虛擬化安全的喜與憂

■王蕊

虛擬化安全的喜與憂

■王蕊

隨著虛擬化技術(shù)的不斷深入，越來(lái)越多的企業(yè)依靠虛擬化架構(gòu)運(yùn)行關(guān)鍵的日常功能。同時(shí)，如何保護(hù)虛擬化架構(gòu)的安全也成為企業(yè)亟待解決的問(wèn)題之一。根據(jù)卡巴斯基實(shí)驗(yàn)室的調(diào)查，虛擬化安全雖已引起了企業(yè)的更多關(guān)注，但是對(duì)于是否有必要采取專(zhuān)門(mén)的虛擬化安全軟件，企業(yè)仍憂慮重重。

讓企業(yè)歡喜，讓企業(yè)憂

IT技術(shù)不斷革新令虛擬化技術(shù)風(fēng)生水起。近幾年，虛擬化服務(wù)器和虛擬桌面漸漸為各類(lèi)企業(yè)所熟知并使用，而非大型企業(yè)的專(zhuān)享。對(duì)于這些企業(yè)而言，使用虛擬化技術(shù)并非是為了“趕時(shí)髦”。虛擬化技術(shù)能夠?yàn)槠髽I(yè)帶來(lái)真真正正的收益。舉例而言，通過(guò)減少硬件開(kāi)支、占地面積、電力消耗和管理需求等，虛擬化能夠從整體上減少硬件的占用空間。而按需增加裝機(jī)量的靈活特性又可以提升IT部署速度，從而顯著提升企業(yè)整體業(yè)務(wù)的競(jìng)爭(zhēng)力。

然而，就在企業(yè)樂(lè)享虛擬化所帶來(lái)的巨大收益時(shí)，Morcut（又稱(chēng)為Crisis，首個(gè)針對(duì)虛擬機(jī)的木馬，最早于2012年被發(fā)現(xiàn)）的出現(xiàn)打破了這一切美好。與此同時(shí)，越來(lái)越多事實(shí)表明，虛擬機(jī)對(duì)大多數(shù)形式的惡意軟件不具抵抗力，如惡意郵件附件、路過(guò)式下載攻擊、僵尸木馬、網(wǎng)絡(luò)蠕蟲(chóng)，甚至針對(duì)性“魚(yú)叉式釣魚(yú)”攻擊。

面對(duì)如此情形，64%的IT決策者認(rèn)為，首次運(yùn)行虛擬化架構(gòu)時(shí)就應(yīng)將安全納入優(yōu)先考慮的事項(xiàng)之一。然而，在任何IT系統(tǒng)中添加新的安全功能，均會(huì)在一定程度上增加資源占用。卡巴斯基實(shí)驗(yàn)室的調(diào)查結(jié)果顯示，55%的企業(yè)認(rèn)為虛擬化服務(wù)器性能對(duì)其業(yè)務(wù)起到至關(guān)重要的作用；39%的企業(yè)表示，增加安全措施使虛擬化架構(gòu)運(yùn)行緩慢。由此可見(jiàn)，企業(yè)對(duì)采取虛擬化安全解決方案心存憂慮不無(wú)道理。

憂從何處來(lái)？

鑒于上述事實(shí)，普遍存在的虛擬化網(wǎng)絡(luò)緩慢現(xiàn)象究竟由何造成？實(shí)際上，選擇不當(dāng)?shù)陌踩浖攀瞧髽I(yè)虛擬化架構(gòu)運(yùn)行緩慢的元兇。

卡巴斯基實(shí)驗(yàn)室的調(diào)查顯示，46%的受調(diào)查者表示，采用專(zhuān)為物理系統(tǒng)設(shè)計(jì)的傳統(tǒng)安全方案足以保護(hù)虛擬化環(huán)境。正是這種錯(cuò)誤的觀點(diǎn)造成了虛擬化性能緊張。專(zhuān)為物理系統(tǒng)設(shè)計(jì)的傳統(tǒng)安全方案無(wú)法滿足虛擬化環(huán)境對(duì)安全與性能的雙重需求，往往以犧牲性能為代價(jià)。如此一來(lái)，企業(yè)對(duì)虛擬化的投資回報(bào)將大打折扣。

為了深度解析虛擬化安全方案對(duì)系統(tǒng)性能的重大影響，獨(dú)立測(cè)試機(jī)構(gòu)AV-Test對(duì)比了兩種傳統(tǒng)安全方案與卡巴斯基實(shí)驗(yàn)室的輕代理方案。傳統(tǒng)安全方案需要在每臺(tái)虛擬機(jī)上安裝代理軟件，而卡巴斯基實(shí)驗(yàn)室的輕代理方案專(zhuān)為虛擬化環(huán)境打造，它將多數(shù)安全任務(wù)從終端轉(zhuǎn)移至獨(dú)立設(shè)備。這項(xiàng)研究發(fā)現(xiàn)，三者的反病毒能力旗鼓相當(dāng)，但是在系統(tǒng)性能方面卻高下立見(jiàn)。傳統(tǒng)終端安全解決方案在同時(shí)處理多個(gè)虛擬機(jī)啟動(dòng)時(shí)耗時(shí)更長(zhǎng)，在一些案例中耗費(fèi)了近兩倍的時(shí)間。此外，較之卡巴斯基實(shí)驗(yàn)室專(zhuān)門(mén)的虛擬化安全解決方案，傳統(tǒng)安全解決方案在保護(hù)多臺(tái)機(jī)器時(shí)多消耗了40%至65%的系統(tǒng)資源。

卡巴斯基實(shí)驗(yàn)室認(rèn)為，適用于所有虛擬化環(huán)境的解決方案并不存在；結(jié)合代理、輕代理、無(wú)代理的防護(hù)方案才能全面滿足企業(yè)的所有需求。正是基于這一理念，卡巴斯基實(shí)驗(yàn)室于今年上半年推出了卡巴斯基虛擬化安全解決方案（KSV 3.0）。該產(chǎn)品的上市打破了以往同類(lèi)產(chǎn)品無(wú)法兼顧性能與安全的兩難困境。它不僅可為VMware平臺(tái)提供無(wú)代理模式的安全防護(hù)，還是首款為Microsoft Hyper-V和Citrix XenServer平臺(tái)打造的優(yōu)化安全方案，能夠在性能與安全之間實(shí)現(xiàn)完美平衡，為企業(yè)用戶提供最佳的虛擬化環(huán)境保護(hù)。