據(jù)市場研究公司Forrester Research稱，到2009年，全部企業(yè)服務器資源將有42%實施虛擬化。這里的虛擬化概念包含許多內容，如服務器虛擬化、操作系統(tǒng)虛擬化、內核虛擬化和虛擬化平臺，如VMware ESX和微軟的Hyper-V。這些技術首先都是以虛擬化的形式進入數(shù)據(jù)中心的。這些技術將越來越便宜和容易使用，使它們成為數(shù)據(jù)中心的第一批虛擬實驗品的誘人的候選產品。整合、節(jié)省成本、動態(tài)配置和動態(tài)遷移等因素正在推動大多數(shù)IT部門試驗某種形式的虛擬平臺，推動虛擬系統(tǒng)在數(shù)據(jù)中心的應用。大規(guī)模基礎設施系統(tǒng)的出現(xiàn)已經(jīng)使虛擬平臺成為數(shù)據(jù)中心中全面的面向公眾的應用基礎設施。
虛擬平臺提供商這段時間以來一直在用自己的平臺解決內部的安全問題，同時讓互聯(lián)網(wǎng)安全中心等外部機構使用他們的虛擬安全基準測試項目。這些項目的目標是解決平臺安全問題，也就是解決虛擬機基準水平的運行環(huán)境問題。包括封鎖外部遠程登錄或者保證只有授權管理員才能使用等一些要求的安全規(guī)定可能會重新設置軟件交換機。從IT的觀點看，這相當于鎖定微軟的Windows 2003網(wǎng)絡服務器；所有的安全措施都適用于這個平臺水平，無論它是EXS那樣的虛擬平臺，還是像在裸機上運行的Windows 2003 Server那樣的物理服務器。
然而，虛擬平臺增加了額外的一層安全要求?，F(xiàn)有的針對Windows 2003或者Linux特別發(fā)布版等軟件的安全威脅在這些系統(tǒng)移植到虛擬機的時候仍然存在。向數(shù)據(jù)中心的虛擬機遷移需要重新設計安全計劃和架構，可能引起的潛在問題包括：事件反應、虛擬調試虛擬操作系統(tǒng)和虛擬軟交換機、熟悉隔離區(qū)和設計。在向虛擬機遷移的安全計劃中要考慮上述所有的因素。
為了解決把虛擬化引進到數(shù)據(jù)中心所產生的安全問題，出現(xiàn)了一個更大的技術行業(yè)：虛擬化安全（virtsec）。IT面臨的挑戰(zhàn)之一是理解“虛擬化安全是什么？我如何應用虛擬化安全？”
三種虛擬化安全類型
虛擬安全市場正在迅速解決與客戶虛擬機有關的安全問題，例如，補丁管理和檢查同一臺主機和軟交換機上的虛擬機之間的網(wǎng)絡通訊，直接在虛擬客戶機上應用這些安全技術。事實上，虛擬化安全實施最大的推動因素之一是推出了在虛擬平臺基礎設施上運行的殺毒和防火墻虛擬機。然而，與虛擬平臺本身有關的風險仍然是不清楚的，因為目前對于內部管理程序和平臺安全還沒有大量的解決方案。雖然從戰(zhàn)術方面看管理程序是數(shù)據(jù)中心中最不容易被利用的部分，但是，從戰(zhàn)略上看，管理程序是虛擬數(shù)據(jù)中心最誘人的攻擊目標，因為攻破這一點就可以訪問數(shù)據(jù)中心的多個虛擬系統(tǒng)（如果不是全部的話）。
虛擬化安全策略
管理虛擬安全問題：現(xiàn)在開始規(guī)劃
企業(yè)IT部門現(xiàn)在應該做的事情是保護自己不受當前和未來的虛擬化安全威脅嗎？首先，也是最重要的，企業(yè)應該分析自己使用的虛擬平臺的具體風險。重要的是要知道這個架構的變化如何影響到現(xiàn)有的安全管理系統(tǒng)。企業(yè)IT部門在向虛擬機遷移或者應用虛擬機之前還應該制定戰(zhàn)術的和戰(zhàn)略的安全計劃。這些安全計劃是通過對現(xiàn)有的虛擬安全進行綜合分析實現(xiàn)的，同時還要計劃應付虛擬平臺的未來的安全威脅。規(guī)劃以及當前架構和安全管理中的小的變化有助于防御未來的管理程序和平臺級的虛擬化攻擊。
總的來說，作為整個虛擬化安全架構的一部分，IT部門應該把重點放在三個虛擬化方面：
這三個方面將幫助IT部門保護其虛擬基礎設施抵御當前的威脅，并且?guī)椭鶬T部門緩解未來的攻擊威脅。
按照位置分開虛擬機
虛擬安全領域經(jīng)常討論的問題之一是在隔離區(qū)使用虛擬平臺。經(jīng)?？吹揭粋€物理虛擬機主機在隔離區(qū)運行公共的和專有的虛擬機，這兩個安全領域的區(qū)分是在軟交換機上實施的。在實踐上，這種架構沒有物理環(huán)境的架構那樣安全，因為這種架構的虛擬機和物理機器共享運行環(huán)境。在物理領域，公共機器應該插入同一臺交換機，虛擬局域網(wǎng)應該與專用機器分開，他們的計算資源（CPU、內存、總線和網(wǎng)絡）是不同的。采用虛擬平臺，這個計算的區(qū)分就消失了。一臺主機上所有的虛擬機將共享CPU、內存、總線和網(wǎng)絡資源。從理論上說，這個共享的虛擬架構提供了從公共網(wǎng)絡向專有網(wǎng)絡機器實施直接攻擊的線路。這相當于把你的全部隔離區(qū)的雞蛋都放在一個籃子里。虛擬平臺上的一切都是由相同的軟件共享和管理的?？刂铺摂M局域網(wǎng)部分的軟件也控制這個主機的IP堆棧。那個主機上的IP堆棧中的安全漏洞會使整個客戶網(wǎng)絡處于危險之中。
消除共享的隔離區(qū)資源的安全威脅的解決方案是在物理上把公共的虛擬機與專用的虛擬機分開，在不同的主機上運行和管理這些虛擬機。所有公開的虛擬機都應該放置在公開的主機服務器上，用電纜線連接到物理地分開的網(wǎng)絡。對于使用VMware公司的vCenter技術大規(guī)模實施虛擬化的企業(yè)來說，把公共資源與專用資源集群（許多組主機根據(jù)資源組成一個單一的管理池）分開也是很重要的。例如，VMware公司的DRS軟件能夠在一個集群中的主機之間動態(tài)遷移虛擬機。如果公共的和專有的主機在一個集群中是共享的，一個DRS事件就可以根據(jù)資源的需求把一個專用的虛擬機遷移到公共主機服務器，從而取消了任何資源區(qū)分的好處。
