云计算虚拟化安全挑战

“云计算”为何被称为“云”计算，有一种有趣的说法是我们在画网络拓扑图时，通常用一朵云表示互联网，表示那些网络中对用户透明、不需要关心的网络转发过程，因此在选择一个名词表示基于互联网的新一代计算方式的时候，就采用了“云计算”这个名词。当然这个解释并不太准确，因为这朵“云”里面不仅包含了网络，更包含了计算、存储、服务和软件等元素。它用来描述包括网络、计算、存储等在内的IT基础设施，以及包括操作系统、应用平台、Web服务等在内的软件，这样是为了强调对这些资源的运用而不是他们实现的细节。云计算是一种共享的网络交付信息服务的模式，云服务的使用者看到的只有服务而不用关心相关基础设施的具体实现。它是一种革新的IT运用模式，其核心原则是：硬件和软件都是资源，并封装为服务，用户可以通过互联网按需访问和使用。它的硬件和软件都是资源，通过互联网以服务的方式提供给用户，这些资源都可以根据需要进行动态扩展和配置，在物理上可以是分布式的共享方式存在，但最终在逻辑上以单一整体的形式呈现，用户按需使用云中的资源，按实际使用的量付费，而不需要管理它们。

基础设施虚拟化包括网络虚拟化、存储虚拟化。网络虚拟化是指将网络的硬件和软件资源整合，向用户提供虚拟网络来连接的虚拟化技术。网络虚拟化可以分为局域网络虚拟化（VLAN）和广域网络(VPN)虚拟化。存储虚拟化是指为物理的存储设备提供一个抽象的逻辑视图，用户可以通过这个视图中的同一逻辑接口来访问被整合的存储资源（RAID、NAS、SAN）。

系统虚拟化即是在同一台物理机上运行多个独立的操作系统。在操作系统内部看来，与使用直接安装在物理计算机上的操作系统没有显著差异。系统虚拟化的核心思想是使用虚拟化软件在一台物理机上虚拟出一台或多台虚拟机，虚拟机是指使用系统虚拟化技术，运行在一个隔离环境中，具有完整硬件功能的逻辑计算机系统，包括客户操作系统和其中的应用程序。系统虚拟化最大的价值在于服务器虚拟化，另外还有新的并行，即虚拟桌面VDI。

虚拟网络层引入带来的安全挑战

服务器虚拟化后，在服务器内部增加的虚拟网络层，对于传统的数据中心安全架构带来两方面的挑战。在同一物理服务器上的多台VM间，可通过服务器内部的虚拟网络之间通信，这短路掉了传统的数据中心防火墙的安全防护。在传统的数据中心内，不同的应用分布在不同的物理服务器上，在靠近物理服务器的位置会部署安全设备比如防火墙，用以提供隔离、状态防护、入侵检测等安全保护。

当服务器虚拟化后，在物理服务器内部存在多个虚拟机VM，每个虚拟机承载不同应用，同时，物理服务器内部，还由于虚拟化引入了新的虚拟网络层，具体就是一个虚拟交换机，同一物理服务器内部的不同虚拟机间的流量可以通过内部的虚拟交换机直接通信，不再通过外部的物理防火墙，因此，原有的安全防护机制失效了。VM在同一数据中心内的不同服务器间迁移、或者跨数据中心站点的迁移时，传统的数据中心防火墙预先配置的安全策略无法跟随，这带来安全漏洞。在传统数据中心里，为服务器提供安全防护的防火墙等设备，都是基于安全策略，针对具体服务器做好了固定的配置。而在虚拟化的数据中心里，出于负载均衡、资源动态调整、高可用性、服务器硬件维护甚至是节约电源的目的，虚拟机会在数据中心内手工或者动态地迁移，即虚拟机从一台物理服务器迁移到另一台物理服务器，此时外部防火墙无法感知虚拟机的位置变化，因此针对具体应用的安全策略无法跟随，这又导致新的安全漏洞。

业界解决方向

1.虚拟防火墙方向

首先，我们在部署防火墙时，希望防火墙越靠近服务器（应用）越好，既然服务器虚拟化在服务器内部引入了新的虚拟化层，那么在服务器内部的虚拟网络层中再增加虚拟防护墙，提供物理世界中的防火墙相同的功能。

2.802.1Qbg兼容的解决方向

针对来源于虚拟机之间的通信可以在物理服务器内部完成，短路掉了物理防火墙，那么，针对此类虚拟机的流量，强制将虚拟机的流量转发到外部，在通过物理防火墙的检查后，再转发回该物理服务器，这样也能解决问题，IEEE802.1Qbg就是定义这种流量强制转发的机制。

云计算在安全方面的技术挑战

虚拟化是云计算的基础，但不是全部，云计算有着更宏大的范围，在安全方面的挑战来说，也不是一个层面的。

1.安全性

在云计算的环境中，用户不再拥有基础设施的硬件资源，软件都运行在云中，业务数据也存储在云中，因此云计算安全关系到云计算这种革命性的计算模式是否能够被业界接受。云计算的安全问题主要有两个方面：一是云计算自身环境特有的安全问题，二是云计算会怎样改变现有的软件系统安全防护模式。从第一个方面来说，传统的观念认为将信息保存在自己可控的环境内，比存放在不了解、不熟悉的地点更安全。因此云计算在安全领域遇到的第一个问题，就是传统用户无法认可自己不可控的环境能够提供更好的安全性。因此，用户的个人电脑或者中小型服务器、数据中心，远没有云计算环境安全。因为在云计算环境中，数据中心和它运行的基础服务都有专业的机构和人员进行运营和管理，他们远比个人用户及中小企业的IT管理员更有安全管理的经验。同时，云计算提供的规模效应，用户可以在付出更小成本的情况下享受更高级别的安全服务。

不过，云计算还有一些安全问题有待解决。由于云计算最开始是在企业内部网络运行，并不对外开发，因此云计算在设计之初没有太多考虑安全性问题，从而导致云计算安全的一系列问题。首先，传统的IT系统是封闭的，存在于企业内部，对外暴露的只有网页服务器、邮件服务器等少数接口，因此只需要在出口设置访问控制、防火墙等安全措施，就可以解决大部分安全问题。但在云计算环境下，云暴露在公开的网络中，任何一个节点及他们的网络都可能受到攻击，因此安全模式需要从树敌于国门之外改变为全民皆兵，处处作战，而大多说安全厂商还没有准备好迎接这样的场景。其次，在云环境中，用户的服务系统更新和升级大多数是由用户在远程执行的，而不是采用传统的在本地按版本更新的方式。另外一个严重的问题还不是技术层面的，而是政策法规层面的。虽然人们经常把数据存在云环境中与把钱存在银行中做类比，但是云环境与银行的最大区别就在于，银行业是一个传统的行业，有相应的法规来规范银行的流程和制度，另外国家或者相关机构对银行的信誉进行了担保，而对于云环境来说，目前缺乏有效的规范和立法，云环境提供商的信誉完全依靠于用户的认同感，对云计算环境的规范和立法，也是一个需要关注的问题。

目前应对云的安全问题，有一个传统的技术可以派上用场，就是VPN。VPN在云计算出现之前就已普遍的应用于企业网络中，一个典型的场景是企业对自己的网络设置的防火墙和安全策略，在默认的情况下，如果用户处于企业外部的网络，由于他不在企业内部的网段之内，他就无法访问很多企业内部收到保护的服务。但在很多情况下，用户需要在家庭、宾馆、户外等场所介入企业网络以实现移动办公，这是就可以使用VPN。VPN会给移动用户提供一个虚拟的企业内部的网络地址，用户通过身份认证、授权等方式，利用这个虚拟地址介入企业内部网络，进行办公。VPN的这种使用场景在云计算的环境内可以得到很好的应用，云服务器提供商以及云用户可以设置灵活的访问控制策略，使得用户还是像在传统的局域网内一样使用云，由此在一定程度上克服云计算的安全问题。换句话说，我们的设备可以作为VPN网关部署在云计算数据中心的Internet边界。

2.信息保密

信息保密与信息安全有所不同，信息安全是指信息不会被攻击、篡改，而信息保密是指信息的内容不应该被未经授权的人得到。云计算服务商认为，对于云计算、云环境的信息保密问题，用户是可以放心的，因为数据在云的大规模分布式存储机制中，完整的数据实体通常是被打散成一些“块”或者“碎片”存储在不同的服务器上，每一块甚至包含来自不同数据实体的内容。因此，一个块可能是一个很大的逻辑文件的一部分，也可能是包含多个很小的逻辑文件。如果一个非法用户想要窥探云中的数据，他必须获得大量的存储服务器的访问控制权，而这个工作非常困难。

即便如此，上述方法只是增加了非法用户访问信息的难度，而没有根本解决问题。非法用户可以通过暴力破解所有的存储服务器来收集信息，甚至会破解云存储系统的数据分发逻辑，从而精确地找到每一个块。同时，多个文件可能共同存储在一个大块里，这增加了数据泄漏的风险。解决这些问题的根本做法是从逻辑上，甚至是物理上将多个用户的数据隔离。