虛擬化安全與雲端資安服務

對雲端運算的三種服務型式—SaaS、PaaS、IaaS而言，虛擬化目前已被廣泛的運用在IaaS服務之中，藉由虛擬主機（VM）的幫助，服務供應商提供了一個巨大的虛擬資源池（Pool），讓雲端運算可以快速且彈性的擴充，並且支援多租戶的方式，讓使用者可以採自助的方式，自由地調配所需的運算能力（包括CPU處理器、記憶體容量、儲存空間及虛擬主機的數量等），同時虛擬主機也可作為提供SaaS、PaaS等服務的強大基礎。

虛擬化的安全風險

雖然虛擬化為服務供應商在基礎設施方面，降低了許多建置的成本，但是在方便快速的背後，虛擬化也隱含了許多資安方面的風險，目前最常被關注的就是虛擬化應用了Hypervisor作為了虛擬主機的管理層，一旦它被攻陷而被惡意人士操控時，就可能會影響所有在它之下的虛擬主機安全。

其次，虛擬主機作為多租戶方式提供給不同的使用者來操作，如何有效地區隔並控制在同一實體主機上的網路安全，避免彼此之間的干擾和刻意的攻擊，也是服務供應商的一大挑戰，而且在使用者租用完虛擬主機之後，如何確保曾經儲存過的資料會被徹底銷毀，除了技術面的保證之外，使用者對於服務供應商的執行過程和信任，至今仍然是一個容易受到質疑的問題。

至於在虛擬主機之間的網路流量方面，由於是在實體主機的背板上直接傳輸，傳統的網路安全設備如防火牆、入侵偵測系統等將無法偵測並阻擋可能的惡意行為，因此就必須採用同樣已虛擬化的防火牆、入侵偵測系統等，來監控虛擬主機之間的網路流量，另外，新一代的網路安全設備可透過API層以及與Hypervisor管理層的結合，也能夠將實體的網路架構和虛擬化環境結合，同時來管控所有產生的網路流量。

採用虛擬化技術的安全建議

在雲端安全聯盟（CSA）所提出的雲端運算關鍵領域安全指南中，針對虛擬化技術所提供的安全建議，包括：

1. 識別虛擬化技術
使用者應該識別服務供應商所採用的是何種虛擬化技術，並注意所公布關於虛擬化技術的安全漏洞和修補方式。另外，和傳統的作法一樣，使用者必須區隔測試用的虛擬主機與實際上線的虛擬主機，以避免可能之互相干擾和資料混用的問題。

2. 確保VM具備安全機制
使用者必須確保在每一台虛擬主機中都具備所需的安全機制，如防火牆、防毒軟體、入侵偵測系統等，除了供應商所提供的安全機制之外，也可以考慮採用第三方的安全服務，減少對供應商的依賴，強化所使用之虛擬主機安全。

3. 留意VM Image的安全
注意虛擬主機映像檔（VM Image）的安全，如果含有惡意程式的虛擬主機被直接部署到虛擬化環境之中，也就等於越過了外在的防禦，可以直接由內部發動攻擊。因此，未使用的虛擬主機映像檔，建議採取加密的方式，以避免受到不當的利用。

4. 透過加密機制管控
如果是含有敏感資訊並有高安全要求的虛擬主機，它的映像檔無論在關機或運作時都應該加密，雖然加密的作法可能會降低虛擬主機的效能，但為了安全性考量則是可以接受的。同時也要注意若對虛擬主機實施了Snapshot備份，是否會間接造成此一控制失效的問題，因為惡意人士也可能從備份的Snapshot中，提取出想要獲得的敏感資訊。

5. 隔離、更新後再啟動
在虛擬主機尚未啟動之前，通常是處於關閉的狀態，換句話說，它無法即時地去更新作業系統的修補程式（Patch），以避免利用已被發現的安全漏洞來進行攻擊。因此，當這些虛擬主機被啟用之後，應該先進入一個隔離的區域，並且在更新完所有新增的修補程式後，才能夠進入到正式的作業環境之中。

透過雲端實現的安全服務

雲端運算的興起，除了改變傳統的IT服務之外，對於強化資訊安全方面，也提供了許多貢獻，過去許多企業礙於人力、成本、效能或更新速度的問題，遲遲未能採用的資安防禦方式，藉由雲端安全服務（Security as a Service，SecaaS）的採用，可以降低企業在安全管理上的負擔，並且獲得更加充裕的安全技術支援，協助企業降低所面臨的資訊安全風險。

對企業來說，採用雲端安全服務的優勢是可以馬上獲得業界的最佳實務（Best Practice）和許多技術專家的支援，並且透過雲端可量測的服務與透明的報表，企業也可以清楚地了解資安方案對企業整體的效益。

舉例來說，針對防毒服務，企業可依據實際的電腦數量和使用者人數的增長再來選購所需的服務；另外，軟硬體等安全設備維護與每天產生的日誌（Log）管理，都可藉由委外的資安服務來提供協助，降低企業內部自行營運的管理成本。