虚拟化环境中的安全优化

本年度最具权威的虚拟计算盛会思杰iForum北京近日隆重召开，本次活动讨论的重点是虚拟化、网络和云计算之间不断加速的融合，以及这些解决方案如何解决现实的业务问题。本次大会的赞助商迈克菲，不久前刚与主办方思杰签署了战略合作伙伴协议。作为参与本次盛会的唯一一家安全厂商，迈克菲就虚拟化环境中的安全优化问题展开讨论，致力于为企业在节约成本前提下实现更高的运营效率。

虚拟化浪潮带来安全挑战

如今，虚拟化技术的普及率越来越高。根据Gartner预计，70%的组织在2010年底将会把其DMZ区域不同程度地虚拟化，到2012年将会出现5,800万个虚拟桌面。对于企业来说，“虚拟第一”无疑是目前部署新服务器的首要考虑。

虚拟技术在企业环境中越来越广泛的应用，使得增强虚拟环境的安全也越来越受到人们的重视。Gartner的分析师Neil MacDonald指出，60%的虚拟化服务器的安全性低于物理服务器，这种状况将持续到2012年。如果不能有效解决虚拟机的安全性问题，那么安全问题很可能成为虚拟化应用最大的绊脚石。
　　
迈克菲实验室安全研究与通信总监David Marcus表示：“如果你有能力攻击一个虚拟机，并且能够进入虚拟机之外的主操作系统，那么就完全可以控制服务器中的全部虚拟机。”

2010年3月，据国外网站报道，核心安全科技公司(Core Security Technologies)发出警告，微软Virtual PC中存在一个未被修复的安全漏洞。黑客通过该漏洞可以成功绕过数据执行保护(DEP)、地址空间随机化布局(ASLD)等安全机制，对虚拟机发起攻击。从目前情况看，针对虚拟机的攻击已经不再是纸上谈兵，而是确确实实发生了。

“虚拟第一”的大环境对企业以及安全厂商都提出了新的要求，如何使得安全问题不再影响性能；对每一个新出现的虚拟系统，都能够对其自动进行安全策略符合性检查和强制；如何保证快速增长的虚拟系统不再是一个安全问题，可以用同一个管理台、同一种方法去管理虚拟系统和物理系统的安全？

针对上述问题，全球最大的专注于安全技术的公司迈克菲提出了增强虚拟化环境安全功能的最新战略。根据此战略，迈克菲将为客户提供更强大的优化安全控制，以帮助其最大化现有和未来的虚拟化投资价值。迈克菲对于虚拟性安全的支持由来已久，它是首家提供虚拟环境专用安全解决方案的公司。它的虚拟环境安全评估是业界第一个针对虚拟化环境下的专业安全评估咨询服务。迈克菲拥有针对虚拟化环境的丰富产品系列，能够扩展到虚拟服务器、网络和桌面，是业界最为完善、最具可扩展性的解决方案。

互联网研究集团(Internet  Research Group)首席分析师Peter Christy表示：“采用虚拟化技术的数据中心整合能够显著节约成本，但需要重新审核现有的安全解决方案，因为服务器已经虚拟化了。迈克菲公司率先意识到了这一需求并对其产品进行了改进，为虚拟化环境提供高效的安全解决方案。”

虚拟安全 全面优化

以往实践证明，虚拟机或访客（guest）的安全保护不充分、而且是资源密集型的，这往往限制了单一主机中可部署的虚拟机总数。这些问题势必会影响企业虚拟化长期运营成本节省目标的实现，为客户提供一种跨越物理和虚拟基础设施的整合安全管理方法是迈克菲推出最新安全管理战略的主要动因。

迈克菲虚拟环境优化管理 (MOVE )平台是迈克菲最新的虚拟安全产品，该平台旨在提供一种跨越管理程序供应商的通用开发方法，为每个虚拟机卸去资源密集型操作的“负担”（例如，安全策略检查），并根据管理程序的整体状态对这些操作的计划安排进行优化。迈克菲计划为其合作伙伴提供开放源码，以帮助其实现安全创新，加快未来面向企业市场的自适应虚拟化产品开发。

迈克菲虚拟环境优化管理为主要hypervisor厂商提供了开发安全解决方案的通用方法，便于其利用该平台开发针对虚拟系统的安全防护解决方案。

MOVE是迈克菲提供的一种可以使得桌面、服务器、应用程序虚拟化应用程序快速面世的方法；

MOVE将对虚拟化安全解决方案的开发方法进行统一，并且将来会采用hypervisor感知技术来利用特定的hypervisor自身具备的安全管理能力；

MOVE是由全球最大的、专注于安全解决方案的厂商提供的平台，可以提供最佳安全管理实践和优化的方法，使得各个厂商和迈克菲自己为虚拟化环境提供更先进的安全和管理解决方案。

MOVE的第一步目标是提供更好的虚拟桌面系统安全，它将每一个虚拟系统的防病毒处理任务转移到虚拟系统之外，同时对扩展性进行了优化。迈克菲目前推出的MOVE 1.0版本可以防范AV Storming、增加每hypervisor上虚拟系统的数量，同时减少内存占用/CPU负载/磁盘IO。它支持多达100,000个虚拟桌面系统环境; 通过集成管理,为用户提供良好的体验，并拥有对永久桌面和临时桌面系统同样有效的优点。

MOVE将提供一个平台，迈克菲和合作伙伴能够充分利用该平台来提供专门针对虚拟化环境而设计的安全产品。迈克菲的ePO（ePolicy Ochestrator）平台将提供用户界面，以配置和管理基于MOVE平台开发的产品。MOVE便于标记虚拟机，这样无论其在虚拟环境中的位置或环境如何，都能通过ePO平台进行持续的安全管理。迈克菲的ePO平台是全球最具可扩展性的安全与合规管理平台，整合了网络IPS以及漏洞管理功能，充分利用迈克菲实验室提供的中央安全信息源，从而实现了对物理系统和虚拟系统的中央管理。