虛擬化核心技術(shù)和安全概述

第二章：虛擬化核心技術(shù)和安全虛擬化的核心技術(shù)VMotionVMotion是什么?通過VMotion可以實(shí)現(xiàn)虛擬機(jī)的動態(tài)遷移,而服務(wù)不中斷客戶優(yōu)勢零宕機(jī)時間:進(jìn)行有計(jì)劃的服務(wù)器維護(hù)和升級遷移工作負(fù)載，資源利用率最大化服務(wù)器的持續(xù)可用性,完整的交易集成支持FibreChannel和iSCSISAN環(huán)境以及NASx86ArchitectureHypervisorx86ArchitectureHypervisorVMotion遷移虛擬機(jī)SAN、iSCSI或NASStorageVMotion虛擬機(jī)磁盤存儲獨(dú)立遷移無需虛擬機(jī)停機(jī)LUN獨(dú)立支持光纖通道SAN應(yīng)用程序操作

系統(tǒng)應(yīng)用程序操作

系統(tǒng)應(yīng)用程序操作

系統(tǒng)無中斷：刷新到新陣列

遷移到不同類別的存儲器升級到新文件系統(tǒng)格式虛擬機(jī)粒度，LUN獨(dú)立分布式資源調(diào)度（DRS）功能跨資源池動態(tài)調(diào)整計(jì)算資源基于預(yù)定義的規(guī)則智能分配資源優(yōu)勢使IT和業(yè)務(wù)優(yōu)先級對應(yīng)動態(tài)提高系統(tǒng)管理效率自動化的硬件維護(hù)動態(tài)負(fù)載均衡和連續(xù)智能優(yōu)化，保證所有應(yīng)用需要的的資源資源池ResourcePool業(yè)務(wù)需求BusinessDemand圍繞業(yè)務(wù)進(jìn)行組織和規(guī)劃…而不是您的硬件!負(fù)載分配規(guī)則設(shè)定一次，永遠(yuǎn)有效，自動執(zhí)行易于添加更多的資源避免業(yè)務(wù)繁忙時段的過載DRS動態(tài)獲得硬件資源動態(tài)添加硬件資源池CPU36GHz,Mem58GB優(yōu)先級：

高資源池CPU50GHz,Mem70GB優(yōu)先級：高分布式電源管理(DPM)資源池業(yè)務(wù)需求下電當(dāng)整個群集需要資源減少時，整合所有負(fù)載到少數(shù)幾臺服務(wù)器上將不需要的服務(wù)器置于備用模式當(dāng)負(fù)載增加時，DPM自動將處于備用狀態(tài)的服務(wù)器喚醒在確保服務(wù)級別的同時，最大限度降低了數(shù)據(jù)中心服務(wù)器的耗電量虛擬機(jī)沒有中斷或停機(jī)利用UpdateManager和DRS無中斷地升級HypervisorUpdateManager升級整個DRS群集DRS群集中的每個Hypervisor主機(jī)依次進(jìn)入維護(hù)模式虛擬機(jī)被VMotion到其他HypervisorHypervisor升級并重啟虛擬機(jī)重新VMotion回來下一臺Hypervisor重復(fù)以上步驟VMotionVMotionUpdateManagerserver大批量地升級Hypervisor并且不影響任何應(yīng)用的運(yùn)行，雖然Hypervisor會重啟，但確保虛擬機(jī)永不停機(jī)UpdateManager對Hypervisor和Microsoft及RHEL虛擬機(jī)的自動補(bǔ)丁管理掃描和更新在線和非在線的虛擬機(jī)，以及在線的Hypervisor補(bǔ)丁更新前先對虛擬機(jī)做快照，允許隨時回退到補(bǔ)丁前狀態(tài)UpdateManager不需手工跟蹤補(bǔ)丁版本和更新情況使用標(biāo)準(zhǔn)或自定義的補(bǔ)丁列表，批量更新虛擬機(jī)補(bǔ)丁利用快照技術(shù)降低應(yīng)用補(bǔ)丁的風(fēng)險離線補(bǔ)丁技術(shù)可以避免網(wǎng)絡(luò)上的干擾，還可以對模板應(yīng)用補(bǔ)丁OFFLINE描述用于ESX虛擬機(jī)的高性能集群文件系統(tǒng)優(yōu)勢簡化虛擬機(jī)的部署和管理利用共享存儲確保數(shù)據(jù)完整性可運(yùn)行多個ESX實(shí)例同時訪問

同一個虛擬機(jī)存儲支持基于虛擬化的分布式

基礎(chǔ)架構(gòu)服務(wù)vStorageVMFSESXOSAPPOSAPPOSAPP數(shù)據(jù)存儲虛擬磁盤20GB100GBLUN擴(kuò)展10G的虛擬磁盤添加新的虛擬磁盤增加VMFS卷

可擴(kuò)大數(shù)據(jù)存儲擴(kuò)展8G的虛擬磁盤20GB數(shù)據(jù)存儲不改變增加VMFS卷

可擴(kuò)大數(shù)據(jù)存儲40GB描述通過分配比實(shí)際購買容量更多的存儲容量，來實(shí)現(xiàn)更高的存儲利用率優(yōu)勢簡化了管理延長了應(yīng)用程序正常運(yùn)行時間提高了存儲利用率vStorageThinProvisioningESXOSAPPOSAPPOSAPP數(shù)據(jù)存儲虛擬磁盤20GB40GB20GB20GB60GB20GB100GB厚精簡精簡40GB100GBvHA功能當(dāng)服務(wù)器故障時，自動重新啟動虛擬機(jī)優(yōu)勢經(jīng)濟(jì)有效的適用于所有應(yīng)用的高可用不需要獨(dú)占的stand-by硬件沒有集群軟件的成本和復(fù)雜性經(jīng)濟(jì)有效的適用于所有應(yīng)用的高可用解決方案XFaultTolerance(FT)在不同的主機(jī)上同步運(yùn)行相同的虛擬機(jī)出現(xiàn)硬件故障時，所有虛擬機(jī)均可實(shí)現(xiàn)零停機(jī)時間、零數(shù)據(jù)損失故障切換零停機(jī)時間、零數(shù)據(jù)損失無需復(fù)雜的群集或?qū)Ｓ糜布袘?yīng)用程序和操作系統(tǒng)通用的單一機(jī)制VDCOS操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序X操作系統(tǒng)應(yīng)用程序XDataRecovery虛擬機(jī)的無代理、基于磁盤的備份和恢復(fù)虛擬機(jī)或文件級別的恢復(fù)增量備份和消除重復(fù)數(shù)據(jù)以

節(jié)約磁盤空間為虛擬機(jī)提供快速、簡單和

完整的數(shù)據(jù)保護(hù)通過vCenter實(shí)現(xiàn)集中式管理經(jīng)濟(jì)高效的存儲管理消除重復(fù)數(shù)據(jù)存儲設(shè)備Hypervisor操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序描述為供應(yīng)商提供的編程界面。由VCB演變的新一代產(chǎn)品優(yōu)勢支持虛擬機(jī)的增量、差異和完整

映像備份和恢復(fù)為Windows和Linux虛擬機(jī)提供

文件級備份支持提供不會對ESX造成負(fù)載的高效

備份用于數(shù)據(jù)保護(hù)的vStorageAPIvNetwork分布式交換機(jī)聚合數(shù)據(jù)中心級別虛擬網(wǎng)絡(luò)簡化的設(shè)置和更改輕松地進(jìn)行故障排除、監(jiān)視和調(diào)試支持第三方虛擬環(huán)境的透明管理操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序操作系統(tǒng)應(yīng)用程序VDCOSvNetwork分布式交換機(jī)虛擬交換機(jī)虛擬交換機(jī)虛擬交換機(jī)CiscoNexus1000VvShieldZones安全遵從性vShieldZonesvShieldZonesVDCOSVDCOSDMZ保護(hù)引擎VirtualDataCenterOSVMsafeAPI通過檢查與管理程序一起使用的虛擬組件來保護(hù)虛擬機(jī)將保護(hù)引擎與惡意軟件隔離廣泛的覆蓋范圍，包括虛擬機(jī)CPU、內(nèi)存、存儲器和網(wǎng)絡(luò)應(yīng)用程序操作系統(tǒng)vApp—自我描述的應(yīng)用系統(tǒng)可實(shí)現(xiàn)自動化SLA管理縱向擴(kuò)展應(yīng)用系統(tǒng)以實(shí)現(xiàn)有保證的QoS可擴(kuò)展虛擬機(jī)熱添加CPU內(nèi)存熱添加和刪除存儲設(shè)備網(wǎng)絡(luò)設(shè)備熱擴(kuò)展虛擬磁盤以零停機(jī)時間橫向擴(kuò)展虛擬機(jī)64GB4個CPU255GB8個CPU操作系統(tǒng)應(yīng)用程序P2VConverter說明VMwareConverter自動將物理機(jī)、其他格式的虛擬機(jī)和第三方映像格式轉(zhuǎn)換為VMware虛擬機(jī)。優(yōu)勢簡化升級到

VMwareInfrastructure的過程。

物理機(jī)

第三方映像格式

其他虛擬機(jī)格式虛擬機(jī)P2V

Converter虛擬數(shù)據(jù)中心的可靠性存儲站點(diǎn)組件服務(wù)器避免計(jì)劃內(nèi)停機(jī)最大限度地減少計(jì)劃外停機(jī)網(wǎng)絡(luò)冗余、多路徑StorageVMotionVMotion+DRS維護(hù)模式網(wǎng)卡和HBA綁定DataRecovery、

VMwareReady?

數(shù)據(jù)保護(hù)合作伙伴HA

FaultToleranceSiteRecoveryManager受保護(hù)站點(diǎn)恢復(fù)站點(diǎn)vCenterSiteRecovery

ManagervCenterSiteRecovery

Manager數(shù)據(jù)存儲組陣列復(fù)制數(shù)據(jù)存儲組XSiteRecoveryManager概覽SiteRecoveryManager核心功能對災(zāi)難恢復(fù)的集中管理從單一管理點(diǎn)創(chuàng)建、測試、更新和執(zhí)行恢復(fù)計(jì)劃與VirtualCenter緊密集成災(zāi)難恢復(fù)自動化預(yù)先構(gòu)建恢復(fù)流程自動測試恢復(fù)計(jì)劃自動執(zhí)行恢復(fù)流程簡化的設(shè)置和集成分配和管理恢復(fù)資源與領(lǐng)先供應(yīng)商的存儲復(fù)制系統(tǒng)輕松集成存儲設(shè)備服務(wù)器虛擬機(jī)HypervisorHypervisorHypervisorHypervisorvCenterSiteRecoveryManager虛擬化的安全虛擬化安全策略自我描述、自我

配置的安全性虛擬化的獨(dú)特優(yōu)勢安全性虛擬化.OVF安全的虛擬機(jī)管理程序體系結(jié)構(gòu)平臺安全強(qiáng)化功能安全的開發(fā)生命

周期平臺安全性針對部署和配置的說明性指導(dǎo)集成到企業(yè)的

現(xiàn)有策略、

流程和工具中安全的操作體系結(jié)構(gòu)：服務(wù)器虛擬化類型托管虛擬化裸機(jī)虛擬化VMwareWorkstationVMwareServerVMwarePlayerVMwareFusionVMwareESX主機(jī)OS

改變安全

配置文件可在

客戶虛擬機(jī)

可信時采用即使

客戶虛擬機(jī)

不一定可信時也可采用體系結(jié)構(gòu)：設(shè)計(jì)為隔離方式oryCPU和內(nèi)存虛擬機(jī)不具有完全的CPU訪問權(quán)內(nèi)存隔離通過硬件實(shí)施內(nèi)存頁在由虛擬機(jī)使用前一律清零

虛擬網(wǎng)絡(luò)

不存在鏈接虛擬交換機(jī)的代碼虛擬交換機(jī)不會受到學(xué)習(xí)型或橋接型攻擊虛擬存儲

虛擬機(jī)只能看到虛擬SCSI設(shè)備，而看不到實(shí)際存儲由VMFS使用SCSI文件鎖強(qiáng)制實(shí)施虛擬機(jī)對虛擬磁盤的獨(dú)占訪問

ESX虛擬機(jī)管理程序：堅(jiān)實(shí)可靠的基礎(chǔ)MSFT/Xen體系結(jié)構(gòu)VMware體系結(jié)構(gòu)精簡自定義內(nèi)核更少補(bǔ)丁程序更少攻擊針對VMware優(yōu)化的驅(qū)動程序更為穩(wěn)定直接驅(qū)動程序模型更高的I/O吞吐量大型通用操作系統(tǒng)頻繁添加補(bǔ)丁更多攻擊通用的第三方驅(qū)動程序欠穩(wěn)定間接驅(qū)動程序模型負(fù)載時I/O性能下降DriversDriversVirtualMachineVirtualMachineDriversVirtualMachine驅(qū)動程序驅(qū)動程序虛擬機(jī)虛擬機(jī)驅(qū)動程序虛擬機(jī)驅(qū)動程序驅(qū)動程序虛擬機(jī)驅(qū)動程序驅(qū)動程序虛擬機(jī)Dom0(Linux)或父級虛擬機(jī)(Windows)安全實(shí)現(xiàn)瘦Hypervisor-ESXi緊湊的100MB占用空間更少補(bǔ)丁程序更小的受攻擊面無需通用管理操作系統(tǒng)服務(wù)器上不運(yùn)行任意碼不易受常見威脅影響唯一不受操作系統(tǒng)影響的

專門針對虛擬化的設(shè)計(jì)ESXi安全實(shí)現(xiàn)平臺安全強(qiáng)化完善的內(nèi)存保護(hù)功能ASLR–隨機(jī)確定核心內(nèi)核模塊

在內(nèi)存中的加載位置NX/XD–將內(nèi)存的可寫區(qū)域標(biāo)記為

不可執(zhí)行內(nèi)核完整性數(shù)字簽名–確保模塊、驅(qū)動程序和

應(yīng)用程序在由VMkernel加載時的

完整性和真實(shí)性模塊簽名–使ESX具備識別模塊、

驅(qū)動程序或應(yīng)用程序的提供者以及

它們是否取得VMware認(rèn)證的能力安全開發(fā)生命周期流程全面實(shí)現(xiàn)安全性的方式培訓(xùn)體系結(jié)構(gòu)風(fēng)險分析/威脅建模最佳實(shí)踐和遵從性要求自動和手動代碼分析安全性測試響應(yīng)在各階段都讓第三方專家參與經(jīng)驗(yàn)證，受廣大用戶信任成千上萬客戶已在生產(chǎn)

環(huán)境中應(yīng)用已通過美國數(shù)家最大銀行的安全審查并投入生產(chǎn)使用已通過國防和安全機(jī)構(gòu)的

嚴(yán)格審查VMware技術(shù)被選為美國

國家安全局(NSA)虛擬化工作站的基礎(chǔ)經(jīng)過獨(dú)立驗(yàn)證CommonCriteriaEAL認(rèn)證CCEAL4+認(rèn)證最高的認(rèn)證級別ESX3.0已獲此認(rèn)證；

ESX3.5即將獲得針對ESX的DISASTIG獲準(zhǔn)在美國國防部(DoD)信息

系統(tǒng)中使用NSACentralSecurityService針對數(shù)據(jù)中心和臺式機(jī)方案的

指導(dǎo)最大的安全風(fēng)險：操作NeilMacDonald–“如何安全地實(shí)施虛擬化”“與在物理方案中一樣，多數(shù)安全漏洞都是通過誤配置和管理失誤帶來的”虛擬化對數(shù)據(jù)中心安全性的影響AbstractionandConsolidation↑CapitalandOperationalCostSavings↓Newinfrastructurelayertobesecured↓Greaterimpactofattackormisconfiguration抽象和整合↑節(jié)約資金成本和運(yùn)營成本↓需要保護(hù)新的基礎(chǔ)架構(gòu)層

↓攻擊或錯誤配置會帶來較大影響

多臺交換機(jī)和服務(wù)器重合為一臺設(shè)備

↑靈活性↑節(jié)約成本↓缺少虛擬網(wǎng)絡(luò)可視性和控制

能力↓沒有“默認(rèn)隔離”的管理機(jī)制

虛擬化對數(shù)據(jù)中心安全性的影響ystems更快的服務(wù)器部署速度

↑IT響應(yīng)速度

↓配置不一致↓過程定義較差

虛擬機(jī)移動性

↑提高了服務(wù)級別↓標(biāo)識與物理位置分離

虛擬機(jī)封裝

↑輕松實(shí)現(xiàn)業(yè)務(wù)連續(xù)性↑一致的部署↑獨(dú)立于硬件↓過時的離線系統(tǒng)

哪些是不必?fù)?dān)心的虛擬機(jī)管理程序攻擊

示例：BluePill、SubVirt等這些都是極為復(fù)雜的理論性攻擊安全保護(hù)領(lǐng)域人士普遍認(rèn)為它只有學(xué)術(shù)上的意義

不相干的體系結(jié)構(gòu)

示例：大量報告宣稱發(fā)現(xiàn)客戶虛擬機(jī)逸出多數(shù)只適用于托管體系結(jié)構(gòu)（例如工作站），而不適用于裸機(jī)結(jié)構(gòu)（亦即ESX）托管體系結(jié)構(gòu)通常僅在您可以信賴客戶虛擬機(jī)時才適用

設(shè)想的情形

示例：VMotion截取造成漏洞的情形：

未遵守針對虛擬化的安全增強(qiáng)、鎖定、設(shè)計(jì)方面的最佳實(shí)踐，

或者采用了較差的一般IT基礎(chǔ)架構(gòu)安全機(jī)制

保護(hù)虛擬機(jī)安全主機(jī)防病毒軟件補(bǔ)丁程序管理網(wǎng)絡(luò)入侵檢測/預(yù)防(IDS/IPS)邊緣防火墻提供與物理服務(wù)器一樣的保護(hù)針對虛擬化層的安全設(shè)計(jì)基本設(shè)計(jì)原則隔離所有管理網(wǎng)絡(luò)禁用所有不必要的服務(wù)嚴(yán)格規(guī)范所有管理訪問實(shí)施強(qiáng)硬的訪問控制安全原則在虛擬環(huán)境中的實(shí)施最低特權(quán)角色只具有必需的特權(quán)職責(zé)分離角色只適用于必需的對象管理員操作員用戶AnneHarryJoe安全性與遵從性管理控制要求VMware產(chǎn)品合作伙伴產(chǎn)品配置管理、監(jiān)控、審核VMwarevCenterServerVMwarevSphere主機(jī)配置

文件（將來提供）VMwarevCenterConfigControlConfiguresoftECMforVirtualizationNetIQSecureConfigurationManagerTripwireEnterpriseforVMware可審核、可重復(fù)的過程VMwarevCenterOrchestratorVMwarevCenterLifecycleManager離線虛擬機(jī)更新VMwareUpdateManagerShavlikNetChkProtect虛擬網(wǎng)絡(luò)安全VMwarevShieldZonesvNetwork分布式交換機(jī)Cisco、Checkpoint、Reflex、ThirdBrigade多樣化而且不斷壯大的產(chǎn)品體系有助于

提供安全的VMwareInfrastructure虛擬化的安全優(yōu)勢易于維護(hù)全面推廣前，可以在受控環(huán)境中針對多種配置測試補(bǔ)丁程序嘗試某些有風(fēng)險的配置前，可以使用快照保存虛擬機(jī)的已知良好狀態(tài)可以將生產(chǎn)虛擬機(jī)克隆后離線執(zhí)行修改，同時讓原虛擬機(jī)保持

繼續(xù)運(yùn)行可以將更新后的虛擬機(jī)與以前的版本并行啟動可根據(jù)需要讓兩者都運(yùn)行足夠長的時間，以驗(yàn)證新配置虛擬化的安全優(yōu)勢易于恢復(fù)可以從上一個已知良好的備份恢復(fù)

可以在隔離狀態(tài)應(yīng)用補(bǔ)丁程序，然后再聯(lián)機(jī)能夠執(zhí)行辨證分析可在隔離狀態(tài)下啟動受黑客攻擊的虛擬機(jī)可創(chuàng)建“虛擬蜜罐”vShieldZones安全遵從性vShieldZonesvShieldZonesVDCOSVDCOSDMZ保護(hù)引擎VirtualDataCenterOSVMsafeAPI通過檢查與管理程序一起使用的虛擬組件來保護(hù)虛擬機(jī)將保護(hù)引擎與惡意軟件隔離廣泛的覆蓋范圍，包括虛擬機(jī)CPU、內(nèi)存、存儲器和網(wǎng)絡(luò)應(yīng)用程序操作系統(tǒng)VMsafe?API用于虛擬機(jī)的所有虛擬硬件組件的APICPU/內(nèi)存檢查檢查虛擬機(jī)或其應(yīng)用程序使用的特定內(nèi)存頁了解CPU狀態(tài)通過CPU和內(nèi)存頁的資源分配強(qiáng)制執(zhí)行策略網(wǎng)絡(luò)連接查看主機(jī)上的所有IO流量能夠截取、查看、修改和復(fù)制來自一臺主機(jī)上的任何或所有虛擬機(jī)的IO流量能夠提供嵌入式保護(hù)或被動保護(hù)存儲設(shè)備能夠裝入和讀取虛擬磁盤(VMDK)檢查對存儲設(shè)備的IO讀取/寫入對于設(shè)備具有透明特點(diǎn)，對于ESXStorage堆棧具