| 摘要：应用和操作系统虚拟化所包含的概念并非新概念，它们在服务器设备和桌面PC得到广泛普及的很长一段时间之前就已经出现。然而在过去几年内，虚拟化普及的速度（尤其是软件操作系统虚拟化）迅速提高。据EMC®公司CEOJoeTucci称，大部分VMware®客户已经计划在未来三年内实现其50%的IT基础设施的虚拟化2。虚拟机最终盛行起来，并且正迅速进入企业数据中心，成为各个地方的IT部门内所有人员和小组的通用工具。 |
在几星期内，工作按照预期进展，顾问将笔记本电脑带入并带出隔离的企业网络。在这个CRMPoC环境中，顾问例行地从虚拟基础设施库中“取出”他们处理的镜像，并且在场外对这些镜像进行数天和数周的处理。当他们返回到企业办公室时，承包商将把更新的虚拟镜像重新“放入”基础设施库，从而节省公司现场咨询和差旅费用。这些移动镜像仅允许接入他们所构建的虚拟库PoC环境和网络，而该环境和网络将通过/27网络分区上的分区VLAN进一步从企业网络中移除。公司的IT部门不信任顾问的笔记本电脑—的确是这样—而且未授权他们（或这些虚拟镜像）接入专用企业网络的任何部分。最后，虚拟化PoC数据库实验室建立完成，可随时交付给IT部门并开始测试。
几天过去了，公司对虚拟PoC库感到非常满意，能够以更低的成本全面测试整个CRM系统，并且消除了曾经影响际生产环境的缺陷和物流问题。但是，这种喜悦心情并没有长久。在周末，全部新的虚拟镜像意外破坏，使整个虚拟化实验室无法运行。整个星期一，IT人员都试图对镜像进行备份，但收效甚微；大部分镜像（只有一个除外）完全损坏而无法启动；虚拟驱动器文件被破坏。故障排除的时间比预期时间要长，因为无法对硬盘和文件系统采用标准的鉴定；这些系统都实现了虚拟化，而且硬盘上现在只有大的二进制破坏文件。
然而，唯一剩下的镜像处于杂乱状态，尽管可以启动并识别出加载程序，但操作系统无法启动，而且应用程序也不能运行。值得庆幸的是，公司有一位常驻的虚拟机专家，她能够将破坏的文件系统加载到新镜像中，对其进行修复，以供进行基础的调查工作。她还能够确定这个镜像是顾问在完成任务之前放入的最后一个镜像。现实是残酷的。这个镜像含有一个定时炸弹：其中安装并且编程了一些恶意代码，会在以后爆发。一旦自动起爆，这个炸弹将通过自身复制的蠕虫（包含大量的有效负载）从一台机器感染另一台机器。有效负载包含专门查看虚拟环境的工具，并攻击非常著名的虚拟管理机器。这个特定的攻击通过受感染的客户端镜像而攻击主机Hypervisor，使蠕虫能够通过客户端找到并破坏Hypervisor，并使整个库立即陷入瘫痪，破坏Hypervisor，并破坏虚拟基础设施。这个蠕虫的唯一缺陷是不能移除其自身以及携带该蠕虫的镜像，不能完全移除作为其载体的镜像，因为二进制文件必须驻留才能执行攻击。IT部门认识到，由于网络被完全分区，并与企业网隔离，风险并不是那么高。最后，主机和整个客户端网络必须从头开始构建，迫使项目重新开始，使预算增加一倍。虚拟基础设施对于快速构建孤立测试环境来说获得了成功，但IT部门未能认识到与移动操作系统和虚拟客户端相关的风险。客户端允许在没有任何屏蔽措施的情况下带回家之后再带回来。IT部门有例行程序禁止员工将个人机器带入企业网，将企业机器带回家，所有这些都是出于安全考虑。为什么需要以不同的方式处理虚拟机？遗憾的是，这通常是因为缺乏对移动平台可能造成的破坏的了解。与通常被视为应用程序的虚拟设备相比，我们可以更容易地认识到物理移动设备的这些危险，例如笔记本电脑。
评论表单加载中...
