云安全与安全虚拟化.pdfx

《云安全与安全虚拟化.pdfx》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、云安全与安全虚拟化----虚拟化安全与安全虚拟化初探王智民汉柏科技有限公司本文主要探讨的问题•云计算模式下的终端、管道、数据中心的安全问题及解决方案•云数据中心（即虚拟化的数据中心）的安全问题及解决方案•为什么信息安全防护需要虚拟化•信息安全防护如何虚拟化云计算概述何为云计算云计算的商业逻辑是什么？按需提供服务（租用）降低成本云计算的核心技术是什么？虚拟化与集群化一变多与多变一数据中心的云计算解决方案数据中心与云云的特征数据中心的特征大规模计算大规模计算大规模存储大规模存储大规模网络大规模网络提供灵活服务云数据中心关键指标适应多租户的服务提供

2、能力--需要对计算、存储、网络进行“切片（slice）”适应多租户的服务保障能力--需要对计算、存储、网络进行“集群化”如何切片虚拟化如何集群化调度与备份云计算之安全云计算面临的安全问题数据中心安全问题•访问控制终端安全问题通道安全问题•带宽保障•安全漏洞•数据传输加密•入侵攻击•安全合规性•带宽管理•应用交付•非法终端•质量保障•数据安全•…•…•…虚拟计算环境的安全问题存储在VM内部的数据以及VMVM与VM之间、与存储设备或VM与IO之间的运行在VM上的网络中的数据安全问题：应用安全问题：访问安全问题：身份认证、负隔离、攻击等敏感数据检测载均衡、NA

3、T、与审计、身份DDoS、IPS等等认证等边界应用数据安全安全安全VM管理安全问题：迁移、逻辑安全域隔离与访问虚拟网络环境的安全问题外界访问内部提供服务的保用户数据传输一个或多个VM障安全问题：安全问题：的安全问题：流量保障、应加密等攻击、入侵、用交付等隐藏等边界应用数据安全安全安全“网络”管理安全问题：流量可视、安全事件预测、报警、处理等虚拟存储环境的安全问题安全问题1：不同用户的数据隔离安全问题2：用户数据备份、丢失恢复主机OS能够识别的最小逻辑单元是LUN，存储控制器管理存储阵列一般按照RAID->LUNmappingandmasking方式存储控制器

4、给主机OS分配LUN的方式有两种：1）按照存储控制器上的接口来映射，凡是能够连接到此接口的主机OS都共享这么大的存储空间LUN2）按照主机这边的网卡（iSCSI是initator分配的uuid号，FC是HBA网卡分配的wwpn号）分配的号来做LUN映射主机OS是如何管理LUN呢？主机OS（或者说hypervisor）会基于LUN做LV的划分管理安全隐患在哪里？1）存储控制器做LUN映射和分配的时候，可能存在超级管理员的风险，同时可能存在软件漏洞的风险2）主机hypervisor这段做LV的管理时候，同样存在超级管理员风险，同时也存在软件漏洞的风险云数据中心的

5、安全问题安全问题1：跨云的安全管理与监控安全问题2：云内部的安全风险识别、防范、安全事件的及时响应安全问题3：国家范围内的网络安全统一监控、控制、应急系统云计算之安全虚拟计算环境安全问题分析及解决方案边界安全（网络边界、存储边界）应用安全数据安全虚拟计算环境下的网络边界安全问题1.传统风险依旧，防护对象扩大一方面，一些安全风险并没有因为虚拟化的产生而规避。针对每个虚拟机，其业务承载和服务提供和原有的单台服务器基本相同，因此传统模型下的服务器所面临的问题虚拟机也同样会遇到另一方面，服务器虚拟化的出现，扩大了需要防护的对象范围，如IPS入侵防御系统就需要考虑以H

6、ypervisor和vCenter为代表的特殊虚拟化软件，由于其本身所处的特殊位置和在整个系统中的重要性，任何安全漏洞被利用，都将可能导致整个虚拟化环境的全部服务器的配置混乱或业务中断。2.VM之间产生新安全访问风险1)如何判断VM之间的二层流量交换是规则允许范围内的合法访问还是非法访问？2)更进一步，即使不同VM之间的流量允许交换，如何判断这些流量是否存在诸如针对应用层安全漏洞的网络攻击行为？虚拟计算环境下的网络边界安全问题纵向流量包括从客户端到服务器侧的正常流量访问请求，以及不同VM之间的三层转发的流量。这些流量的共同特点是其交换必然经过外置的硬件安全防

7、护层，我们也称之为纵向流量控制层一方面，这些流量的防护方式，和传统的数据中心的安全防护相比没有本质区别另一方面，在虚拟化环境下的云安全部署，因为可能存在多租户*的服务模型，因此对于设备的虚拟化实现程度又有了更高的要求虚拟计算环境下的网络边界安全问题VM之间的横向流量安全是在虚拟化环境下产生的特有问题，在这种情况下，同一个服务器的不同VM之间的流量将直接在服务器内部实现交换，导致外层网络安全管理员无法对这些流量进行监控或者实施各种高级安全策略如防火墙规则或者入侵防御规则虚拟计算环境下的网络边界安全问题在服务器的虚拟化过程中，以VMware为代表的虚拟化厂商，通

8、过在服务器Hypervisor层集成vSwitch虚