虛擬服務器并不具有物理服務器內置的諸多安全保障機制。盡管現在入侵服務器已經成為一件非常困難的事情，但是從虛擬服務器當中成功竊取數據也并不會令人感到驚訝。
盡管虛擬化環境存在單點故障和安全漏洞等可能性，但是從另一方面來說其縮小了需要保護的設備范圍。借助于虛擬化技術提供的整合特性，企業的硬件設備規模不斷縮小，這種趨勢可以幫助減少一些和網絡及電力供應相關的高可用性需求。
虛擬化技術使用更加小型化的不間斷電源線路和發電機以保證電力的持續供應，減少物理網絡接口數量能夠降低網絡受到攻擊的風險，你甚至可以在處于活動狀態的端口上增加監控。盡管這種方式能夠減少和硬件相關的安全問題，但是不幸的是，其會對軟件資源造成很大的威脅。用戶能夠輕松創建并部署虛擬服務器和網絡，在某些情況當中甚至不需要得到提前批準。
當然，如果認為僅僅依靠一臺惡意服務器或者虛擬交換機就能夠造成整個基礎架構全部癱瘓，這種想法是十分牽強的。然而，如果一個未經注冊的系統進入到受控制的基礎架構之后，它的存在對于基礎架構的穩定性來說確實造成了威脅。惡意系統將會成為數據中心防護鎧甲上的一道裂紋，這種情況正在變得越來越普遍，因為在虛擬化環境當中部署新系統并不會面臨物理硬件開銷等種種限制。過去，在項目開始之前需要提前申請資金購買物理服務器， 最后這個過程居然成為一種防御惡意部署的安全保障措施。
然而對于虛擬化環境來說，只需要簡單點擊幾次鼠標就可以創建大量的虛擬服務器，之前成本方面的限制不復存在。保護基礎架構需要首先了解其中包含哪些組件，但是完成這項工作正在變得越來越困難。每臺新增加的虛擬機都有可能成為數據中心盔甲上的一個可能裂紋。限制虛擬環境用戶權限以及制定審計報告是防止部署惡意系統的最佳方式。
伴隨虛擬化技術所產生的、傳統硬件環境并不會遇到的另外一種安全問題就是數據竊取。過去，數據竊賊在嘗試獲取服務器的敏感數據之前都需要花費一段時間來破解操作系統的安全防護機制。這是因為通常竊賊并沒有其他可用方式：他們只能通過物理方式訪問硬件或者復制數據，而硬件通常被放置在封閉的環境當中，使用攝像頭和保安進行監控，而數據和軟件由操作系統進行加密和保護。登陸操作系統之后竊取數據是一種更加具有挑戰性的方式，如果有人想要訪問這些受保護的數據，還有可能觸發監控告警，并且其訪問信息也將會被記錄下來。當然，這并不意味著竊取數據的行為以后不會再次發生，但是實現難度已經大大提升。
而當虛擬化技術出現之后，服務器不再是硬件設備，而是位于存儲設備當中的一系列文件集合。和任何其他類型文件一樣，我們可以復制操作系統當中的任何數據，并且不會影響原始服務器的正常運行。這種特性不是bug，而是用來幫助部署虛擬機的全新特性。將虛擬機的所有文件復制之后，可以對其進行重命名之后再次開機，或者轉移到其他站點用于災難恢復。不幸的是，這種可移植性帶來了新的隱患。盡管服務器文件的體積非常龐大并且不容易移動或者復制，但也并非完全不能實現的。
由于復制的數據并不是處在活動狀態，因此可以輕松下載并復制到可插拔的USB設備當中，之后使用這些文件構建新的虛擬機。盡管竊賊需要使用額外權限才能夠訪問虛擬化環境，但是并不需要全部的管理員權限。虛擬化技術使得竊取整臺服務器甚至整個數據中心變為可能。竊賊不再需要物理訪問權限就能夠竊取服務器或者破壞現有的安全防護機制。
數據破壞
正如之前所說，虛擬機是一系列文件的集合，這意味著除了復制這些文件之外，某些用戶還可以刪除它們。不論是故意的——比如員工惡意報復；或者是異常的應用程序進程——比如失控的快照，在這些操作面前你的虛擬機都是十分脆弱的。VMware和其他廠商都擁有多種機制來保護和恢復數據，但是本質上，你的虛擬機仍然是一些可以被輕易刪除的文件集合。
數據竊取和破壞等情況可能出現在多種IT系統當中，不論是基于硬件還是軟件的。然而，如果服務器位于硬件環境當中，就存在一種受制于虛擬機數量和蔓延的天然防護機制，為數據提供安全保障。而對于虛擬化環境來說， 這些防護機制當中的大多數都不復存在。事實上，我們錯誤利用的很多工具和特性都有可能導致數據 竊取和數據丟失事件的發生。虛擬化技術并不會在短時間內消失，因此要求IT部門從不同的角度來重新思考系統的冗余性、可用性和安全性。
京公網安備 11010502049343號