革新，網(wǎng)絡(luò)安全形勢(shì)復(fù)雜變化的大背景下，虛擬化技術(shù)作為云計(jì)算的關(guān)鍵技術(shù)，逐漸顯現(xiàn)了其在數(shù)據(jù)集中管控、安全邊界收緊、用戶策略統(tǒng)一管理等安全優(yōu)點(diǎn)，并在減少投資、降低管理成本、提高資源利用效率等方面具有優(yōu)勢(shì)。將虛擬化技術(shù)應(yīng)用于黨政內(nèi)網(wǎng)及軍工涉密等信息敏感程度較高的領(lǐng)域的需求是迫切的，本文在深入分析虛擬化環(huán)境下信息系統(tǒng)安全風(fēng)險(xiǎn)的基礎(chǔ)上，基于國(guó)產(chǎn)自主可控的安全虛擬化產(chǎn)品，從虛擬化資源管理系統(tǒng)安全、身份認(rèn)證與管理、安全監(jiān)控與審計(jì)、病毒與惡意代碼防護(hù)、端口及介質(zhì)管控、管理平臺(tái)安全等方面進(jìn)行了安全設(shè)計(jì)和產(chǎn)品實(shí)現(xiàn)，有效控制了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。
1 安全風(fēng)險(xiǎn)分析通過對(duì)虛擬化環(huán)境下數(shù)據(jù)中心網(wǎng)絡(luò)安全風(fēng)險(xiǎn)進(jìn)行整理及評(píng)估。
虛擬機(jī)間攻擊的風(fēng)險(xiǎn)惡意虛擬機(jī)通過攻擊物理機(jī)影響其他虛擬機(jī)傳統(tǒng)系統(tǒng)中主機(jī)互相獨(dú)立，不存在此風(fēng)險(xiǎn)，而虛擬化環(huán)境下由于多個(gè)虛擬機(jī)運(yùn)行在同一物理機(jī)內(nèi)，虛擬機(jī)有可能對(duì)物理機(jī)內(nèi)其他虛擬機(jī)實(shí)施攻擊，需要能夠隔離防護(hù)這種攻擊虛擬機(jī)間的流量繞過監(jiān)控與審計(jì)措施傳統(tǒng)系統(tǒng)內(nèi)主機(jī)之間的流量可被傳統(tǒng)網(wǎng)絡(luò)監(jiān)控審計(jì)措施監(jiān)管，而傳統(tǒng)措施無法用于虛擬化環(huán)境的監(jiān)控與審計(jì)，需要有技術(shù)措施對(duì)虛擬化信息系統(tǒng)內(nèi)的流量進(jìn)行控制，監(jiān)控與審計(jì)措施能夠發(fā)現(xiàn)虛擬機(jī)之間的攻擊行為用戶違規(guī)操作的風(fēng)險(xiǎn)用戶試圖對(duì)虛擬機(jī)內(nèi)配置進(jìn)行修改傳統(tǒng)系統(tǒng)內(nèi)主機(jī)內(nèi)部的操作可被傳統(tǒng)審計(jì)工具檢測(cè)，而虛擬化環(huán)境下的主要操作在虛擬機(jī)，需要采用安全產(chǎn)品對(duì)虛擬機(jī)內(nèi)的操作進(jìn)行審計(jì)監(jiān)控用戶突破安全規(guī)則使用虛擬機(jī)資源傳統(tǒng)系統(tǒng)的用戶只能操作本地資源，而虛擬化環(huán)境下的主要操作在虛擬機(jī)。
虛擬機(jī)有可能突破規(guī)則使用虛擬化信息系統(tǒng)資源，需要保證虛擬機(jī)間的資源隔離，并能監(jiān)控和審計(jì)虛擬機(jī)使用情況管理員配置管理的風(fēng)險(xiǎn)管理員擁有過多的虛擬機(jī)平臺(tái)管理權(quán)限傳統(tǒng)系統(tǒng)管理員擁有的權(quán)限主要在于應(yīng)用系統(tǒng)和管理系統(tǒng)，而虛擬化環(huán)境下管理員掌握了所有的虛擬化資源，具有權(quán)限較大，需要對(duì)管理員嚴(yán)格進(jìn)行權(quán)限劃分和制約管理員對(duì)虛擬化管理平臺(tái)的非法操作或誤操作傳統(tǒng)系統(tǒng)如果出現(xiàn)管理員非法配置操作一般只會(huì)影響業(yè)務(wù)系統(tǒng)，而虛擬化環(huán)境下管理員對(duì)虛擬化管理平臺(tái)的非法操作會(huì)影響整個(gè)虛擬化信息系統(tǒng)。
需要有機(jī)制降低管理員的錯(cuò)誤配置風(fēng)險(xiǎn)，并監(jiān)控與審計(jì)其操作系統(tǒng)配置管理日志泄露 傳統(tǒng)系統(tǒng)也存在此風(fēng)險(xiǎn)，而虛擬化環(huán)境下系統(tǒng)日志涉及整個(gè)系統(tǒng)的信息安全，對(duì)重要管理日志需要加強(qiáng)保護(hù)數(shù)據(jù)混雜風(fēng)險(xiǎn)不同密級(jí)虛擬機(jī)共用物理主機(jī)傳統(tǒng)系統(tǒng)不同密級(jí)服務(wù)器是分離的計(jì)算機(jī)設(shè)備，數(shù)據(jù)能夠有效隔離，而虛擬化環(huán)境下虛擬機(jī)可以共用物理主機(jī)，網(wǎng)絡(luò)邊界也較模糊，不同虛擬機(jī)的數(shù)據(jù)有可能混雜，用戶數(shù)據(jù)隱私和保密受到挑戰(zhàn)不同密級(jí)虛擬機(jī)共用存儲(chǔ)設(shè)備傳統(tǒng)系統(tǒng)不同密級(jí)服務(wù)器的存儲(chǔ)是分離的，不涉及此風(fēng)險(xiǎn)，而虛擬化環(huán)境下不同密級(jí)安全區(qū)域可能存在共用存儲(chǔ)集群的情況，需要對(duì)存儲(chǔ)設(shè)備進(jìn)行隔離與訪問控制，以保證不同安全域?qū)?shù)據(jù)的隔離數(shù)據(jù)泄露風(fēng)險(xiǎn)虛擬機(jī)遷移時(shí)數(shù)據(jù)被非法復(fù)制或掛載傳統(tǒng)系統(tǒng)不涉及此風(fēng)險(xiǎn)，而虛擬化環(huán)境下虛擬機(jī)發(fā)生遷移過程中，數(shù)據(jù)卷可能被非法復(fù)制，需要保證遷移時(shí)不跨密級(jí)并清除原有數(shù)據(jù)系統(tǒng)底層漏洞風(fēng)險(xiǎn)虛擬機(jī)監(jiān)控器漏洞 傳統(tǒng)系統(tǒng)不存在此風(fēng)險(xiǎn)，而虛擬化環(huán)境下增加了虛擬機(jī)監(jiān)控器一層，負(fù)責(zé)物理資源的調(diào)度，責(zé)任重大。
若采用存在后門的國(guó)外虛擬機(jī)監(jiān)控器，將會(huì)影響整個(gè)虛擬化信息系統(tǒng)的數(shù)據(jù)安全硬件設(shè)備內(nèi)含有惡意代碼傳統(tǒng)系統(tǒng)也存在此風(fēng)險(xiǎn)，而虛擬化環(huán)境下由于所有虛擬機(jī)運(yùn)行在虛擬化信息系統(tǒng)的硬件內(nèi)，若硬件底層存在惡意代碼，則整個(gè)虛擬化信息系統(tǒng)的安全受到威脅，需要技術(shù)措施(如 TPM 芯片技術(shù))保證設(shè)備完整可信機(jī)房物理設(shè)施風(fēng)險(xiǎn) 機(jī)房被未授權(quán)人員進(jìn)入 傳統(tǒng)系統(tǒng)的數(shù)據(jù)中心規(guī)模相對(duì)較小，而虛擬化信息系統(tǒng)機(jī)房部署了大量核心設(shè)備，攻擊影響面巨大，需要在機(jī)房設(shè)施門禁增強(qiáng)鑒別措施虛擬化信息系統(tǒng)災(zāi)難風(fēng)險(xiǎn)重要數(shù)據(jù)丟失 傳統(tǒng)系統(tǒng)數(shù)據(jù)中心面向的用戶面較小，而虛擬化信息系統(tǒng)一旦發(fā)生災(zāi)難會(huì)導(dǎo)致所有數(shù)據(jù)丟失，需要增強(qiáng)備份恢復(fù)機(jī)制重要業(yè)務(wù)被中斷 傳統(tǒng)系統(tǒng)數(shù)據(jù)中心只運(yùn)行應(yīng)用業(yè)務(wù)，而虛擬化信息系統(tǒng)運(yùn)行所有虛擬機(jī)，發(fā)生災(zāi)難會(huì)導(dǎo)致全部業(yè)務(wù)終止，應(yīng)急和恢復(fù)需要迅速響應(yīng)。
2 網(wǎng)絡(luò)安全設(shè)計(jì)
2.1 選用國(guó)產(chǎn)自主可控的安全虛擬化產(chǎn)品相比于 VMware、Citrix 等國(guó)外虛擬化產(chǎn)品，國(guó)產(chǎn)自主可控的安全虛擬化產(chǎn)品具有全自主國(guó)產(chǎn)化優(yōu)勢(shì)，獲得了相關(guān)保密資質(zhì)，更安全可控;符合涉密信息系統(tǒng)分級(jí)保護(hù)要求，強(qiáng)化了虛擬化內(nèi)核安全，從結(jié)構(gòu)和全面性上保證了虛擬化環(huán)境的體系性安全。
2.2 安全域劃分及邊界防護(hù)
根據(jù)系統(tǒng)處理信息的密級(jí)、責(zé)任單位、業(yè)務(wù)等將網(wǎng)絡(luò)劃分為不同的安全域，如終端安全域、安全管理服務(wù)器安全域、業(yè)務(wù)應(yīng)用服務(wù)器安全域等。為了減少虛擬機(jī)隱通道攻擊的風(fēng)險(xiǎn)，服務(wù)器虛擬化系統(tǒng)將隸屬于不同安全域的虛擬服務(wù)器以獨(dú)立集群方式建設(shè)，位于不同安全域的虛擬服務(wù)器所使用的宿主機(jī)、存儲(chǔ)、交換機(jī)等均物理分開，確保不同密級(jí)的虛擬服務(wù)器不共享計(jì)算、存儲(chǔ)等物理設(shè)備。針對(duì)不同的集群，分別劃分 2個(gè)安全域：服務(wù)器安全域-虛擬化、服務(wù)器虛擬化集群管理安全域。在安全域邊界采用防火墻進(jìn)行安全域間的訪問控制。
2.3 三網(wǎng)分離
服務(wù)器虛擬化系統(tǒng)通過隔離網(wǎng)絡(luò)平面將業(yè)務(wù)流進(jìn)行分化，將虛擬化資源管理系統(tǒng)劃分為業(yè)務(wù)網(wǎng)平面、存儲(chǔ)網(wǎng)平面和管理網(wǎng)平面，并且三個(gè)平面之間是隔離的，避免不同數(shù)據(jù)流交叉，混雜傳輸。業(yè)務(wù)網(wǎng)平面：為用戶提供業(yè)務(wù)通道，為虛擬機(jī)虛擬網(wǎng)卡的通信平面，對(duì)外提供業(yè)務(wù)應(yīng)用。存儲(chǔ)網(wǎng)平面：為存儲(chǔ)設(shè)備提供通信平面，并為虛擬機(jī)提供存儲(chǔ)資源，但不直接與虛擬機(jī)通信，而通過虛擬化資源管理系統(tǒng)轉(zhuǎn)化。管理網(wǎng)平面：負(fù)責(zé)整個(gè)虛擬化系統(tǒng)的管理、業(yè)務(wù)部署、系統(tǒng)加載等流量的通信。
2.4 物理安全門控措施：
數(shù)據(jù)中心機(jī)房設(shè)置雙人認(rèn)證方式的門禁系統(tǒng)，嚴(yán)格落實(shí)審批登記管理制度。設(shè)備安放：服務(wù)器虛擬化系統(tǒng)的宿主機(jī)、集中存儲(chǔ)等關(guān)鍵硬件設(shè)備所在機(jī)柜加鎖防護(hù)，并確保在攝像頭覆蓋范圍內(nèi)，24 小時(shí)視頻監(jiān)控。設(shè)備數(shù)據(jù)接口：在服務(wù)器虛擬化系統(tǒng)的宿主機(jī)上安裝計(jì)算機(jī)及移動(dòng)存儲(chǔ)介質(zhì)管理系統(tǒng)，對(duì)光驅(qū)、軟驅(qū)、USB 口、并口、串口等進(jìn)行管控，防止被非授權(quán)使用。設(shè)備維修：機(jī)房巡檢、設(shè)備維修維護(hù)等，至少 2 名機(jī)房運(yùn)維管理人員同進(jìn)同出，外來人員進(jìn)入機(jī)房，機(jī)房運(yùn)維管理人員全程旁站陪同。在對(duì)服務(wù)器虛擬化系統(tǒng)宿主機(jī)、存儲(chǔ)等關(guān)鍵硬件設(shè)備進(jìn)行維護(hù)時(shí)，至少 2 名機(jī)房運(yùn)維管理人員同時(shí)在場(chǎng)方可進(jìn)行物理設(shè)備操作。
2.5 運(yùn)行安全
(1)備份與恢復(fù)虛擬化資源管理系統(tǒng)的服務(wù)器采用雙機(jī)熱備方式部署，出現(xiàn)系統(tǒng)故障時(shí)，可實(shí)現(xiàn)快速恢復(fù)或自動(dòng)切換。采用備份系統(tǒng)對(duì)虛擬機(jī)進(jìn)行定期自動(dòng)備份，當(dāng)虛擬機(jī)崩潰或系統(tǒng)異常時(shí)對(duì)其進(jìn)行恢復(fù)，保證磁盤文件和系統(tǒng)存儲(chǔ)的完整性;對(duì)應(yīng)用相關(guān)數(shù)據(jù)(數(shù)據(jù)庫、非結(jié)構(gòu)化業(yè)務(wù)數(shù)據(jù)、系統(tǒng)配置文件、日志文件等)進(jìn)行定期自動(dòng)備份，當(dāng)應(yīng)用相關(guān)數(shù)據(jù)因誤刪或損壞時(shí)對(duì)其進(jìn)行恢復(fù)，保證應(yīng)用數(shù)據(jù)的完整性。(2)惡意代碼與計(jì)算機(jī)病毒防治虛擬化環(huán)境下采用輕代理的防病毒方案，在宿主機(jī)和虛擬機(jī)上安裝防病毒軟件驅(qū)動(dòng)進(jìn)行病毒查殺和實(shí)時(shí)監(jiān)控。
(3)虛擬機(jī)安全監(jiān)控與審計(jì)在虛擬機(jī)中安裝審計(jì)監(jiān)控客戶端軟件，實(shí)現(xiàn)虛擬機(jī)中的操作行為審計(jì)。包括對(duì)主機(jī)狀態(tài)、配置信息、賬戶、進(jìn)程、服務(wù)、主機(jī)網(wǎng)絡(luò)連接、打印、刻錄、非授權(quán)接入、共享、補(bǔ)丁安裝、文件和目錄操作、違規(guī)以及異常行為進(jìn)行監(jiān)控和審計(jì)。將服務(wù)器虛擬化系統(tǒng)中的虛擬交換機(jī)流量外遷至指定虛擬交換機(jī)端口和物理交換機(jī)端口，之后再接入入侵檢測(cè)系統(tǒng)，監(jiān)控宿主機(jī)內(nèi)各虛擬機(jī)之間的網(wǎng)絡(luò)行為。利用國(guó)產(chǎn)化安全虛擬化產(chǎn)品自身對(duì)虛擬資源管理、虛擬機(jī)管理、賬戶管理、策略設(shè)置等管理員操作行為和系統(tǒng)事件、資源狀況、更新維護(hù)等行為進(jìn)行審計(jì)。(4)端口及介質(zhì)管控在宿主機(jī)和虛擬機(jī)中安裝計(jì)算機(jī)及移動(dòng)存儲(chǔ)介質(zhì)管理系統(tǒng)客戶端，進(jìn)行違規(guī)外聯(lián)監(jiān)控，以及端口使用控制、監(jiān)控和審計(jì)，并對(duì)違規(guī)外聯(lián)行為進(jìn)行報(bào)警和阻斷。(5)運(yùn)維安全設(shè)置專門用于服務(wù)器虛擬化運(yùn)維管理的終端，進(jìn)行地址綁定，專人使用，運(yùn)維人員對(duì)該終端的使用采取視頻監(jiān)控;宿主機(jī)的運(yùn)維管理網(wǎng)絡(luò)單獨(dú)組網(wǎng)。
(6)虛擬化資源管理系統(tǒng)安全加固宿主機(jī)的操作系統(tǒng)均采用經(jīng)過剪裁的 Linux 系統(tǒng)，在剪裁過程中，僅保留必要的硬件驅(qū)動(dòng)及虛擬化資源管理必要的服務(wù)，僅開放虛擬機(jī)管理系統(tǒng)進(jìn)行業(yè)務(wù)管理必需的網(wǎng)絡(luò)端口，針對(duì)有限的開放端口也進(jìn)行綁定保護(hù)。關(guān)閉不必需的多余賬戶，并對(duì) root 賬戶進(jìn)行加固，禁止使用 root 賬戶直接登錄，提高賬戶密碼復(fù)雜性要求，減少密碼錯(cuò)誤重試次數(shù)，并增大重試錯(cuò)誤后的間隔期，提高系統(tǒng)在密碼暴力破解面前的安全性。對(duì)系統(tǒng)重要組件和文件進(jìn)行定期文件一致性檢查，確保系統(tǒng)的安全性。(7)虛擬機(jī)安全管理制訂虛擬服務(wù)器使用管理制度，對(duì)虛擬服務(wù)器的申請(qǐng)、審批、創(chuàng)建、使用、廢止等環(huán)節(jié)進(jìn)行全生命周期管控，明確根賬號(hào)的管理、虛擬服務(wù)器管理、鏡像模板管理、機(jī)房進(jìn)出、運(yùn)維管理、備份與恢復(fù)、應(yīng)急演練等。(8)安全性能檢測(cè)采用漏洞掃描系統(tǒng)，定期對(duì)服務(wù)器虛擬化系統(tǒng)進(jìn)行漏洞檢測(cè)、分析和評(píng)估，及時(shí)發(fā)現(xiàn)存在的安全漏洞并進(jìn)行修復(fù)。
2.6 信息安全
(1)物理隔離服務(wù)器虛擬化系統(tǒng)與互聯(lián)網(wǎng)及其他公共信息網(wǎng)絡(luò)物理隔離。(2)虛擬機(jī)密級(jí)標(biāo)識(shí)服務(wù)器虛擬化系統(tǒng)中，根據(jù)虛擬機(jī)處理涉密信息的最高密級(jí)，標(biāo)識(shí)其虛擬機(jī)的密級(jí)。密級(jí)標(biāo)識(shí)與虛擬機(jī)不可分離，并在其全生命周期過程中不得非授權(quán)修改。(3)身份認(rèn)證管理員登錄虛擬化資源管理系統(tǒng)，業(yè)務(wù)用戶登錄應(yīng)用系統(tǒng)均采用基于雙因子身份鑒別方式，如數(shù)字證書的 USBKey 與 PIN 碼相結(jié)合的方式進(jìn)行身份認(rèn)證。
3 結(jié)語
基于服務(wù)器虛擬化技術(shù)作為數(shù)據(jù)中心的基礎(chǔ)架構(gòu)，雖然使得數(shù)據(jù)中心運(yùn)行更加高效，但其安全隱患也非常多。本文梳理了涉及的各種網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，提出了相應(yīng)的安全設(shè)計(jì)思路，可供各種應(yīng)用場(chǎng)景進(jìn)行參考，尤其是政府內(nèi)網(wǎng)及軍工涉密等領(lǐng)域。在保障服務(wù)器虛擬化為數(shù)據(jù)中心提供高效的技術(shù)架構(gòu)的前提下，強(qiáng)化網(wǎng)絡(luò)安全的研究設(shè)計(jì)，更好服務(wù)于各種應(yīng)用場(chǎng)景。
參考文獻(xiàn)：
[1]苑順周，姚曉冬，刑羽.基于超融合技術(shù)的數(shù)據(jù)中心網(wǎng)絡(luò)安全設(shè)計(jì)[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2021.
[2]翟勝軍.談分級(jí)保護(hù)網(wǎng)絡(luò)中的安全域劃分[J].保密科學(xué)技術(shù)，2011.
[3]向嵬，王東.計(jì)算機(jī)技術(shù)中虛擬化技術(shù)的運(yùn)用研究[J].計(jì)算機(jī)工程應(yīng)用技術(shù)，2021.
[4]張玉賀，李陸，續(xù)煥超，等.國(guó)產(chǎn)服務(wù)器虛擬化操作系統(tǒng)的應(yīng)用與實(shí)踐[J].網(wǎng)信軍民融合，2019.
作者：金俊玲 王昕
相關(guān)閱讀
