虚拟化的安全叶润国

《虚拟化的安全叶润国》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、虚拟化的安全青山（叶润国）核心研究院2012-07-20启明星辰技术大练兵虚拟化环境安全需求数据安全确保数据存储的安全确保数据传输的安全确保数据处理的安全数据安全保护传统安全产品解决虚拟化安全虚拟化环境安全产品解决方案设想ESX/Hypver-V/KVM/FronwareAPPOSAPPOSVMwarevCenter/SCVMM/oVirt/FronwarevCenter云安全产品管配平台(VSecManager)APPOSAPPOSAPPOSAPPOSAPPOSAPPOSSAN域间访问控制域内访问控制虚拟终端安全用户数据安全Vmware的虚拟化安全产品套件

2、正在研发的云管配平台产品云管配服务器(vSecManager)安全产品虚拟器件库管理中心虚拟化平台虚拟化管理中心(vCenter)WebBrowser泰合团队：实现一个可对启明星辰的虚拟化安全产品进行自动部署、集中管理和集中监控的安全管理平台。第一版情况：支持VMWarevsphere；支持vUTM和vTDS管理域间访问控制解决方案通过VLAN等技术实现虚拟域的隔离然后通过网关形式虚拟安全产品实现两个或多个隔离的虚拟域之间的通信和访问控制。VmwarevshieldEdgeVenustechvUTMvDSvSWvSWAPPOSAPPOSAPPOSAPPOST

3、enantA(VLAN101)publicnetworkpublicnetworkESX1ESX2vShieldedge网关一个标准虚拟机；拥有内外网卡；路由模式；端口组网络安全；提供边界防护安全服务。访问控制：vUTM虚拟机形态安全网关虚拟化和云计算研究课题介绍一虚拟机内省安全监控研究二分布式虚拟防火墙研究三虚拟环境覆盖网络研究四虚拟磁盘加密研究项目五离线VM安全检测项目基于内省API的虚拟安全产品研究安全虚拟机为特权虚拟机，通过虚拟化层内省API实现对其它虚拟机的安全监控允许安全虚拟机对其它虚拟机CPU、内存、网络流和磁盘I/O进行监控安全虚拟机可高效实

4、现各种安全功能，包括FW、HIPS、NIPS、AV等IDS/IPSWeb应用程序保护应用程序控制防火墙深度包检测日志审计保护Web应用安全漏洞减低攻击层面.防止DoS&产品瑕疵监察扫描从海量数据中优化以及辨识重要安全事件完整性监控在重要系统目录，文件，注册表项中检测恶意和未经授权的更改病毒查杀测并拦截恶意软件（网络威胁，病毒和蠕虫，木马）侦测和阻止透过安全漏洞发动的已知跟零日攻击在应用程序访问网络的过程中提供更高的可视性以及监控VmsafebasedDeepSecurity产品本项目在研情况目前正和北航合作。安全内省API设计（KVM内省API封装）提供对应

5、的虚拟机内存访问对虚拟机提供保护机制（非法阻断和响应）提高对虚拟机内存和磁盘和网络IO访问性能分布式虚拟防火墙研究课题虚拟化环境下，虚拟域边界是动态的，传统网络防火墙不再适用，需要支持深层防御的分布式防火墙目标：在虚拟网络级别实现ACL，实现虚拟化环境中虚拟域内各VM之间的访问控制。支持的虚拟化环境VMware环境(VMsafeDVFilter)KVM和XEN环境(openvswitchopenflow)虚拟分布式防火墙：vShieldApp基于VMsafeDVFilter实现，可以实现虚拟网卡级别的访问控制；提供域内VM间访问控制。基于vNICACL的分布

6、式虚拟防火墙VCenter分布式虚拟防火墙策略管理中心虚拟防火墙全局策略翻译例子VM1-ACL（1.1.1.1）allowanytoport80;defaultdenyall;VM2-ACL(1.1.1.2)allow1.1.1.1toport8080;defaultdenyallVM3-ACL(1.1.1.3)allow1.1.1.2toport443;defaultdenyall;VM1(1.1.1.1)VM21.1.1.2VM31.1.1.3WebServerAppServerDBServerHTTP,80HTTP,8080TDS,443业务拓扑虚拟网

7、络翻译后的vNIC级别ACLvSwitch/vDSACLACLACL本项目研究成果产品架构设想包括虚拟化层内核模块和集中安全策略管理中心，其中内核模块实现基于虚拟网卡级别的ACL访问控制，集中安全策略管理中心则实现基于容器的面向业务的策略编辑和下发功能支持VMwareDvfilter和OpenvSWitchopenFlow架构中间层实现全局安全策略到下层具体安全策略的翻译网络虚拟化研究课题虚拟网络和底层网络硬件分离，实现网络资源共享虚拟网络具有物理L2网络全部功能虚拟网络和物理网络地址空间隔离虚拟网络中VM不受物理位置限制虚拟网络具有完整生命周期当前的虚拟网

8、络片层实现方案采用Overlay技术实现虚拟网络与物