无代理安全防护模式虚拟化安全的必然趋势.doc

无代理安全防护模式虚拟化安全的必然趋于 锋（浙江水利水电专科学校 计算机与信息工 程 系 浙 江杭 州 310018）【 摘 要 】虚拟化安全是云计算安全的重要保证。在虚拟化环境中，传统的有代理部署安全模安全防护模式将会成为今后虚拟化安全解决方案的大势所趋。本文探讨了无代理安全防护模【 关键词 】云计算；虚拟化；无代理安全防护模式through higher vocational professional skills com petitions to analyze the advanhigh-quality teaching resourcesyu feng(zhejiang water conservancy and hydropower college zhejianghangzhou 310【 abstract】based overthe years on the observation ofthe case thatthe students owning enterprise certifications who phighervocationalcollege professionalskills com petition ofcom puternetwork,we have found such a law thatthe team senterprise certifications and higher levelofthem would getthe m ore chances to win the awards,and the levelofawacertification education ofwell-known enterprises is closer to actualproduction and engineering in m any ways relativetechnology starting pointis high and are m ore practicability,the students trained by them have gothigh vocationalskills queducation is a kind ofgood careerand technicalteaching resource.college teaching resources are relative shortage in thiconstraints,there exista gap with the requirem ents ofvocationaleducation,therefore we should furtherstrengthen the cooenterprises, and vigorously introduce enterprise high-quality teaching resources into colleges, assim ilate them , learnvocationaleducation teaching resource optim ization.【 keyw ords 】quality ofstudentsvocationalprofessionalskills;vocationalprofessionalskills com petition;enterprise h strengthening cooperation between collegesand enterprises;optim ization ofvocationaleducation teaching resources算业务普及开展的重要挑战是安1云计算和虚拟化的安全问题云计算的前景已毋庸置疑。 但当前用户在考虑应用 云计算服务时还存有各种疑虑，其中安全问题占据所有 担心要素的首位。 国外许多云计算数据中心都遭受过黑 客和病毒的攻击，出现过断网现象。 甚至云计算的倡导 厂商谷歌、亚马逊、微软的在线服务也发生过宕机事件， 导致网站长时间不能提供服务，影响波及大量用户。 这 些安全事件引发了云计算信任危机，也反映出云计算本 身确实存在缺陷，尚不完善。 今后一段时间内，制约云计云安全技术多集中在虚拟化计算的支撑技术，它实现了各种表示， 用以支持云计算中心根据快速、灵活、弹性地调用，响应用务，提高资源的利用率。 然而，虚多传统的安全防护手段面临着新术层面上讲， 云计算与传统 it虚拟化的环境，也正是这一区别虚拟化环境下的安全防护问题成为 it 界一个新的关注焦点。 在实现功能的同时，追求效能最大化始终是 任何一种技术所推崇的。 如何在虚拟化环境下既能达到 安全防护目的，又能节约 it 资源 ， 降低管理成本 ， 需要 有全新的思路。 “无代理（agentless）安全模式”将是最有 希望的安全解决方案之一。无代理安全模式是相对于传统有代理安全模式而 提出的，所以要理解无代理安全模式的优势，需要将两种 模式进行一下对比，分析各自的工作特点及利弊之处。2 虚拟化环境有代理安全模式的弊端虚拟化的早期阶段，安全解决方案尚无适应虚拟化 环境的防护模式， 人们只能沿用传统的安全防护策略， 即在每台虚拟机上部署安全防护产品套件 ， 即所谓的 “ 安 全 代 理 ”， 这 种 安 全 防 护 模 式 称 为 “ 有 代 理 模 式（agent-based）”。 但随着云计算和虚拟化技术大规模的 应用，此种模式已显现出多种弊端，主要体现在几方面。1）传统安全软件都是基于物理机开发的，而非专门 为虚拟化环境定制设计，尤其是没有考虑针对虚拟化环 境下的资源共享进行优化。 因而每一台虚拟机都安装安 全软件的部署模式，对物理宿主机的存储空间 、 内存资 源占用较大。 当上百台虚拟机在同一时间开启病毒库自 动升级或者自动进行云查杀， 同时需要调用网络资源， 数据中心的网络资源将面临极大的压力，甚至超负荷导 致瘫痪，耗尽网络带宽，导致正常业务中断，这就是所谓器群的控制权， 造成业务系统崩溃。 如何增强虚拟环境内部虚拟机流量的可视性和可控性，提供虚拟环境内部的网络安全防护，传统的安全产品无能为力。3）各虚拟机分散地防护（即有代理模式），不能保证各自均更新为最新版本，补丁完整得到了加固。 因为虚拟化的初衷之一是绿色环保、低碳节能，当负载低时可以自动休眠某些虚拟机，当负载高时重新激活这些虚拟机。 但在虚拟机休眠期间，病毒代码库和安全补丁是无法更新的，可能出现大量安全漏洞，一旦激活、联机后将可能立即受到攻击。 在快照还原、休眠、激活过程中，同步且一致性地为这些安全策略已过期的虚拟机更新为最新安全策略是不可能的。 攻击者可以利用这个时期攻击虚拟机，只要某一台虚拟机存在漏洞，出现安全防护的“短板”，就可能对整个虚拟化环境造成安全威胁 ， 这也符合“木桶原理”。4）在虚拟化动态环境中， 新的虚拟机自动进行设置、重新配置，甚至自动迁移。 这使得管理员在追踪、维护和实施安全策略时变得异常困难，分散管理模式的成本急剧增大，已难以适应。综上所述，全新的虚拟化环境若仍然搭配传统的类似垂直式部署的安全防范策略，无疑影响了虚拟平台的使用效率，也势必降低整体安全性。3虚拟化环境无代理安全模式的优势无代理安全模式基于宿主机整体考虑，以一个真实的“防病毒风暴（av storms）”。这显然违背了云计算使物理机为一个管理单位，用户无需在每个虚拟机中部署用虚拟化技术节约 it 资源的初衷， 分散部署安全代理软件的模式降低了虚拟化本应带来的好处，导致了对服 务器整合工作的不必要消耗。2）云计算数据中心需要部署多种应用系统运行在不 同的虚拟机中，各个虚拟机及应用系统之间的安全防护 和访问控制带来了很多新的安全威胁与挑战。 由于传统 硬件的安全设备只能部署于物理边界，如入侵检测设备 ids，一般利用交换机的端口镜像功能，监控外部网络对dmz 区，以及 dmz 区内部不同物理服务器之间的攻击安装安全防护代理程序，将安全防护进程移出各个单独的虚拟机， 集中部署在一台虚拟安全服务器中运行，分时扫描各应用服务器虚拟机，管理虚拟化环境下其他所有虚拟机的安全防护。 因为安全服务器虚拟机直接部署在虚拟化平台上，对下层资源配置和利用情况具有完全的感知与掌控，充分利用虚拟化环境下对资源请求的时间差，统一调度，统计复用资源。 这样，就避免了相同的安全防护进程在各虚拟机中并行地运行，并发地耗用底层资源， 而改变为由一个虚拟安全服务器串行地运行，有代理安全模式无代理安全模式图 1 有代理安全模式向无代理安全模式的转变均衡了负载和资源的利用。无疑具有重要的现实意义，容易代理模式不仅可用于安全防护，统一管理平台。无代理安全模式有效避免了诸多负面效应，顺应了从分散走计算、虚拟化、透明化、资源整合和技术潮流，未来必将成为大势4无代理安全模式目前存无代理安全模式作为一项新安全虚拟服务器可采用经过加固的专用系统，安全级别高， 从而显著提升了无代理模式下的整体安全性。 用户只需安装一次安全防护套件 ，一次性部署， 然后对 这台安全虚拟服务器随时在线升级和维护，对虚拟环境 的性能不会造成显著影响。 由于避免了各虚拟机重复性 更新，也就避免了“防病毒风暴”等现象。 只要保护好这 台虚拟安全服务器，就能够让其他所有虚拟机得到最新 的安全防护。 从这一点看，在虚拟化环境中，集中式的无 代理安全防护模式的安全性要高于分散式有代理安全 防护模式。因为在各虚拟机上取消了安全防护代理程序，因此 可以帮助底层宿主机降低负担。 近年来，恶意程序剧增， 病毒库、补丁库体积越来越大，分散部署的有代理安全 模式要占用大量资源。 而采用无代理安全模式，当虚拟 机数量较大时，节省的资源数量将非常可观， 可以提高 虚拟机密度，获得最大化效能。 有测试报告表明，使用无 代理安全防护模式，虚拟机器的整合率比使用分散的有 代理安全防护模式提高数倍甚至一个数量级。 降低了以 牺牲性能获得虚拟化安全的制约。无代理安全解决方案具有实时性，对于处于休眠状 态的虚拟机， 一旦激活便可以立即获得最新的防护，甚 至对新克隆或安装的虚拟机裸机也同样，解决了虚拟机 启动中的防护间隙（instant-on gap）问题。 并且，安全虚 拟服务器可以及时拦截并检查虚拟机内部通信，防止虚 拟机间的攻击。从易管理的角度来看， 采用无代理安全防护模式， 云计算数据中心在扩展、迁移虚拟机时，无需再次部署、 设置安全解决方案，更新代理程序，虚拟机的迁移、资源 的利用更具弹性。 由于提供了统一管理机制，变分散管 理为集中管理， 大大降低了管理工作的复杂性和成本， 省时、省力、省资源，因此总体上降低了企业的 it 成本。在运维成本已占 it 行业运营总成本极大比例的今天 ，技术），目前还存在一些问题。1） 每台虚拟服务器运行的 要求不尽一致，因而集中设置的精细，不易实现差异化策略设定。2）如果安全虚拟服务器被攻虚拟机的安全防护随之瓦解，出3）无代理安全模式目前主要服务器虚拟机中无任何代理，其机的入侵检测（hids）、ips、防火墙件等方面必然较弱， 安全防护的性。 有代理模式分层扫描可做的在无代理模式下，达到同样目的时4）同一虚拟平台上运行不同于操作系统结构不同，可能出现5）不支持跨虚拟化平台的使供给虚拟安全服务器的接口不同迁移的限制。6）被保护虚拟机必须留有开服务器扫描， 这相当于在虚拟服会带来一定安全风险。由此可见，目前有代理和无所长。 无代理安全模式正处于发断完善的过程，要经过长时间的安全需求，目前在一些应用场合 模式使用，达到优势互补。5虚拟化安全防护模式之从有代理模式发展到无代理化环境安全模式的新思路， 是一思路进一步向集中模式发展，最终到虚拟化平台层，整合进虚拟化系拟机的数据，进而考虑实现防火图 2 无代理安全模式向系统整合模式转变同。 安全防护始终是一个动态的过程，只有不断适应信息应用的模式，才能具有生命力和发展前景。参考文献1 王志良.物联网工程概论m.第 1 版，北京 ：机械工业出版社 ，2011.4.2 雷万云. 云计算 技术、 平台及应用案例 m. 第 1 版，北京：清华大学出版社，2011.5.3 杭州华三通信技术有限公司. ip 领航，总第 9 期j. 2010.4. 4 vmware 公司官方网站：/cn/.5 微软官方网站：/zh-cn/default.aspx. 6 趋势科技官方网站：/cn/. 这里我们要明确一个概念， 无论哪种安全模式，总要运行安全防护的进程， 只是运行的位置和层次不同， 因而实现的效能不同。 当前“有代理”和“无代理”说法和 争论更多还是从传统安全技术角度来区分的。 虚拟化环 境下系统体系发生了变化，与之相适应的安全系统也要 有新的体系模式。 在传统安全领域中，低层实现效率高， 高层实现粒度细。 在虚拟化环境下，整合解决方案如何 做到安全防护既高效又深度感知，既功能齐全又保持虚 拟化平台代码精简，这必然是今后一个重要研究领域。虚拟化提供了一种集中模式，也为集中式安全管理 创造了条件，而集中模式的管控是云环境下的趋势。 整 合解决方案为当前云计算数据中心仍广泛采用的复杂且分散的传统安全防护模式带来了一次观念和技术上作者简介：于锋（1956-），男，河北工业大学，大学，学士，现在任职