虛擬化核心技術(shù)和安全概述-文庫吧資料
2025-01-22 15:34本頁面
【正文】 –“ 如何安全地實(shí)施虛擬化 ” “ 與在物理方案中一樣，多數(shù)安全漏洞都是通過誤配置和管理失誤帶來的 ” 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 虛擬化對數(shù)據(jù)中心安全性的影響 Abstraction and Consolidation ? ↑ Capital and Operational Cost Savings ? ↓ New infrastructure layer to be secured ? ↓ Greater impact of attack or misconfiguration 抽象和整合 ?↑ 節(jié)約資金成本和運(yùn)營成本 ?↓ 需要保護(hù)新的基礎(chǔ)架構(gòu)層 ?↓ 攻擊或錯誤配置會帶來較大影 響 多臺交 換 機(jī)和服 務(wù) 器重合 為 一臺 設(shè)備 ? ↑靈活性 ? ↑節(jié)約 成本 ? ↓缺少虛 擬 網(wǎng) 絡(luò) 可 視 性和控制 能力 ? ↓沒有 “ 默 認(rèn) 隔離 ” 的管理機(jī)制 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 虛擬化對數(shù)據(jù)中心安全性的影響 ? ystems 更快的服 務(wù) 器部署速度 ? ↑IT 響 應(yīng) 速度 ? ↓配置不一致 ?↓過 程定 義較 差 虛 擬 機(jī)移 動 性 ? ↑提高了服 務(wù)級別 ? ↓標(biāo)識 與物理位置分離 虛 擬 機(jī)封裝 ? ↑輕 松 實(shí)現(xiàn)業(yè)務(wù)連續(xù) 性 ?↑一 致的部署 ? ↑獨(dú) 立于硬件 ? ↓過 時 的離 線 系 統(tǒng) 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 哪些是不必?fù)?dān)心的 虛擬機(jī)管理程序攻擊 ? 示例： Blue Pill、SubVirt 等 ? 這些都是極為復(fù)雜的理論性攻擊 ? 安全保護(hù)領(lǐng)域人士普遍認(rèn)為它只有學(xué)術(shù)上的意義 不相干的體系結(jié)構(gòu) ? 示例：大量報告宣稱發(fā)現(xiàn)客戶虛擬機(jī)逸出 ? 多數(shù)只適用于托管體系結(jié)構(gòu)（例如工作站），而不適用于裸機(jī)結(jié)構(gòu)（亦即 ESX） ? 托管體系結(jié)構(gòu) 通常僅在您可以信賴客戶虛擬機(jī)時才適用 設(shè)想的情形 ? 示例： VMotion 截取 ? 造成漏洞的情形： ? 未遵守針對虛擬化的安全增強(qiáng)、鎖定、設(shè)計方面的最佳實(shí)踐， 或者 ? 采用了較差的一般 IT 基礎(chǔ)架構(gòu)安全機(jī)制 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 保護(hù)虛擬機(jī)安全 ?主機(jī) –防病毒軟件 –補(bǔ)丁程序管理 ?網(wǎng)絡(luò) –入侵檢測 /預(yù)防 (IDS/IPS) ?邊緣 –防火墻 提供與物理服務(wù)器一樣的保護(hù) 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 針對虛擬化層的安全設(shè)計 基本 設(shè)計 原 則 ? 隔離所有管理網(wǎng) 絡(luò) ? 禁用所有不必要的服 務(wù) ? 嚴(yán) 格 規(guī) 范所有管理 訪問 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 實(shí)施強(qiáng)硬的訪問控制 安全原則 在 虛擬環(huán)境中的實(shí)施 最低特權(quán) 角色只具有必需的特權(quán) 職責(zé)分離 角色只適用于必需的對象 管理員 操作員 用戶 Anne Harry Joe 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 安全性與遵從性管理控制 要求 VMware 產(chǎn)品 合作伙伴產(chǎn)品 配置管理、監(jiān)控、審核 VMware vCenter Server VMware vSphere 主機(jī)配置 文件 （將來提供） VMware vCenter ConfigControl Configuresoft ECM for Virtualization NetIQ Secure Configuration Manager Tripwire Enterprise for VMware 可審核、可重復(fù)的過程 VMware vCenter Orchestrator VMware vCenter Lifecycle Manager 離線虛擬機(jī)更新 VMware Update Manager Shavlik NetChk Protect 虛擬網(wǎng)絡(luò)安全 VMware vShield Zones vNetwork 分布式交換機(jī) Cisco、 Checkpoint、 Reflex、Third Brigade 多 樣 化而且不斷壯大的 產(chǎn) 品體系有助于 提供安全的 VMware Infrastructure 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 虛擬化的安全優(yōu)勢 易于維護(hù) ?全面推廣前，可以在受控環(huán)境中針對多種配置測試補(bǔ)丁程序 –嘗試某些有風(fēng)險的配置前，可以使用快照保存虛擬機(jī)的已知良好狀態(tài) ?可以將生產(chǎn)虛擬機(jī)克隆后離線執(zhí)行修改，同時讓原虛擬機(jī)保持 繼續(xù)運(yùn)行 –可以將更新后的虛擬機(jī)與以前的版本并行啟動 –可根據(jù)需要讓兩者都運(yùn)行足夠長的時間，以驗證新配置 數(shù)據(jù)中心高級研修班 第二章：虛擬化核心技術(shù)和安全 虛擬化的安全優(yōu)勢 易于恢復(fù) ?可以從上一個已知良好的備份恢復(fù) ?可以在隔離狀態(tài)應(yīng)用補(bǔ)丁程序，然后再聯(lián)機(jī) 能夠執(zhí)行辨證分析 ?可在隔離狀態(tài)下啟動受黑客攻擊的虛
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1