虛擬化讓系統更容易受駭客攻擊的分析
作者：Eve Cole
更新時間：2009-07-24 15:45:41
虛擬化技術實現了多個作業系統在同一台電腦上運行應用軟體，由於這可更好地管理和利用IT資源，因此引起了IT管理者的注意。
然而，一些IT經理和安全研究人員警告企業，採用虛擬化後呈現的技術問題將使公司係統更容易受到駭客的攻擊。
一家金融服務公司的技術安全官員Chad Lorenc說，虛擬機器的IT安全與合規性專案遠比運行單一作業系統和應用軟體的伺服器更為複雜。
“目前，無法找出單一的方案來解決虛擬環境的安全問題。而要從客戶、流程以及技術等多個角度來考慮。”
虛擬化技術讓企業可以整合運作在單一伺服器多個系統上的應用軟體，這簡化了管理需求，並使得IT硬體資源更能被利用。然而，儘管這項技術已經存在了很多年，IT企業直到近期才對這項技術有了濃厚的興趣。同時，英特爾、AMD、VMware、微軟和IBM等公司也研發了許多產品。
一家安全公司的技術分析師George Gerchow說，在IT架構轉而採用虛擬化工具之前，他們必須明白將多個伺服器合併為一個並不會改變其安全需求。
事實上，他注意到，每個虛擬伺服器分別面臨著與傳統伺服器相同的威脅。 George說：“如果一台主機容易受到攻擊，那麼所有的虛擬客戶機以及這些虛擬機上的企業應用軟體也同樣處於危險中。”
因此，一台運行虛擬機器的伺服器面臨比一台實體伺服器更多的危險。
他注意到，虛擬化軟體使開發者、品質保證小組以及其他企業用戶建立虛擬機器的程式變得更加容易，且不易出現技術漏洞。如果IT管理人員不著手對之進行控制，這樣的虛擬機器就可能會突然出現、在系統間進行轉移或完全消失。
「IT部門經常未做好應對這複雜系統的準備，因為他們不了解虛擬機存在於哪台伺服器上，也不明白哪台是運作的、哪台處於未運作狀態。」由於不了解虛擬機的運作情況，公司通常不能在必要時為系統打補丁或升級。
給系統打補丁的複雜性
即使IT員工的確了解了虛擬機器的運作情況，他們仍面臨安裝修補程式或將系統離線以執行常規安全升級的問題。隨著虛擬機器數量的增多，系統修補程式以及應用軟體升級隨之而來的風險也會逐台增加。
Lorenc建議企業在建立虛擬伺服器時安裝可快速檢查和發現虛擬機器的工具。他還建議企業推出嚴格的政策以控制虛擬機器的數量的擴充。同時，對於IT經理很重要的一點是對企業每個應用軟體在虛擬環境的運作有清醒的認知。企業應該為虛擬機器建立單獨的修補流程，並創建嚴格的改進管理政策，同時限制對虛擬環境的存取。
我們還處在這樣的階段：必須透過改進管理和技術而自己使這一領域的一些操作流程成熟起來。
BT Radianzd的首席安全官員Lloyd Hession說，虛擬化也揭示了一個潛在的網路存取路徑控制問題。他注意到這項技術使得有多種存取需求的不同應用軟體伺服器運行在只有單一IP位址的一台主機上。因此，IT管理人員應該採用適當的存取路徑控制方式來確保一個網路授權對應一台主機上的虛擬伺服器。
目前，大多數網路不是虛擬化的。許多網路授權控制技術使得「進入」和「不得進入」的決定是未知的，無論某台伺服器是不是虛擬機器。
安全專家也注意到來自主要供應商虛擬化工具的擴展功能給駭客和安全研究人員一堆未經研究的程式碼，從中可發現安全漏洞和系統的攻擊方式。
這個月，微軟發布了一個補丁以處理其虛擬化軟體的一個漏洞――用戶可在未經控制的情況下進入作業系統和應用軟體，微軟將這一缺陷評價為重要的而非關鍵的。
安全專家說，隨著虛擬化技術的普及，軟體包中將出現更多這樣的漏洞。
可能的缺陷
IBM網路系統部X-Force小組的主管Kris Lamb採用了虛擬機器控制工具――管理系統的虛擬化功能，作為駭客對虛擬機器攻擊的一個強大的潛在平台。
作為硬體和主機不同虛擬機器之間的分界，虛擬機器管理器採用了控制台來管理主機資源。
據安全專家說，控制軟體通常僅位於某一硬體層級上，用於發布無法察覺的對作業系統和應用軟體的攻擊。事實上，安全研究人員說他們已經證明了控制軟體如何進行虛擬機器攻擊。例如，微軟和密西根大學的研究人員今年年初發現了SubVirt――可採用「根檔案」以在一個作業系統下安裝虛擬機器控制器，這一行為使得研究人員實現了對虛擬機器的完全控制。
一個相似的攻擊方法被稱為Blue Pill，是由Joanne Rutkowska開發的。 Rutkowska的「根檔案」攻擊方法是基於AMD的安全虛擬機，代碼名稱為Pacifica。其採用與SubVirt攻擊方式類似的方法攻擊虛擬系統，然而卻仍未被IT人員發現。
對於駭客，這樣的軟體給了他們一個靶子。
