雲端運算風險叢生 虛擬機安全防護刻不容緩

為虛擬基礎設施挑選防護措施，猶如為 Mac OS 購買防毒軟體，旁人往往不解：為何大費周章？然而，隨著愈來愈多 IT 企業將伺服器遷移至虛擬機與雲端環境，保護這些資源的議題逐漸浮上檯面，重要性與日俱增。

虛擬機安全絕非單純安裝防火牆或防毒軟體即可高枕無憂。實體伺服器的設計初衷，並非為了在運行 10 個虛擬伺服器的管理程式上檢查、過濾龐大流量。虛擬機具備一鍵啟動、通知、跨管理程式遷移等特性，所選防護措施必須能輕鬆因應這些動態操作。隨著資料中心虛擬機數量激增，其可解釋性、管理性與安全性均面臨嚴峻挑戰。倘若未經授權者取得管理程式存取權，即可利用控制缺口修改其中所有虛擬機。

隨著企業伺服器與資料中心基礎設施虛擬化程度加深，亟需配套的專業防護技術。雖然防護深度與廣度仍與實體伺服器防護產品緊密相關，所幸仍有眾多業界廠商勇於迎接挑戰。

防護功能類型

虛擬世界尚無單一統一的威脅管理工具；致力於虛擬機產品開發的廠商，初衷不僅止於單一防護產品。這類產品大致可歸納為四大功能分類：

• 法規與稽核：包含依據不同法規要求產出報告的能力（如支付卡行業標準 PCI DSS），以及稽核存取與管理日誌的功能。
• 入侵偵測 (IDS) 與防火牆：多數人思考虛擬機安全時首腦浮現的核心功能。
• 存取控制：能限制使用者中止虛擬機運行或變更其狀態；部分產品可整合 Active Directory 使用者，簡化策略部署。
• 防毒/反惡意軟體：類似實體世界的防毒工具，為虛擬機內的應用程式提供防護。

圖 1：Reflex Systems 虛擬管理中心提供直觀的虛擬機分布示意圖，滑鼠懸停圖標即可於螢幕右上角查看相關狀態資訊。

可用的虛擬機防護選項

過去一年，業界併購腳步加快，主流虛擬化與安全廠商積極擴充產品線與整合方案。VMware 收購 Blue Lane Technologies 並將其納入 vShield；Juniper Networks 收購 Altor Networks；Third Brigade 則併入 Trend Micro Deep Security 產品線。此外仍有多家小型廠商深耕此領域。

以下列舉典型虛擬機防護產品：

• Beyond Trust Power Broker 虛擬化伺服器
• Catbird vSecurity
• CA 虛擬權限管理器
• Centrify 直接授權
• Fortinet FortiWeb 虛擬機
• HyTrust Appliance
• Juniper/Altor 虛擬防火牆
• 精細雲端運算
• Reflex 系統虛擬化管理中心
• Splunk 虛擬化
• Third Brigade/Trend Micro Deep Security
• VMware/Blue Lane vShield 產品系列

上述產品各自防護虛擬基礎設施的不同層面，並無直接可比性。從併購案可見，虛擬機防護市場極具動態性，變數眾多。

圖 2：Trend Micro Deep Security 擁有具備警報摘要與事件歷史的主動式防入侵儀表板。

當您準備採購虛擬機防護方案時，務必與供應商就以下事項達成共識：

1. 需防護的管理程式特定版本：所有產品均與特定 VMware 主機搭配運行，部分僅相容較新版本（v4 或以上）；少數支援 Xen 主機（推及內建於 Xen、Amazon 網路服務），目前鮮有支援 Microsoft Hyper-V 的產品。
2. 是否需要代理程式及其安裝位置：部分產品在管理程式層安裝代理，免於在每個虛擬機額外安裝軟體；其他產品直接與 VMware 介面互動；仍有產品需 VMware vMA 或 vShield 附件。鑑於虛擬機常暫停、重啟，目標在於提供即時防護，避免傳統實體防毒產品的開機掃描延遲。
3. 電子郵件報告機制：報告是否清晰易懂、可供管理層決策？部分產品報告詳盡如電話簿，反而難以掌握重點；優秀產品連主管也能輕鬆閱讀。
4. 策略控制粒度：是否易於補充現有策略或建立新策略？此為基本功能，熟悉度將決定後續大部分操作時間。
5. 定價模式：各產品定價複雜，依虛擬機數、機位、受保護主機或設備收費不一。