10 mối đe dọa về bảo mật trên máy chủ ảo

10 mối đe dọa về bảo mật trên máy chủ ảo.Các lỗ hổng của chương trình điều khiển máy ảo (Hypervisor), lừa đảo máy ảo, lưu lượng mạng ngày càng tồi... Những rủi ro về công nghệ ảo hóa lớn nhất hiện nay là gì và cách đối phó với chúng như thế nào? Đây chính là lúc mà chúng ta phải tách rời cơ sở lập luận (thực tế) từ những hư cấu và bắt tay vào làm việc cụ thể đối với vấn đề này.Năm 2007, một câu hỏi lớn nhất về vấn đề ảo hóa trong các...
Nội dung trích xuất từ tài liệu:
10 mối đe dọa về bảo mật trên máy chủ ảo10 mối đe dọa về bảo mật trên máy chủ ảoCác lỗ hổng của chương trình điều khiển máy ảo (Hypervisor), lừa đảomáy ảo, lưu lượng mạng ngày càng tồi... Những rủi ro về công nghệ ảohóa lớn nhất hiện nay là gì và cách đối phó với chúng như thế nào? Đâychính là lúc mà chúng ta phải tách rời cơ sở lập luận (thực tế) từ nhữnghư cấu và bắt tay vào làm việc cụ thể đối với vấn đề này.Năm 2007, một câu hỏi lớn nhất về vấn đề ảo hóa trong các trung tâm dữ liệuđược đặt ra đó là “Cần phải tốn bao nhiêu tiền và bao nhiêu thời gian để bảovệ chúng ta trong vấn đề này?”. Năm 2008, câu hỏi lớn sẽ là “Chúng ta sẽđược an toàn như thế nào?”. Đó là một câu hỏi rất khó để có thể trả lời. Hãyxoay quanh các hãng và cố vấn trong lĩnh vực này. Một số nhà nghiên cứubảo mật đang cường điệu hóa những rủi ro mang tính lý thuyết như vấn đềkhẩn cấp malware có thể nhắm vào các chương trình điều khiển máy tính ảo(một mối đe dọa vẫn chưa xuất hiện trong thế giới thực). “Có rất nhiều bàntán xung quan vấn đề ảo hóa này và nó có thể đang làm cho chúng ta rối trí”,Chris Wolf, một nhà phân tích cho công ty nghiên cứu thị trường BurtonGroup đã nói như vậy.Như đổ thêm dầu vào lửa trong việc cường điệu hóa sự thật này, nhiều tổchức CNTT nói rằng họ đã ưu tiên tốc độ vận hành hơn cả các hệ số khác,trong đó có việc lên kế hoạch bảo mật, khi họ bắt đầu việc tạo hàng trăm máyảo (VM) trong năm 2007. (Điều đó hoàn toàn không có gì ngạc nhiên, khibạn cho rằng hầu hết các doanh nghiệp đã bắt đầu với vấn đề ảo hóa trên cácmáy tính phát triển ứng dụng và sự kiểm thử của họ, không cho các máy chủđang chạy trong các ứng dụng cốt yếu).“Chúng tôi cho rằng vấn đề bảo mật sẽ là một vấn đề không thể bỏ sót trongcông nghệ ảo hóa. Thật là điên rồ khi bạn nghĩ về con số các máy tính ảomức sản xuất”, Stephen Elliott, giám đốc nghiên cứu về phần mềm quản lýcác hệ thống doanh nghiệp của IDC đã nói như vậy. Cũng theo số liệu củaIDC cung cấp, có tới 75% công ty với khoảng hơn 1.000 nhân viên đang triểnkhai công nghệ ảo hóa ngày nay.“Và tính đến năm 2009, khoảng 60% các máy tính ảo tham gia hoạt động sảnxuất sẽ kém an toàn hơn so với các máy tính vật lý”, Gartner, phó chủ tịchNeil MacDonald đã dự đoán trong một phát biểu của ông vào tháng 10/2007.Tuy nhiên nhiều thảo luận về vấn đề bảo mật công nghệ ảo này hiện cho thấycó nhiều thiếu sót, chuyên gia bảo mật Chris Hoff đã nói vậy, ông cũng giảithích thêm bởi vì mọi người thường dựng lên một thảo luận bằng cách hỏixem các máy chủ ảo sẽ an toàn hơn hoặc kém an toàn hơn những máy chủ vậtlý.Đó hoàn toàn là một câu hỏi sai lầm, Hoff nói vậy, các blog của ông thườngnêu chủ đề. Câu hỏi đúng đối với thời điểm hiện nay cần nêu ra là “Bạn cóđang áp dụng những gì đã biết về bảo mật đối với môi trường ảo hóa của bạnkhông?”“Mọi người thường hay sa đà vào những vấn đề lý thuyết… khi thực tế có mộtxu hướng rõ ràng những thứ có thể thực hiện ngày nay” Hoff nói thêm. Rõràng, sự ảo hóa có dẫn đến một số vấn đề bảo mật mới, nhưng những thứ đầutiên đó là “Chúng ta phải thực tế. Hãy bảo đảm rằng chúng ta phải xây dựngđược các mạng ảo cũng như những gì chúng ta đã làm được với mạng vậtlý”.Trong một ví dụ, ông ta chỉ ra một công cụ quản lý ảo hóa như VMotion củaVmware, đây là một công cụ rất hữu dụng cho việc chuyển các máy ảo mộtcách kịp thời khi gặp vấn đề, và cũng có thể cho phép ai đó với các quyềnquản trị viên có thể phối hợp hai hay nhiều máy ảo đó mà trong thế giới vậtlý, sẽ phải phân tách một cách thận trọng dưới dạng lưu lượng mạng chonhững lý do về bảo mật.Một số tổ chức CNTT đang gặp phải một vấn đề lỗi mang tính căn bản hiệnnay. Họ đang cho phép nhóm máy chủ chạy những nỗ lực ảo một chiều màkhông đoái hoài gì đến vấn đề bảo mật, lưu trữ và kết nối mạng của độiCNTT. Điều này có thể gây ra rất nhiều vấn đề về bảo mật mà sẽ không có gìđể làm với sự yếu kém cố hữu của công nghệ ảo hóa và các sản phẩm. “Đâylà một cơ hội hoàn hảo để đưa vào các nhóm hỗ trợ cùng với nó”, Hoff nóinhư vậy.“Ảo hóa là kế hoạch 90%, kế hoạch có cả nhóm hỗ trợ về mạng, bảo mật vàlưu trữ” Wolf của Burton Group đã nói như vậy. Tuy nhiên một thực tế là,hầu hết các đội hỗ trợ CNTT đều không quan tâm nhiều đến công nghệ ảohóa và hiện phải tiến hành để đuổi kịp. Điều gì sẽ xảy ra nếu bạn bỏ lỡ mấtthời cơ lên kế hoạch với tất cả các chuyên gia của mình, hay bạn sẽ phải lolắng nhiều hơn khi mở rộng số lượng máy ảo và đưa vào các ứng dụng quantrọng hơn cần đến độ bảo mật cao hơn vào các máy ảo này?“Để bắt kịp, bắt đầu với một kiến thức tốt về cơ sở hạ tầng ảo hóa bằng sửdụng các công cụ hoặc các cố vấn, sau đó bạn phải làm việc quay trở về cácvấn đề trước đó”, Wolf đã nói như vậy.Dưới đây là 10 bước quan trọng các doanh nghiệp có thể nắm lấy, tham khảođể thắt chặt vấn đề bảo mật công nghệ ảo hóa:1. Kiểm soát các vấn đề tràn lan đối với máy ...