VMware公司保密安全規劃相關消息終于披露

vmware公司已經展示了其goldilocks項目的原型設計，這也正式印證了其長久以來一直暗示的，正在開發一款新型安全方案的計劃。

vmware公司保密安全規劃相關消息終于披露

　　vmware公司goldilocks項目原理示意圖。

其設計靈感源自nsx網絡虛拟化産品建立網絡"微分區"的能力，即将虛拟網絡隔離于網絡内其餘部分之外，進而建立起"最低權限環境"，即僅允許政策中所設定的必要權限。微分區的流行讓vmware頗感意外，但使用者則樂于借此建立自己的虛拟網絡，并確定其無法為外部人士所接入及通路。另外，由于全部微分區皆以虛拟化方式存在，是以即使攻擊者成功入侵，其亦可被随時關閉。

vmware公司的安全計劃同樣采用微分區設計，并利用相關概念保護計算與資料資産。

vmware公司安全産品進階副總裁tom corn在本屆vmworld大會的主題演講中對此進行了解釋。在長達一個小時的演講中，corn表示端點安全在最近幾年甚至是過去十年當中，已經成為一大重要挑戰。盡管端點安全仍然擁有一定程度的保障，但corn表示随着安全環境的日趨複雜，目前的安全方法已經難以應對各類最新威脅。一部分管理政策相當簡單--例如web伺服器不需要與存儲伺服器進行通信--但當應用跨資料中心邊界運作并觸及其它資源時，則會給政策的具體實施帶來更多複雜性因素。corn表示，這種複雜性意味着防火牆有時候需要運作2萬多條規則方能實作必要保障。

goldilocks項目要求應用程式在處于"黃金狀态"時提供"出生證明"。這份證明當中應包含該應用程式的全部授權行為，具體列出預期内的可執行檔案、網絡基礎設施應用方式、将用于接入網絡的具體端口乃至其它一切與應用程式狀态相關的因素。

vmware公司随後會立足于虛拟機管理程式核心當中對全部預期行為進行監控。之是以選擇核心作為監控立足點，是因為其屬于不同于主機或者通路虛拟機的可信域。corn指出，如果不與攻擊者所處的可信域保持一緻，安全人員将很難檢測其惡意活動并加以阻止。

以虛拟機管理程式核心為制高點，goldilocks項目會監控corn提出的所謂全部虛拟機"出生證明"的相關"清單"，同時提供"證明服務"以監控訪客作業系統核心、程序以及通信。如果虛拟機發生未經清單解釋的行為，則goldilocks将立即給出警告！

以下為goldilocks項目示範資料中的虛拟機報告控制台。

　　下圖則為所産生報告内容的特寫。

下圖為流程的下一步驟：一旦系統管理者或者其他相關人員在安全營運中心内接到與預期外行為相關的警報，他們可利用多種選項檢查、強化或者介入虛拟機運作流程。

corn同時指出，vmware公司希望利用類似的方案實作資料保護，即同樣對資料性質及其預期使用方式進行描述與證明，而後再利用其它強制性政策對其進行加密或者采取其它保護手段，進而更加安全地實作資料網絡傳輸。

當你擁有一把錘子……

古話說得好，當你擁有一把錘子，那麼一切看起來都像是外子。這句俗語用來形容vmware真是再貼切不過了。作為虛拟巨頭，vmware公司顯然是打算用虛拟化解決一切問題。

不過corn的觀點确實非常有趣，因為目前的大多數計算基礎設施在建構時仍采取先開放再保護的設計思路。虛拟機管理程式能夠提供更具限制力的運作環境。是以也許vmware真的能夠在這一領域有所作為。

不過corn并沒有提到goldilocks項目何時才會以産品形式正式釋出。但從示範視訊中的實際運作代碼來看，vmware公司明顯已經走上了産品釋出的正軌。我們将進一步關注其銷售方式與具體上市時間。

本文轉自d1net（轉載）