虛擬技術(shù)，可以在一臺計算機上運行多個操作系統(tǒng)及多個應(yīng)用，這給IT經(jīng)理的資產(chǎn)管理和IT資源保障提供了方便。但安全研究人員卻警告這種新興技術(shù)同時會給IT安全帶來更多問題。

在虛擬機上運行各種服務(wù)并保障系統(tǒng)安全要比在單一計算機上復(fù)雜的多。在虛擬環(huán)境下，不可能使用一種方案解決一切問題，必須要從人員、操作和技術(shù)等多個方面來考慮安全保障。虛擬技術(shù)可以在一臺物理計算機上虛擬出多臺系統(tǒng)，可用于服務(wù)器、存儲陣列等；這給IT部門的管理維護提供了方便。但分析人士提醒注意，雖然該技術(shù)的出現(xiàn)已經(jīng)有好幾年了，然而真正引起人們注意也就是在最近一些大公司的虛擬產(chǎn)品相繼問世，Intel、微軟、VMware以及IBM。在使用這些虛擬工具之前，要清楚一點，將多臺服務(wù)器放在一臺物理計算機上只能增加不安全性。

引起重視

事實上，每個虛擬服務(wù)器本身面臨同樣的威脅；并且當(dāng)一臺計算機存在安全風(fēng)險，其上所有的虛擬機和虛擬服務(wù)都存在風(fēng)險。因此，虛擬服務(wù)器要多面臨一層風(fēng)險。IT部分通常沒有能力跟蹤虛擬機，所以在需要更新時就不能夠更新補丁。同時虛擬機越摞越多，資產(chǎn)會增加得很快。即使IT人員能夠正確跟蹤所有虛擬機，還是存在問題，通常他們沒有權(quán)限執(zhí)行安全檢查和更新。因此安全專家建議，企業(yè)應(yīng)該安裝專門的工具快速檢測和發(fā)現(xiàn)虛擬機，并制定嚴(yán)格的策略，控制虛擬機的增加。同時，IT經(jīng)理應(yīng)該深入了解每個虛擬應(yīng)用的業(yè)務(wù)依賴關(guān)系，理清頭緒；并建立單獨的針對虛擬機的補丁操作和管理策略。最后虛擬環(huán)境還會對網(wǎng)絡(luò)訪問控制造成一定影響；因此IT經(jīng)理要制定網(wǎng)絡(luò)訪問控制策略，來控制每一臺虛擬機的訪問。當(dāng)前，大多數(shù)網(wǎng)絡(luò)還沒有對虛擬技術(shù)引起足夠重視。許多網(wǎng)絡(luò)控制技術(shù)只是簡單的禁止、放行，而不管其是否為虛擬機。

另外，隨著虛擬工具的大量應(yīng)用，出現(xiàn)漏洞的可能性也越來越大，這個月，微軟就修補了一個虛擬軟件漏洞，并定位為嚴(yán)重級。安全專家稱，隨著虛擬技術(shù)的普及，這種漏洞會越來越多。

潛在危險

IBM的安全專家將虛擬機監(jiān)控工具列為一種嚴(yán)重的潛在虛擬機攻擊平臺，這種工具可以在一個系統(tǒng)上管理多個虛擬功能，這種監(jiān)控軟件通常位于硬件之上的一層，可以對其上層的操作系統(tǒng)和應(yīng)用進行攻擊。事實上，安全研究院已經(jīng)從理論上證明了如何通過監(jiān)控軟件攻擊虛擬機。例如，微軟的研究員在今年早期研發(fā)了SubVirt，其可以使用rootkit在操作系統(tǒng)內(nèi)安裝一個虛擬機監(jiān)控工具，通過努力就可以對多個虛擬機進行完全控制。與其類似，眾所周知的還有Blue Pill，有了這些工具，就如同拿到了通向自由的鑰匙。對于駭客來說，這些軟件提供了大施拳腳的舞臺。