摘要：相比于傳統架構，服務器虛擬化技術實現了計算、網絡和存儲資源的統一管理，具有更高的平臺投資效費比、簡化管理難度及擴展性強等優勢，將其應用于黨政內網及軍工涉密等信息敏感程度高和網絡安全重要性強的領域，建設基于服務器虛擬化技術的數據中心，對其網絡安全方面提出了更高的挑戰。文章通過分析服務器虛擬化涉及的網絡安全風險點，提出了選用國產自主可控的安全虛擬化產品、三網分離、安全域劃分等網絡安全設計思路，在提升數據中心運行效能的前提下，使得數據中心網絡更加安全、可靠。

　　關鍵詞：服務器虛擬化;數據中心;網絡安全

　　在新的信息技術不斷革新，網絡安全形勢復雜變化的大背景下，虛擬化技術作為云計算的關鍵技術，逐漸顯現了其在數據集中管控、安全邊界收緊、用戶策略統一管理等安全優點，并在減少投資、降低管理成本、提高資源利用效率等方面具有優勢。將虛擬化技術應用于黨政內網及軍工涉密等信息敏感程度較高的領域的需求是迫切的，本文在深入分析虛擬化環境下信息系統安全風險的基礎上，基于國產自主可控的安全虛擬化產品，從虛擬化資源管理系統安全、身份認證與管理、安全監控與審計、病毒與惡意代碼防護、端口及介質管控、管理平臺安全等方面進行了安全設計和產品實現，有效控制了網絡安全風險。

　　1 安全風險分析通過對虛擬化環境下數據中心網絡安全風險進行整理及評估。

　　虛擬機間攻擊的風險惡意虛擬機通過攻擊物理機影響其他虛擬機傳統系統中主機互相獨立，不存在此風險，而虛擬化環境下由于多個虛擬機運行在同一物理機內，虛擬機有可能對物理機內其他虛擬機實施攻擊，需要能夠隔離防護這種攻擊虛擬機間的流量繞過監控與審計措施傳統系統內主機之間的流量可被傳統網絡監控審計措施監管，而傳統措施無法用于虛擬化環境的監控與審計，需要有技術措施對虛擬化信息系統內的流量進行控制，監控與審計措施能夠發現虛擬機之間的攻擊行為用戶違規操作的風險用戶試圖對虛擬機內配置進行修改傳統系統內主機內部的操作可被傳統審計工具檢測，而虛擬化環境下的主要操作在虛擬機，需要采用安全產品對虛擬機內的操作進行審計監控用戶突破安全規則使用虛擬機資源傳統系統的用戶只能操作本地資源，而虛擬化環境下的主要操作在虛擬機。

　　虛擬機有可能突破規則使用虛擬化信息系統資源，需要保證虛擬機間的資源隔離，并能監控和審計虛擬機使用情況管理員配置管理的風險管理員擁有過多的虛擬機平臺管理權限傳統系統管理員擁有的權限主要在于應用系統和管理系統，而虛擬化環境下管理員掌握了所有的虛擬化資源，具有權限較大，需要對管理員嚴格進行權限劃分和制約管理員對虛擬化管理平臺的非法操作或誤操作傳統系統如果出現管理員非法配置操作一般只會影響業務系統，而虛擬化環境下管理員對虛擬化管理平臺的非法操作會影響整個虛擬化信息系統。

　　需要有機制降低管理員的錯誤配置風險，并監控與審計其操作系統配置管理日志泄露 傳統系統也存在此風險，而虛擬化環境下系統日志涉及整個系統的信息安全，對重要管理日志需要加強保護數據混雜風險不同密級虛擬機共用物理主機傳統系統不同密級服務器是分離的計算機設備，數據能夠有效隔離，而虛擬化環境下虛擬機可以共用物理主機，網絡邊界也較模糊，不同虛擬機的數據有可能混雜，用戶數據隱私和保密受到挑戰不同密級虛擬機共用存儲設備傳統系統不同密級服務器的存儲是分離的，不涉及此風險，而虛擬化環境下不同密級安全區域可能存在共用存儲集群的情況，需要對存儲設備進行隔離與訪問控制，以保證不同安全域對數據的隔離數據泄露風險虛擬機遷移時數據被非法復制或掛載傳統系統不涉及此風險，而虛擬化環境下虛擬機發生遷移過程中，數據卷可能被非法復制，需要保證遷移時不跨密級并清除原有數據系統底層漏洞風險虛擬機監控器漏洞 傳統系統不存在此風險，而虛擬化環境下增加了虛擬機監控器一層，負責物理資源的調度，責任重大。

　　若采用存在后門的國外虛擬機監控器，將會影響整個虛擬化信息系統的數據安全硬件設備內含有惡意代碼傳統系統也存在此風險，而虛擬化環境下由于所有虛擬機運行在虛擬化信息系統的硬件內，若硬件底層存在惡意代碼，則整個虛擬化信息系統的安全受到威脅，需要技術措施(如 TPM 芯片技術)保證設備完整可信機房物理設施風險 機房被未授權人員進入 傳統系統的數據中心規模相對較小，而虛擬化信息系統機房部署了大量核心設備，攻擊影響面巨大，需要在機房設施門禁增強鑒別措施虛擬化信息系統災難風險重要數據丟失 傳統系統數據中心面向的用戶面較小，而虛擬化信息系統一旦發生災難會導致所有數據丟失，需要增強備份恢復機制重要業務被中斷 傳統系統數據中心只運行應用業務，而虛擬化信息系統運行所有虛擬機，發生災難會導致全部業務終止，應急和恢復需要迅速響應。

　　2 網絡安全設計

　　2.1 選用國產自主可控的安全虛擬化產品相比于 VMware、Citrix 等國外虛擬化產品，國產自主可控的安全虛擬化產品具有全自主國產化優勢，獲得了相關保密資質，更安全可控;符合涉密信息系統分級保護要求，強化了虛擬化內核安全，從結構和全面性上保證了虛擬化環境的體系性安全。

　　2.2 安全域劃分及邊界防護

　　根據系統處理信息的密級、責任單位、業務等將網絡劃分為不同的安全域，如終端安全域、安全管理服務器安全域、業務應用服務器安全域等。為了減少虛擬機隱通道攻擊的風險，服務器虛擬化系統將隸屬于不同安全域的虛擬服務器以獨立集群方式建設，位于不同安全域的虛擬服務器所使用的宿主機、存儲、交換機等均物理分開，確保不同密級的虛擬服務器不共享計算、存儲等物理設備。針對不同的集群，分別劃分 2個安全域：服務器安全域-虛擬化、服務器虛擬化集群管理安全域。在安全域邊界采用防火墻進行安全域間的訪問控制。

　　2.3 三網分離

　　服務器虛擬化系統通過隔離網絡平面將業務流進行分化，將虛擬化資源管理系統劃分為業務網平面、存儲網平面和管理網平面，并且三個平面之間是隔離的，避免不同數據流交叉，混雜傳輸。業務網平面：為用戶提供業務通道，為虛擬機虛擬網卡的通信平面，對外提供業務應用。存儲網平面：為存儲設備提供通信平面，并為虛擬機提供存儲資源，但不直接與虛擬機通信，而通過虛擬化資源管理系統轉化。管理網平面：負責整個虛擬化系統的管理、業務部署、系統加載等流量的通信。

　　2.4 物理安全門控措施：

　　數據中心機房設置雙人認證方式的門禁系統，嚴格落實審批登記管理制度。設備安放：服務器虛擬化系統的宿主機、集中存儲等關鍵硬件設備所在機柜加鎖防護，并確保在攝像頭覆蓋范圍內，24 小時視頻監控。設備數據接口：在服務器虛擬化系統的宿主機上安裝計算機及移動存儲介質管理系統，對光驅、軟驅、USB 口、并口、串口等進行管控，防止被非授權使用。設備維修：機房巡檢、設備維修維護等，至少 2 名機房運維管理人員同進同出，外來人員進入機房，機房運維管理人員全程旁站陪同。在對服務器虛擬化系統宿主機、存儲等關鍵硬件設備進行維護時，至少 2 名機房運維管理人員同時在場方可進行物理設備操作。

　　2.5 運行安全

　　(1)備份與恢復虛擬化資源管理系統的服務器采用雙機熱備方式部署，出現系統故障時，可實現快速恢復或自動切換。采用備份系統對虛擬機進行定期自動備份，當虛擬機崩潰或系統異常時對其進行恢復，保證磁盤文件和系統存儲的完整性;對應用相關數據(數據庫、非結構化業務數據、系統配置文件、日志文件等)進行定期自動備份，當應用相關數據因誤刪或損壞時對其進行恢復，保證應用數據的完整性。(2)惡意代碼與計算機病毒防治虛擬化環境下采用輕代理的防病毒方案，在宿主機和虛擬機上安裝防病毒軟件驅動進行病毒查殺和實時監控。

　　(3)虛擬機安全監控與審計在虛擬機中安裝審計監控客戶端軟件，實現虛擬機中的操作行為審計。包括對主機狀態、配置信息、賬戶、進程、服務、主機網絡連接、打印、刻錄、非授權接入、共享、補丁安裝、文件和目錄操作、違規以及異常行為進行監控和審計。將服務器虛擬化系統中的虛擬交換機流量外遷至指定虛擬交換機端口和物理交換機端口，之后再接入入侵檢測系統，監控宿主機內各虛擬機之間的網絡行為。利用國產化安全虛擬化產品自身對虛擬資源管理、虛擬機管理、賬戶管理、策略設置等管理員操作行為和系統事件、資源狀況、更新維護等行為進行審計。(4)端口及介質管控在宿主機和虛擬機中安裝計算機及移動存儲介質管理系統客戶端，進行違規外聯監控，以及端口使用控制、監控和審計，并對違規外聯行為進行報警和阻斷。(5)運維安全設置專門用于服務器虛擬化運維管理的終端，進行地址綁定，專人使用，運維人員對該終端的使用采取視頻監控;宿主機的運維管理網絡單獨組網。

　　(6)虛擬化資源管理系統安全加固宿主機的操作系統均采用經過剪裁的 Linux 系統，在剪裁過程中，僅保留必要的硬件驅動及虛擬化資源管理必要的服務，僅開放虛擬機管理系統進行業務管理必需的網絡端口，針對有限的開放端口也進行綁定保護。關閉不必需的多余賬戶，并對 root 賬戶進行加固，禁止使用 root 賬戶直接登錄，提高賬戶密碼復雜性要求，減少密碼錯誤重試次數，并增大重試錯誤后的間隔期，提高系統在密碼暴力破解面前的安全性。對系統重要組件和文件進行定期文件一致性檢查，確保系統的安全性。(7)虛擬機安全管理制訂虛擬服務器使用管理制度，對虛擬服務器的申請、審批、創建、使用、廢止等環節進行全生命周期管控，明確根賬號的管理、虛擬服務器管理、鏡像模板管理、機房進出、運維管理、備份與恢復、應急演練等。(8)安全性能檢測采用漏洞掃描系統，定期對服務器虛擬化系統進行漏洞檢測、分析和評估，及時發現存在的安全漏洞并進行修復。

　　2.6 信息安全

　　(1)物理隔離服務器虛擬化系統與互聯網及其他公共信息網絡物理隔離。(2)虛擬機密級標識服務器虛擬化系統中，根據虛擬機處理涉密信息的最高密級，標識其虛擬機的密級。密級標識與虛擬機不可分離，并在其全生命周期過程中不得非授權修改。(3)身份認證管理員登錄虛擬化資源管理系統，業務用戶登錄應用系統均采用基于雙因子身份鑒別方式，如數字證書的 USBKey 與 PIN 碼相結合的方式進行身份認證。

　　3 結語

　　基于服務器虛擬化技術作為數據中心的基礎架構，雖然使得數據中心運行更加高效，但其安全隱患也非常多。本文梳理了涉及的各種網絡安全風險，提出了相應的安全設計思路，可供各種應用場景進行參考，尤其是政府內網及軍工涉密等領域。在保障服務器虛擬化為數據中心提供高效的技術架構的前提下，強化網絡安全的研究設計，更好服務于各種應用場景。

　　參考文獻：

　　[1]苑順周，姚曉冬，刑羽.基于超融合技術的數據中心網絡安全設計[J].網絡安全技術與應用，2021.

　　[2]翟勝軍.談分級保護網絡中的安全域劃分[J].保密科學技術，2011.

　　[3]向嵬，王東.計算機技術中虛擬化技術的運用研究[J].計算機工程應用技術，2021.

　　[4]張玉賀，李陸，續煥超，等.國產服務器虛擬化操作系統的應用與實踐[J].網信軍民融合，2019.

　　作者：金俊玲 王昕