虚拟化网络环境面临的威胁

网络虚拟化带来了许多有用的特性，但它没有像物理网络一样提供一般的安全水平，但在一定程度上降低了网络的安全保护性能10。首先，传统网络中的漏洞也会反映在虚拟网络组件中11，虚拟网络中的流量可能会由重路由到非安全路径，导致信息泄露。其次，虽然虚拟安全应用可以缓解网络威胁，但这些措施也会带来传统方式造成的风险。第三，传统网络中二层的交换设备曾被VLAN跳跃攻击困住，AＲP欺骗、树木攻击等威胁已被许多安全产品成功解决，但在虚拟网络中，这些安全产品无法生效，产生了新的安全威胁。2.1对物理和虚拟局域网的威胁，无论是物理划分还是虚拟划分，网络中的每个网段都有自己的目的和需求，因此网络段之间的隔离成为确保基本网络安全的关键。从理论上讲，所有的网络通信都会进入特定的物理端口，但在大多数情况下，由于缺乏虚拟化服务器物理端口的支持或其他条件，这种期望很难实现。在虚拟化平台内部，不同虚拟机属于不同VLAN的流量通过平台中的虚拟交换机中继，全部汇入公共物理端口，为攻击者逃离VLAN，威胁其他网络通信安全创造条件。与传统网络一样，虚拟化网络面临着VLAN跳跃攻击，CAM/MAC洪泛攻击，AＲP欺骗，生成树攻击，DoS攻击，MAC以VLAN跳跃攻击为例说明地址欺骗等攻击威胁。VLAN跳跃攻击的方法是:攻击者逃离自己的VLAN段，拦截或修改其他VLAN的流量，从而达到跳跃攻击多个VLAN段的目的。VLAN跳跃攻击通常是针对思科的专有协议，即动态中继协议DTP，主要目标是802.1q与中继封装协议。攻击者创建其他VLAN标志的流量信息，这也体现在虚拟环境中。例如，在VMwareESX/ESXi在平台12中，主机支持三种类型的VLAN识别，即外部交换识别EST，虚拟交换标识VST、虚拟客户标识VSTVGT，这些标志用于确定VLAN数据帧支持哪种传输方式，包括物理交换模式、虚拟交换模式和虚拟机模式。在虚拟客户识别模式下，当二层数据帧与虚拟交换机交互时，VLAN虚拟机网络堆栈与物理交换机之间存在标识。假如虚拟客户标识(VGT)被用于802．1q恶意VM用户将使用该机制生成类似的数据帧，伪造和篡改信息。攻击者还可以模拟物理交换机或虚拟交换机的中继谈判，这样他们不仅可以发送，还可以接收来自其他VLAN的流量信息。2.2对虚拟化网络的威胁对虚拟化系统网络的攻击是虚拟化环境中独特的安全威胁。这里结合上述虚拟化网络环境分析来解释一些主要的攻击威胁。（1）物理管理网络访问物理管理连接的威胁使攻击者能够威胁到一个完整部署的虚拟化系统。攻击者可以随意关闭，重启并控制所有物理服务器和虚拟机。这也是为什么只有高权限的用户才能通过特定的端口访问管理界面并管理主机设备的主要原因。（2）对虚拟机迁移连接的威胁由于虚拟机迁移涉及许多敏感的明文数据信息传输，迁移通常分为独特的LAN或VLAN，限制网络数据的传播。攻击虚拟机迁移网络，攻击者可以窃取客户机的敏感信息，甚至进一步控制这些信息，而且由于大多数迁移方案没有数据加密，这种威胁非常有效。目前，VMware已经在其迁移产品VMotion中使用了SSL来解决这一问题，但在少数虚拟环境中仍然使用了这一功能。（3）由于管理信息的重要性，虚拟管理通信实体也应放入单独的网段。通过访问虚拟管理通信信息，攻击者可以修改虚拟网络的拓扑结构，控制端口到VLAN之间的映射，将虚拟交换机设置为混合模式（用于拦截同一VLAN中其他网络的通信信息），打开特定端口创建“后门”等。因此，虚拟管理网络应该有一个足以防御二层攻击的专用网段。此外，在部署VMwareESX等虚拟平台时，使用控制台程序使用相同的网络接口来启用一些默认的虚拟机端口，使虚拟机可以访问纯文本信息和敏感的管理数据。同样，VMware另一种威胁是管理客户端通过SSL访问ESX主机。由于自签证书不是由授信的第三方颁发的，任何人都可以生成新的密钥对并签署公钥。不知情的用户会简单地收到这样的证书。由于证书不可信，造成了严重的安全问题。(4)对存储连接的威胁存储虚拟化也有很强的安全性要求。首先，存储数据可能包含各种敏感应用数据；其次，存储数据可能包含系统数据，供攻击者使用，然后威胁虚拟化环境。首先要注意的是对本地存储的攻击威胁。例如，当访问虚拟化平台上的vmdk文件时，可能会导致客户机逃离主机等隐患。此外，对于虚拟存储网络来说，最大的安全威胁来自恶意用户对传输数据的嗅探攻击。这个问题的根本原因是硬件和软件都没有从根本上提供相应的解决方案。例如，光传输通道以明文的形式传输所有数据，因此必须通过其他方式控制和隔离未授权资源的访问。此外，VMware等软件提供商提供的存储迁移解决方案(StoragevMotion)，以及Xen环境中使用的基于IP的存储服务，存储信息通常是非加密的格式化数据，攻击者很容易窃取或修改整个磁盘的信息。此外，在共享存储的虚拟磁盘上，具有特定权限的攻击者可以非法访问13。（5）威胁业务信息连接的业务信息连接用于传输用户的特定流量数据，如网络服务访问，VPN等等，这些数据可能包含大量的用户相关敏感信息，一旦泄露将为恶意用户网络攻击创造条件，如通过获取相应的合法密码信息访问特定的网络服务，进入虚拟机服务器，然后利用相应的网络服务漏洞，利用技术手段提高用户权限，威胁虚拟平台的安全。因此，还需要对业务信息连接进行有效的保护。