第二章虛擬化核心技術(shù)和安全(文件)
【正文】 內(nèi)存 頁 在由虛 擬 機(jī)使用前一律清零 虛 擬 網(wǎng) 絡(luò) ? 不存在 鏈 接虛 擬 交 換 機(jī)的代 碼 ? 虛 擬 交 換 機(jī)不會受到學(xué) 習(xí)型或 橋 接型攻 擊 虛 擬 存 儲 ? 虛 擬 機(jī)只能看到虛 擬 SCSI 設(shè)備 ，而看不到 實際 存 儲 ? 由 VMFS 使用 SCSI 文件鎖強(qiáng) 制 實 施虛 擬 機(jī) 對 虛 擬磁 盤 的獨占 訪問 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 ESX 虛擬機(jī)管理程序：堅實可靠的基礎(chǔ) MSFT / Xen 體系 結(jié) 構(gòu) VMware 體系 結(jié) 構(gòu) ? 精 簡 自定 義 內(nèi)核 更少 補(bǔ) 丁程序 更少攻 擊 ? 針對 VMware 優(yōu) 化的 驅(qū)動 程序 更 為穩(wěn) 定 ? 直接 驅(qū)動 程序模型 更高的 I/O 吞吐量 ? 大型通用操作系 統(tǒng) 頻 繁添加 補(bǔ) 丁 更多攻 擊 ? 通用的第三方 驅(qū)動 程序 欠 穩(wěn) 定 ? 間 接 驅(qū)動 程序模型 負(fù)載時 I/O 性能下降 Drivers Drivers Virtual Machine Virtual Machine Drivers Virtual Machine 驅(qū)動 程序 驅(qū)動 程序 虛 擬 機(jī) 虛 擬 機(jī) 驅(qū)動 程序 虛 擬 機(jī) 驅(qū)動 程序 驅(qū)動 程序 虛 擬 機(jī) 驅(qū)動 程序 驅(qū)動 程序 虛 擬 機(jī) Dom0 (Linux) 或 父 級 虛 擬 機(jī) (Windows) 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 安全實現(xiàn) 瘦 Hypervisor ESXi ?緊湊的 100 MB 占用空間 –更少補(bǔ)丁程序 –更小的受攻擊面 ?無需通用管理操作系統(tǒng) –服務(wù)器上不運行任意碼 –不易受常見威脅影響 –唯一不受操作系統(tǒng)影響的 專門針對虛擬化的設(shè)計 ESXi 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 安全實現(xiàn) ? 平臺安全強(qiáng)化 ? 完善的內(nèi)存保護(hù)功能 – ASLR – 隨機(jī)確定核心內(nèi)核模塊 在內(nèi)存中的加載位置 – NX/XD – 將內(nèi)存的可寫區(qū)域標(biāo)記為 不可執(zhí)行 ? 內(nèi)核完整性 –數(shù)字簽名 – 確保模塊、驅(qū)動程序和 應(yīng)用程序在由 VMkernel 加載時的 完整性和真實性 –模塊簽名 – 使 ESX 具備識別模塊、 驅(qū)動程序或應(yīng)用程序的提供者以及 它們是否取得 VMware 認(rèn)證的能力 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 安全開發(fā)生命周期流程 ? 全面實現(xiàn)安全性的方式 – 培訓(xùn) – 體系結(jié)構(gòu)風(fēng)險分析 /威脅建模 – 最佳實踐和遵從性要求 – 自動和手動代碼分析 – 安全性測試 – 響應(yīng) ? 在各階段都讓第三方專家參與 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 經(jīng)驗證，受廣大用戶信任 ?成千上萬客戶已在生產(chǎn) 環(huán)境中應(yīng)用 –已通過美國數(shù)家最大銀行的安全審查并投入生產(chǎn)使用 –已通過國防和安全機(jī)構(gòu)的 嚴(yán)格審查 ? VMware 技術(shù)被選為美國 國家安全局 (NSA) 虛擬化工作站的基礎(chǔ) 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 經(jīng)過獨立驗證 ? Common Criteria EAL 認(rèn)證 – CC EAL 4+ 認(rèn)證 ? 最高的認(rèn)證級別 ? ESX 已獲此認(rèn)證； ESX 即將獲得 ? 針對 ESX 的 DISA STIG –獲準(zhǔn)在美國國防部 (DoD) 信息 系統(tǒng)中使用 ? NSA Central Security Service –針對數(shù)據(jù)中心和臺式機(jī)方案的 指導(dǎo) 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 最大的安全風(fēng)險：操作 ?Neil MacDonald –“ 如何安全地實施虛擬化 ” “ 與在物理方案中一樣，多數(shù)安全漏洞都是通過誤配置和管理失誤帶來的 ” 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 虛擬化對數(shù)據(jù)中心安全性的影響 Abstraction and Consolidation ? ↑ Capital and Operational Cost Savings ? ↓ New infrastructure layer to be secured ? ↓ Greater impact of attack or misconfiguration 抽象和整合 ?↑ 節(jié)約資金成本和運營成本 ?↓ 需要保護(hù)新的基礎(chǔ)架構(gòu)層 ?↓ 攻擊或錯誤配置會帶來較大影 響 多臺交 換 機(jī)和服 務(wù) 器重合 為 一臺 設(shè)備 ? ↑靈活性 ? ↑節(jié)約 成本 ? ↓缺少虛 擬 網(wǎng) 絡(luò) 可 視 性和控制 能力 ? ↓沒有 “ 默 認(rèn) 隔離 ” 的管理機(jī)制 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 虛擬化對數(shù)據(jù)中心安全性的影響 ? ystems 更快的服 務(wù) 器部署速度 ? ↑IT 響 應(yīng) 速度 ? ↓配置不一致 ?
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1