在云計算中，有三種基本服務(wù)模型：軟件即服務(wù)（SaaS）、平臺即服務(wù)（PaaS）和基礎架構即服務(wù)（IaaS）。此外，還有三種基本的部署模型：公有、混合和私有。虛擬化通常被用于上述的這些云計算模型和部署中，以實(shí)現其諸多優(yōu)勢，包括成本效益、增加運行時(shí)間、改善災難恢復和應用隔離。
在云部署中處理虛擬化時(shí)，誰(shuí)來(lái)管理安全并不重要，不管是提供商還是企業(yè)客戶(hù)，因為需要解決相同的安全問(wèn)題。選擇一項服務(wù)和部署模型時(shí)，要知道SaaS提供了這個(gè)環(huán)境最小的控制，同時(shí)IaaS則提供了最多的控制。類(lèi)似的，在公有云中，需要遵守云服務(wù)提供商（CSP）的規則，同時(shí)在私有云中，則具備環(huán)境的完全控制。這一點(diǎn)對于安全同樣適用，用戶(hù)控制了云部署中的很小的部分，而剩下的則由CSP控制。無(wú)法訪(fǎng)問(wèn)部署模型的具體部分，CSP則需要實(shí)施更合適的安全度量來(lái)處理。
云計算中虛擬化的安全問(wèn)題
盡管虛擬化帶來(lái)了很多優(yōu)勢，但是也導致了很多安全問(wèn)題：
管理程序：這個(gè)程序在相同的物理機上運行了多種虛擬機。如果管理程序中易于受到攻擊，攻擊者就會(huì )利用其進(jìn)入到整個(gè)主機，從而就可以訪(fǎng)問(wèn)每一個(gè)運行在主機上的客用虛擬機。由于管理程序很少更新，已有的漏洞會(huì )危害整個(gè)系統的安全。如果發(fā)現了漏洞，關(guān)鍵就是盡快打補丁，組織潛在危害。
資源分配：物理內存或者數據存儲被一個(gè)虛擬機使用并重新分配給其他虛擬機時(shí)，數據泄露也是風(fēng)險。泄露通常發(fā)生在不再被需要的VM被刪除以及釋放資源分配給其他的VM 事。一個(gè)新的VM收到了額外的資源，會(huì )采用取證調查技術(shù)獲取整個(gè)物理內存的的鏡像，以及數據存儲。整個(gè)鏡像隨后會(huì )用于分析，這樣就會(huì )將前一個(gè)VM留下的重要信息透露出去。
虛擬機攻擊：如果攻擊者成功威脅了一個(gè)VM，就可以在很長(cháng)一段時(shí)間里通過(guò)網(wǎng)絡(luò )攻擊相同主機上的其他VM。這也是越來(lái)越流行的一種跨虛擬機攻擊方法，主要在于VM之間的流量無(wú)法被標準IDS/IPS軟件程序檢查出來(lái)。
遷移攻擊：在必要時(shí)，大多數虛擬化界面中遷移虛擬機都很容易實(shí)現。VM通過(guò)網(wǎng)絡(luò )發(fā)送給另外的虛擬化服務(wù)器，這個(gè)服務(wù)器上相同VM已經(jīng)設置好。但是如果沒(méi)能很好地管理流程，VM就可以通過(guò)非加密的渠道發(fā)送，可能被工具這通過(guò)網(wǎng)絡(luò )中執行中間人攻擊（MITM）嗅探到。
減少安全擔憂(yōu)
下面我們來(lái)介紹如何減少上面指出的安全問(wèn)題：
管理程序：針對管理程序定期檢查可用的最新的升級非常重要，同時(shí)要相應的升級系統。通過(guò)保持管理程序的更新，能夠阻止攻擊者利用已知的漏洞并控制主機系統，包括運行在上面的所有虛擬機。
資源分配：當從一個(gè)虛擬機將資源再分配給另一個(gè)虛擬機時(shí)，二者都需要確保其安全。舊的數據存在于物理內存中，也存在于數據存儲中，需要用零來(lái)重寫(xiě)覆蓋。
虛擬機攻擊：有必要區別相同物理主機上的VM的流量進(jìn)入和輸出。這樣我們就能夠應用入侵檢測和預防算法盡快捕獲攻擊者帶來(lái)的威脅。
遷移攻擊：為了防止遷移攻擊發(fā)生，必須保證網(wǎng)絡(luò )的安全性，防止MITM滲透帶來(lái)的威脅。這樣做的話(huà)，就算攻擊者能夠威脅一個(gè)VM，但是無(wú)法成功執行MITM攻擊。此外，通過(guò)安全的取代發(fā)送數據可能也會(huì )比較有用。雖然有人認為最好還是在遷移必須發(fā)生時(shí)，破壞并重新創(chuàng )建虛擬機鏡像，但是通過(guò)安全渠道和網(wǎng)絡(luò )更靠譜。
對于虛擬化的云環(huán)境可能會(huì )出現多種攻擊，但是如果在實(shí)施和管理云部署的時(shí)候進(jìn)行了合適的安全控制和規程是可以預防的。在嘗試確保云環(huán)境安全之前，理解這些惡意攻擊如何執行很重要。這將有助于確保企業(yè)的防御更好地適應環(huán)境中最可能出現的威脅。在確保環(huán)境安全之后，檢查安全度量是否很好地嘗試執行攻擊預防。這些可以在企業(yè)內部執行或者聘請防御檢測公司來(lái)執行。
