日期:100/8/30TheImportanceofVirtualizationSystemSecurity家庭的保險櫃TheImportanceofVirtualizationSystemSecurity虛擬系統的弱點分佈(1999-2009)管理控制台(1)管理控制台(1)管理層攻擊(3)虛擬管理軟體攻擊(5)顧客虛擬機器移動攻擊虛擬機器移動–VMmigrationistransferofguestOSfromonephysicalservertoanother–Implementedbyseveralvirtualizationproducts–ProvideshighavailabilityanddynamicloadbalancingHyperjackingrootkit攻擊，專門針對系統管理程序的攻擊，能夠同時訪問多個虛擬機如何取得控制權?其中一種方法是覆寫磁碟上包含paged-outkernelcode的pagefiles(1)將原有kernelcode移出至memory(2)尋找pagefile上一個未用的驅動程式，以Shellcode取代其dispatchfunction(3)設法引起該驅動程式執行(4)此時，執行Shellcode，可載入其他惡意程式碼(5)進一步攻擊其他虛擬機器–已知網路劫持工具:BluePill,SubVirt,Vitriol網路劫持Hyperjacking-BluePill簡介網路劫持Hyperjacking-BluePill簡介網路劫持Hyperjacking-SubVirt簡介網路劫持Hyperjacking-subvirt簡介網路劫持Hyperjacking-subvirt簡介網路劫持Hyperjacking-subvirt簡介網路劫持Hyperjacking-subvirt簡介網路劫持Hyperjacking-subvirt簡介網路劫持Hyperjacking-subvirt簡介針對Intel所使用VT-x虛擬技術的處理器，該處理器擁有和AMD的安全虛擬機模式(SVM)/Pacifica功能類似的指令集。(1)虛擬系統概念新增可能弱點–過去5年有259新弱點(X-ForceDataBase)(2)虛擬系統的使用無法增加安全性(3)新增加作業系統(hypervisor)增加攻擊的可能(4)潛在增加攻擊的種類(5)虛擬機器的移動提供工作負載平衡分配，但增加安全的困難(6)增加一台虛擬機器愈是容易，愈是增加安全的風險(7)對虛擬系統新增管理系統，則增加攻擊的可能雲端新興安全問題利用虛擬技術來增加安全性：■IBMSecurityVirtualServerProtectionforVMWare®–利用虛擬技術提供利用虛擬機器與利用虛擬伺服器之間溝通的IPSprotection(傳統IPS只能提供應用程式的保護)■Futuremayseevirtualization-basedsandboxing–沙盒(Sandbox)環境為鎖死作業系統(locked-downOS)限定應用程式執行它們原本的功能–例如,禁止網路擷取–沙盒(Sandbox)可以在不同虛擬機器執行，用來打開可疑的檔案或應用程式管理伺服器組態–管理伺服器應透過防火牆與操作網路區隔–管理系統資料庫應只能由管理伺服器、資料庫管理員和備份軟體使用–遠端管理工具限制其擷取能力–應透過加密與驗證方式連接虛擬系統–使用logging監督虛擬機器組態–避免載入第三者軟體–禁止撷取未使用過的網路服務–對虛擬伺服器與管理伺服器同步處理以利log分析–管理log大小以避免fillingpartitions–執行檔案系統的完整性檢查與通行碼策略–只有管理員能夠管理監督虛擬機器–禁止遠端rootlogin顧客虛擬機器組態–加強伺服器•更新和修補OS•使用單一伺服器–禁止不需要的服務•使用本地防火牆以確保控制•使用較強健通行碼–保護虛擬機器檔案•使用存取控制(accesscontrol)•使用加密技術•使用稽核紀錄auditingoffileoperations(access,creation,deletion,…)–禁用不需要或不使用的virtualdevices•VMware提供樣板已產生新的VM影像虛擬環境組態–更新和修補虛擬管理軟體hypervisor–儘可能在不同的實體機器上對虛擬機器採用不同的安全策略在機器的群組間，建立虛擬防火牆–獨立VMtraffic:在虛擬交換(VirtualSwitch)定義VLANportgroupsin且每一個VM虛擬轉換器virtualadapter連接適當的虛擬網路埠portgroup–對portgrou