1 云计算和虚拟化的安全问题
云计算的前景已毋庸置疑。但当前用户在考虑应用云计算服务时还存有各种疑虑，其中安全问题占据所有担心要素的首位。国外许多云计算数据中心都遭受过黑客和病毒的攻击，出现过断网现象。甚至云计算的倡导厂商谷歌、亚马逊、微软的在线服务也发生过宕机事件，导致网站长时间不能提供服务，影响波及大量用户。这些安全事件引发了云计算信任危机，也反映出云计算本身确实存在缺陷，尚不完善。今后一段时间内，制约云计算业务普及开展的重要挑战是安全问题。
云安全技术多集中在虚拟化安全方面。虚拟化是云计算的支撑技术，它实现了各种资源的逻辑抽象和统一表示，用以支持云计算中心根据用户业务需求的变化，快速、灵活、弹性地调用，响应用户的应用请求并提供服务，提高资源的利用率。然而，虚拟化的结果，却使得许多传统的安全防护手段面临着新的挑战甚至失效。从技术层面上讲，云计算与传统IT环境最大的区别在于其虚拟化的环境，也正是这一区别导致其安全问题有别于传统模式。虚拟化环境下计算、存储、网络结构、服务提供模式等的改变，带来了应用进程间的相互影响更加难以监测和跟踪，数据的隔离与访问控制管理更加复杂，传统的分区域防护界限模糊，对使用者身份、权限和行为的鉴别、控制与审计变得更为重要等一系列问题，对安全提出了更高的要求。
虚拟化环境下的安全防护问题成为IT界一个新的关注焦点。在实现功能的同时，追求效能最大化始终是任何一种技术所推崇的。如何在虚拟化环境下既能达到安全防护目的，又能节约IT资源，降低管理成本，需要有全新的思路。“无代理（Agentless）安全模式”将是最有希望的安全解决方案之一。
无代理安全模式是相对于传统有代理安全模式而提出的，所以要理解无代理安全模式的优势，需要将两种模式进行一下对比，分析各自的工作特点及利弊之处。
2 虚拟化环境有代理安全模式的弊端
虚拟化的早期阶段，安全解决方案尚无适应虚拟化环境的防护模式，人们只能沿用传统的安全防护策略，即在每台虚拟机上部署安全防护产品套件，即所谓的“安全代理”，这种安全防护模式称为“有代理模式（Agent-based）”。但随着云计算和虚拟化技术大规模的应用，此种模式已显现出多种弊端，主要体现在几方面。
1）传统安全软件都是基于物理机开发的，而非专门为虚拟化环境定制设计，尤其是没有考虑针对虚拟化环境下的资源共享进行优化。因而每一台虚拟机都安装安全软件的部署模式，对物理宿主机的存储空间、内存资源占用较大。当上百台虚拟机在同一时间开启病毒库自动升级或者自动进行云查杀，同时需要调用网络资源，数据中心的网络资源将面临极大的压力，甚至超负荷导致瘫痪，耗尽网络带宽，导致正常业务中断，这就是所谓的“防病毒风暴（AV Storms）”。这显然违背了云计算使用虚拟化技术节约IT资源的初衷，分散部署安全代理软件的模式降低了虚拟化本应带来的好处，导致了对服务器整合工作的不必要消耗。
2）云计算数据中心需要部署多种应用系统运行在不同的虚拟机中，各个虚拟机及应用系统之间的安全防护和访问控制带来了很多新的安全威胁与挑战。由于传统硬件的安全设备只能部署于物理边界，如入侵检测设备IDS，一般利用交换机的端口镜像功能，监控外部网络对DMZ区，以及DMZ区内部不同物理服务器之间的攻击行为。但在虚拟化环境中，位于同一台物理宿主机上的不同虚拟机之间的通信可能不经过网络交换机，利用传统的网络安全设备观察虚拟机间的通信方法失效，因而无法检测或抑制源于同一物理主机的虚拟机的攻击。如果攻击者攻克了一台虚拟机，获得了对其控制权，就可以对宿主机上的其他虚拟机发起攻击，进而获得整个服务器群的控制权，造成业务系统崩溃。如何增强虚拟环境内部虚拟机流量的可视性和可控性，提供虚拟环境内部的网络安全防护，传统的安全产品无能为力。
3）各虚拟机分散地防护（即有代理模式），不能保证各自均更新为最新版本，补丁完整得到了加固。因为虚拟化的初衷之一是绿色环保、低碳节能，当负载低时可以自动休眠某些虚拟机，当负载高时重新激活这些虚拟机。但在虚拟机休眠期间，病毒代码库和安全补丁是无法更新的，可能出现大量安全漏洞，一旦激活、联机后将可能立即受到攻击。在快照还原、休眠、激活过程中，同步且一致性地为这些安全策略已过期的虚拟机更新为最新安全策略是不可能的。攻击者可以利用这个时期攻击虚拟机，只要某一台虚拟机存在漏洞，出现安全防护的“短板”，就可能对整个虚拟化环境造成安全威胁，这也符合“木桶原理”。
4）在虚拟化动态环境中，新的虚拟机自动进行设置、重新配置，甚至自动迁移。这使得管理员在追踪、维护和实施安全策略时变得异常困难，分散管理模式的成本急剧增大，已难以适应。
综上所述，全新的虚拟化环境若仍然搭配传统的类似垂直式部署的安全防范策略，无疑影响了虚拟平台的使用效率，也势必降低整体安全性。
3 虚拟化环境无代理安全模式的优势
无代理安全模式基于宿主机整体考虑，以一个真实物理机为一个管理单位，用户无需在每个虚拟机中部署安装安全防护代理程序，将安全防护进程移出各个单独的虚拟机，集中部署在一台虚拟安全服务器中运行，分时扫描各应用服务器虚拟机，管理虚拟化环境下其他所有虚拟机的安全防护。因为安全服务器虚拟机直接部署在虚拟化平台上，对下层资源配置和利用情况具有完全的感知与掌控，充分利用虚拟化环境下对资源请求的时间差，统一调度，统计复用资源。这样，就避免了相同的安全防护进程在各虚拟机中并行地运行，并发地耗用底层资源，而改变为由一个虚拟安全服务器串行地运行，均衡了负载和资源的利用。
安全虚拟服务器可采用经过加固的专用系统，安全级别高，从而显著提升了无代理模式下的整体安全性。用户只需安装一次安全防护套件，一次性部署，然后对这台安全虚拟服务器随时在线升级和维护，对虚拟环境的性能不会造成显著影响。由于避免了各虚拟机重复性更新，也就避免了“防病毒风暴”等现象。只要保护好这台虚拟安全服务器，就能够让其他所有虚拟机得到最新的安全防护。从这一点看，在虚拟化环境中，集中式的无代理安全防护模式的安全性要高于分散式有代理安全防护模式。
因为在各虚拟机上取消了安全防护代理程序，因此可以帮助底层宿主机降低负担。近年来，恶意程序剧增，病毒库、补丁库体积越来越大，分散部署的有代理安全模式要占用大量资源。而采用无代理安全模式，当虚拟机数量较大时，节省的资源数量将非常可观，可以提高虚拟机密度，获得最大化效能。有测试报告表明，使用无代理安全防护模式，虚拟机器的整合率比使用分散的有代理安全防护模式提高数倍甚至一个数量级。降低了以牺牲性能获得虚拟化安全的制约。
无代理安全解决方案具有实时性，对于处于休眠状态的虚拟机，一旦激活便可以立即获得最新的防护，甚至对新克隆或安装的虚拟机裸机也同样，解决了虚拟机启动中的防护间隙（Instant-On Gap）问题。并且，安全虚拟服务器可以及时拦截并检查虚拟机内部通信，防止虚拟机间的攻击。
从易管理的角度来看，采用无代理安全防护模式，云计算数据中心在扩展、迁移虚拟机时，无需再次部署、设置安全解决方案，更新代理程序，虚拟机的迁移、资源的利用更具弹性。由于提供了统一管理机制，变分散管理为集中管理，大大降低了管理工作的复杂性和成本，省时、省力、省资源，因此总体上降低了企业的IT成本。在运维成本已占IT行业运营总成本极大比例的今天，无疑具有重要的现实意义，容易被企业所接受。因此无代理模式不仅可用于安全防护，进而可推广成为全面的统一管理平台。
无代理安全模式有效避免了有代理模式下产生的诸多负面效应，顺应了从分散走向集中的趋势，符合云计算、虚拟化、透明化、资源整合、集中统一管理的理念和技术潮流，未来必将成为大势所趋。
4 无代理安全模式目前存在的问题
无代理安全模式作为一项新技术（或许是一种过渡技术），目前还存在一些问题。
1）每台虚拟服务器运行的应用对安全防护策略的要求不尽一致，因而集中设置的防护策略区分粒度不够精细，不易实现差异化策略设定。
2）如果安全虚拟服务器被攻破，则全体应用服务器虚拟机的安全防护随之瓦解，出现单点失效问题。
3）无代理安全模式目前主要用于防病毒，因为应用服务器虚拟机中无任何代理，其他安全措施，如：基于主机的入侵检测（HIDS）、IPS、防火墙、审计、防黑、反垃圾邮件等方面必然较弱，安全防护的深度和广度还存在局限性。有代理模式分层扫描可做的较为细致，防护能力强。在无代理模式下，达到同样目的时效性可能会差一些。
4）同一虚拟平台上运行不同操作系统的虚拟机，由于操作系统结构不同，可能出现漏杀现象。
5）不支持跨虚拟化平台的使用。不同虚拟化平台提供给虚拟安全服务器的接口不同，受到不同虚拟化平台迁移的限制。
6）被保护虚拟机必须留有开放接口，以使虚拟安全服务器扫描，这相当于在虚拟服务器上开了一些后门，会带来一定安全风险。
由此可见，目前有代理和无代理安全模式各有各有所长。无代理安全模式正处于发展之中，需要有一个不断完善的过程，要经过长时间的演进。因此，根据具体的安全需求，目前在一些应用场合可能还需要配合有代理模式使用，达到优势互补。
5 虚拟化安全防护模式之展望
从有代理模式发展到无代理模式，开拓了一种虚拟化环境安全模式的新思路，是一种技术进步。沿着这一思路进一步向集中模式发展，最终，将安全防护功能下移到虚拟化平台层，整合进虚拟化系统中，直接监控进出虚拟机的数据，进而考虑实现防火墙、防病毒、IDS、IPS、深度包检测、综合安全网关（UTM）、数据的认证授权访问、法规合规性检查等一系列安全措施，相当于将安全防护部署前移，而无需在虚拟化平台之上再虚拟出一个安全虚拟服务器，这一解决方案更接近“无代理”的真正含义。从技术角度考虑，低层可以实现的功能，尽量不要放到高层去做，这样必然代价最小，资源利用率最高。
这里我们要明确一个概念，无论哪种安全模式，总要运行安全防护的进程，只是运行的位置和层次不同，因而实现的效能不同。当前“有代理”和“无代理”说法和争论更多还是从传统安全技术角度来区分的。虚拟化环境下系统体系发生了变化，与之相适应的安全系统也要有新的体系模式。在传统安全领域中，低层实现效率高，高层实现粒度细。在虚拟化环境下，整合解决方案如何做到安全防护既高效又深度感知，既功能齐全又保持虚拟化平台代码精简，这必然是今后一个重要研究领域。
虚拟化提供了一种集中模式，也为集中式安全管理创造了条件，而集中模式的管控是云环境下的趋势。整合解决方案为当前云计算数据中心仍广泛采用的复杂且分散的传统安全防护模式带来了一次观念和技术上突破的机会，前景美好，商机无限，有实力的厂家应看到这一点，投入力量研发。只要思路正确，技术上的问题总可逐步解决实现。
信息安全伴随着信息的存在而存在，是一个永恒的课题。只要外界存在安全威胁，传统安全领域存在的问题在虚拟化环境中依旧存在，只是攻防的模式会有所不同。安全防护始终是一个动态的过程，只有不断适应信息应用的模式，才能具有生命力和发展前景。
核心关注：拓步ERP系统平台是覆盖了众多的业务领域、行业应用，蕴涵了丰富的ERP管理思想，集成了ERP软件业务管理理念，功能涉及供应链、成本、制造、CRM、HR等众多业务领域的管理，全面涵盖了企业关注ERP管理系统的核心领域，是众多中小企业信息化建设首选的ERP管理软件信赖品牌。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：无代理安全防护模式
相关文章
