《虛拟化安全解決方案》一2.1 管理程式配置和安全

本節書摘來自華章出版社《虛拟化安全解決方案》一書中的第2章，第2.1節，作者［美］戴夫·沙克爾福（dave shackleford），更多章節内容可以通路雲栖社群“華章計算機”公衆号檢視

一個虛拟管理程式平台，就像在第1章中描述的，是将實體硬體模拟為許多客戶作業系統和應用程式的軟體，使它們能夠并行在一個實體機器上。每個管理程式平台有它自己的架構特點，但多數管理程式（也稱為虛拟機管理器或vmm）具有與如圖2.1相似的設計。

正如你在圖中看到的，虛拟機管理器是一個底層的元件，在很多方面作為虛拟主機平台的作業系統運作。為了確定整個虛拟環境免受攻擊、漏洞或營運事故的威脅，保持它盡可能處在最新狀态和配置一些基本控制是最重要的。

保護任何類型的管理程式系統都有許多不同的方面，最常見的管理程式平台，如vmware esxi、microsoft hyper-v和citrix xenserver等都有多個配置控制，它們應該由系統管理者實作和維護。

當評估vmm安全性的時候，有兩個原則需要記住：

在許多情況下，vmm對它自己來說幾乎就是一個作業系統，它有許多類似一個作業系統的特性。

vmm與實體平台上的所有硬體互連，當虛拟機請求資源的時候，它是所有諸如存儲器、網絡、cpu和記憶體之類資源的連接配接管道。

而且，vmm自己必須由管理者使用用戶端或中央控制台進行管理，這個主題我們将在本書的第5章進行深入讨論。

任何vmm安全配置活動關注的主要領域如下：

打更新檔　在多數情況下，尤其是對類型i的管理程式，vmm與其他作業系統元件分離，是以vmm必須獨立打更新檔。給管理程式打更新檔在it部門應該被看作一個核心營運工作，應該與目前高優先級打更新檔周期一緻。打更新檔過程和最優實踐的更多細節将在第8章中講述。

建立安全通信　許多管理程式使用安全套接字層（secure sockets layer，ssl）或更新的傳輸層安全（transport layer security，tls）與數字證書一起來建立與遠端客戶和管理平台的安全通信方式。在許多情況下，初始安裝的數字證書是不安全的，應該在生産營運前被配置或替換。另一個管理程式或虛拟機安全通信常用的控制是安全（ipsec）加密。

更改預設設定　許多管理程式配置設定預設是不安全的，一些管理程式使用可被删除的預設内容傳遞。例如，舊版的vmware esx管理程式有許多linux網絡服務元件、二進制檔案和甚至不需要的使用者賬戶。更改設定、删除通用預設内容占了vmm強化活動的很大比例。

開啟營運安全　常用的工具和協定如簡單網絡管理協定（simple network management protocol，snmp）和網絡定時協定（network time protocol，ntp）用于在日志檔案、監控等其他營運活動中提供一緻性和準确性。配置這些服務和協定，使它們在it環境中正常運作是確定虛拟系統和應用程式長期連續性的重要一步。

保護和監控關鍵配置檔案　每個管理程式平台都有許多檔案，它們對配置和控制vmm系統和服務非常關鍵。這些檔案應該非常小心地受權限和監控控制保護。

保護使用者群組　管理程式平台有一組本地使用者群組，它們可以用于通路系統和控制服務。在多數情況下，預設使用者群組設定是不安全的，比如有太多的通路權限和根本不需要激活的使用者。限制它們、控制它們能通路的事務是全面保護系統的另一個關鍵步驟。

鎖定通路管理程式平台　多數管理程式平台有本地控制台接口，它可被本地和遠端通路。要小心地控制它，確定不發生未授權的通路。如果有本地防火牆的話，那麼另一個管理程式通路控制的主要方面是配置該防火牆。