1. 主机虚拟化安全主要从哪行方面着手
随着虚拟化技术不断向前发展,许多单位面临着实施虚拟化的诱人理由，如服务器的整合、更快的硬件、使用上的简单、灵活的快照技术等。这都使得虚拟化更加引人注目。在有些机构中，虚拟化已经成为其架构中的重要组成部分。在这里，技术再次走在了最佳的安全方法的前面。随着机构对灾难恢复和业务连续性的重视，特别是在金融界，虚拟环境正变得越来越普遍。我们应该关注这种繁荣背后的隐忧。
使用虚拟化环境时存在的缺陷
1.如果主机受到破坏，那么主要的主机所管理的客户端服务器有可能被攻克。
2.如果虚拟网络受到破坏，那么客户端也会受到损害。
3.需要保障客户端共享和主机共享的安全，因为这些共享有可被不法之徒利用其漏洞。
4.如果主机有问题，那么所有的虚拟机都会产生问题。
5.虚拟机被认为是二级主机，它们具有类似的特性，并以与物理机的类似的方式运行。在以后的几年中，虚拟机和物理机之间的不同点将会逐渐减少。
6.在涉及到虚拟领域时，最少特权技术并没有得到应有的重视，甚至遭到了遗忘。这项技术可以减少攻击面，并且应当在物理的和类似的虚拟化环境中采用这项技术。
保障虚拟服务器环境安全的措施
1.升级你的操作系统和应用程序，这应当在所有的虚拟机和主机上进行。主机应用程序应当少之又少，仅应当安装所需要的程序。
2.在不同的虚拟机之间，用防火墙进行隔离和防护，并确保只能处理经许可的协议。
3.使每一台虚拟机与其它的虚拟机和主机相隔离。尽可能地在所有方面都进行隔离。
4.在所有的主机和虚拟机上安装和更新反病毒机制，因为虚拟机如同物理机器一样易受病毒和蠕虫的感染。
5.在主机和虚拟机之间使用IPSEC或强化加密，因为虚拟机之间、虚拟机与主机之间的通信可能被嗅探和破坏。虽然厂商们在想方设法改变这种状况，但在笔者完成此文时，这仍是一真实的威胁。企业仍需要最佳的方法来对机器之间的通信实施加密。
6.不要从主机浏览互联网，间谍软件和恶意软件所造成的感染仍有可能危害主机。记住，主机管理着虚拟机，发生在虚拟机上的问题会导致严重的问题和潜在的“宕机”时间、服务的丧失等。
7.在主机上保障管理员和管理员组账户的安全，因为未授权用户对特权账户的访问能导致严重的安全损害。调查发现，主机上的管理员(根)账户不如虚拟机上的账户安全。记住，你的安全性是由最弱的登录点决定的。
8.强化主机操作系统，并终止和禁用不必要的服务。保持操作系统的精简，可以减少被攻击的机会。
9.关闭不使用的虚拟机。如果你不需要一种虚拟机，就不要运行它。
10.将虚拟机整合到企业的安全策略中。
11.保证主机的安全，确保在虚拟机离线时，非授权用户无法破坏虚拟机文件。
12.采用可隔离虚拟机管理程序的方案，这些系统可以进一步隔离和更好地保障虚拟环境的安全。
13.确保主机驱动程序的更新和升级，这会保障你的硬件以最优的速度运行，而且软件的更新可极大地减少漏洞利用和拒绝服务攻击的机会。
14.要禁用虚拟机中未用的端口。如果虚拟机环境并不利用端口技术，就应当禁用它。
15.监视主机和虚拟主机上的事件日志和安全事件。这些日志应当妥善保存，用于日后的安全审计。
16.限制并减少硬件资源的共享。从某种意义上讲，安全与硬件资源共享，如同鱼与熊掌，不可兼得。在资源被虚拟机轮流共享时，除发生数据泄漏外，拒绝服务攻击也将是家常便饭。
17.在可能的情况下，保证网络接口卡专用于每一个虚拟机。这里再次减轻了资源共享问题，并且虚拟机的通信也得到了隔离。
18.投资购买可满足特定目的并且支持虚拟机的硬件。不支持虚拟机的硬件会产生潜在的安全问题。
19.分区可产生磁盘边界，它可用于分离每一个虚拟机并可在其专用的分区上保障安全性。如果一个虚拟机超出了正常的限制，专用分区会限制它对其它虚拟机的影响。
20.要保证如果不需要互联的话，虚拟机不能彼此连接。前面我们已经说过网络隔离的重要性。要进行虚拟机之间的通信，可以使用一个在不同网络地址上的独立网络接口卡，这要比将虚拟机之间的通信直接推向暴露的网络要安全得多。
21.NAC正走向虚拟机，对于基于虚拟机服务器的设备尤其如此。如果这是一种可以启用的特性，那么，正确的实施NAC将为你带来更长远的安全性。
22.严格管理对虚拟机特别是对主机的远程访问可以使暴露的可能性更少。
23.记住，主机代表着单个失效点，备份和连续性要求可以有助于减少这种风险。
24.避免共享IP地址，这又是一个共享资源而造成问题和漏洞的典型实例。
业界已经开始认识到，虚拟化安全并不是像我们看待物理安全那样简单。这项技术带来了新的需要解决的挑战。
结论
虚拟化安全是一项必须的投资。如果一个单位觉得其成本太高，那么笔者建议它最好不要采用虚拟化，可坚持使用物理机器，但后者也需要安全保障。
2. 如何合理规避虚拟化应用带来安全风险
IT团队理解整合的概念，以便获得更好的硬件利用率、提高灵活性和管理性。然而，在许多情况下，对于虚拟化环境中网络和数据安全的担心已成为实施虚拟化的障碍。新环境的安全一直是一个重要的考虑。不过，出于安全的考虑而反对应用虚拟化的主要原因是缺乏相关知识或者缺乏参与虚拟化项目。有适当的规划和参与，虚拟化的安全反对意见一般是可以消除的。 避开管理程序的威胁是一个常见的和存在激烈争论的反对意见。在这种情况下，攻击者有可能从一个被攻破的虚拟机直接攻击管理程序。如果攻击成功，攻击者就能够访问在那台服务器上运行的所有的虚拟机。 目前，这种类型的攻击还仅仅是理论上的东西，但是，考虑到管理程序是软件，而软件总是有漏洞的，这种攻击似乎是合理的。然而，作为虚拟化的反对意见，这种潜在的突破可能性比较低，并不能阻止虚拟化计划。在虚拟化数据中心或者非虚拟化数据中心的攻击向量中，安全突破更多的是来自于简单的设置错误或者由于漏掉使用补丁而暴露的安全漏洞，能够成功地避开管理程序的攻击很少。 避开管理程序的理论不能减少对虚拟网络进行分段的需求。对虚拟网络进行分段要使用最佳安全做法定义的相同的业务重要性规则和数据敏感性的规则。换句话说，虚拟化并不等于“把你全部的鸡蛋都放在一个篮子里”。适当的分段，把物理分段和虚拟分段结合在一起，能够产生重要工作量的固定分段区域。虚拟网络分段允许把不同敏感水平的工作量部署到共享的基础设施，同时强制执行基于政策的分段(不需要物理硬件)，从而更好地利用共享的计算资源。 目前，虚拟段式是通过一些虚拟安全设备提供的，主要区别是管理选择和用户界面，而不是实施分段的技术。VMware将在未来发布的软件中推出VMsafe API(应用程序编程接口)，让安全厂商提供能够以优化的方式分段和保护网络的产品。设想一下编写一个全面的网络政策的能力。这个政策与客户机绑定在一起，无论在虚拟基础设施的什么地方都能执行。一个分段良好的网络有助于防御当前的真实威胁和未来的理论上的威胁。 另一个主要的反对意见是针对灵活性限的。灵活性是虚拟化的重点之一。虚拟数据中心是一个动态环境。它提供了方便的虚拟机部署和配置变化，从而创建了一个能够迅速适应业务需求的环境。在一个虚拟化的数据中心，管理员能够部署和克隆虚拟机，把客户机迁移到其它服务器 ，并且用鼠标一点就能方便地修改资源(处理器、内存、硬盘)分配。这种环境的一个不利因素是恶意的或者意外的行动能够产生深远的和颠覆性的后果。动态和迅速的变化能够增加设置错误的风险，不能跟踪虚拟机(也就是虚拟机蔓延)或者防止违反操作政策。 例如，在一个意外设置错误的简单案例中，一个重要的网络服务器通过修改一个虚拟局域网ID把它的网络接口镜像到了一个错误的物理网络，从而造成了连接中断。找出这种简单的设置错误的根源非常耗费时间。由于这种事情涉及到多个管理员，没有可以跟踪的物理电缆、数千个客户机、许多名称类似的虚拟网络等原因，要找到发生设置错误的地方就像大海捞针一样。 控制虚拟化创建的动态环境的最有效的方法是增强现有的操作政策，提供对物理和虚拟网络的更深入的理解。正如有经验的IT专业人员所了解的那样，一个政策只有严格地执行才是好的政策。要保证这个政策的执行，应该使用一些专门的工具监视、跟踪和审计虚拟环境中的活动。然而，要真正有效，这些工具必须提供可见性和“跟踪能力”，让管理员知道虚拟机部署在什么地方和如何部署的。这些工具必须创建一个可审计的证据记录，说明谁在管理这些机器、这些虚拟机和虚拟基础设施做了什么修改。拥有这样一个审计工具，就能够迅速跟踪和纠正上面介绍的一个简单的设置错误造成的中断。 安全反对意见的最后一个原因是在规划虚拟化部署的时候没有让信息安全部门参加，或者没有考虑他们的意见。从一开始就让这些团队参加是非常重要的。在许多情况下，反对意见是因为不太理解虚拟化及其可用的选择。 现有的网络安全和可见性工具提供的虚拟网络的详细信息与安全团队过去见过的那种信息不同，从而强化了这个反对意见。在传统的非虚拟化的网络中，记录服务器清单、跟踪线缆和使用基于网络的工具发现网络和服务器都是可能做到的。一旦实施了虚拟化，这种能力许多都消失了。虚拟化有可能创建现有的工具看不到的网络。 提供网络级智能的虚拟安全设备能够填补老式工具遗漏的空缺。虚拟化的另一个好处是允许这些设备提供非常准确的网络地图和客户机清单。采用被动网络发现方法的工具不能提供这些功能。拥有正确的工具，可视化能力和准确的清单在虚拟环境中是非常有效的。 虽然管理程序厂商的管理工具能够提供一些基本的可视化能力，但是，这些工具是为虚拟管理员设计的。一个能够提供整个环境情景和在这种环境中展示安全的工具将保证安全团队拥有履行保护自己的基础设施安全的职责所需要的可见性和控制力。 这里学到的一个简单的教训是，同其它任何新技术一样，虚拟化也有自己的安全挑战。然而，采取适当的规划和协调的努力使安全成为规划过程的一个组成部分，就有可能得到虚拟化的好处，满足安全人员的需求。安全人员的任务就是保证业务持续性和保护企业数据。 ■
3. 服务器虚拟化有哪几种方式
服务器虚拟化平台方案主要的有三种，特点分别如下：
1、思杰Citrix XenServer ：XenCenter是Citrix的虚拟化图形接口管理工具，可在同一界面，管理多台的XenServer服务器。管理上，通常会先在XenCenter建立一个服务器群组(Pool)，然后将位于同一机房内的XenServer服务器加入。和大多数服务器半虚拟化产品相同的是，当数台XenServer服务器连接到同一台共享磁盘驱动器，且将虚拟档案放置于此的前提下，可以通过Xen-Motion这项功能，将虚拟机以手动方式在线转移到其它的XenServer服务器，从事主机的维护，或者降低硬件资源的消耗。
2、微软 Windows Server 2008 Hyper-V：是以Xen的虚拟化技术为基础开发而成的，而这个虚拟化平台目前已整合在64位的Windows Server 2008操作系统，
3、VMware ESX Server 这是最常用的：VMware ESX ServerESX Server
运行在服务器裸机上，是基于硬件之上的架构。属于企业级应用。用同一台服务器底层硬件，划分出若干虚机，集中管理，很方便的做集群，负载均衡，热迁移等功能。
总特点：
将服务器物理资源抽象成逻辑资源，让一台服务器变成几台甚至上百台相互隔离的虚拟服务器，或者让几台服务器变成一台服务器来用，我们不再受限于物理上的界限，而是让CPU、内存、磁盘、I/O等硬件变成可以动态管理的“资源池”，从而提高资源的利用率，简化系统管理，实现服务器整合，让IT对业务的变化更具适合！
友情提示：深圳天源腾创提供最优解决方案！
4. 内存虚拟化技术，具体的实现方法有哪两种
从系统的观点看，有三种主要的存储虚拟化方法:
基于主机的虚拟存储;
基于存储设备的虚拟存储;
基于网络的虚拟存储。
方法1:基于主机的虚拟存储
基于主机的虚拟存储依赖于代理或管理软件，它们安装在一个或多个主机上，实现存储虚拟化的控制和管理。由于控制软件是运行在主机上，这就会占用主机的处理时间。因此，这种方法的可扩充性较差，实际运行的性能不是很好。基于主机的方法也有可能影响到系统的稳定性和安全性，因为有可能导致不经意间越权访问到受保护的数据。这种方法要求在主机上安装适当的控制软件，因此一个主机的故障可能影响整个SAN系统中数据的完整性。软件控制的存储虚拟化还可能由于不同存储厂商软硬件的差异而带来不必要的互操作性开销，所以这种方法的灵活性也比较差。
但是，因为不需要任何附加硬件，基于主机的虚拟化方法最容易实现，其设备成本最低。使用这种方法的供应商趋向于成为存储管理领域的软件厂商，而且目前已经有成熟的软件产品。这些软件可以提供便于使用的图形接口，方便地用于SAN的管理和虚拟化，在主机和小型SAN结构中有着良好的负载平衡机制。从这个意义上看，基于主机的存储虚拟化是一种性价比不错的方法。
方法2:基于存储设备的虚拟化
基于存储设备的存储虚拟化方法依赖于提供相关功能的存储模块。如果没有第三方的虚拟软件，基于存储的虚拟化经常只能提供一种不完全的存储虚拟化解决方案。对于包含多厂商存储设备的SAN存储系统，这种方法的运行效果并不是很好。依赖于存储供应商的功能模块将会在系统中排斥JBODS(Just a Bunch of Disks，简单的硬盘组)和简单存储设备的使用，因为这些设备并没有提供存储虚拟化的功能。当然，利用这种方法意味着最终将锁定某一家单独的存储供应商。
基于存储的虚拟化方法也有一些优势:在存储系统中这种方法较容易实现，容易和某个特定存储供应商的设备相协调，所以更容易管理，同时它对用户或管理人员都是透明的。但是，我们必须注意到，因为缺乏足够的软件进行支持，这就使得解决方案更难以客户化(customzing)和监控。
方法3:基于网络的虚拟存储
基于网络的虚拟化方法是在网络设备之间实现存储虚拟化功能，具体有下面几种方式:
1. 基于互联设备的虚拟化
基于互联设备的方法如果是对称的，那么控制信息和数据走在同一条通道上;如果是不对称的，控制信息和数据走在不同的路径上。在对称的方式下，互联设备可能成为瓶颈，但是多重设备管理和负载平衡机制可以减缓瓶颈的矛盾。同时，多重设备管理环境中，当一个设备发生故障时，也比较容易支持服务器实现故障接替。但是，这将产生多个SAN孤岛，因为一个设备仅控制与它所连接的存储系统。非对称式虚拟存储比对称式更具有可扩展性，因为数据和控制信息的路径是分离的。
基于互联设备的虚拟化方法能够在专用服务器上运行，使用标准操作系统，例如Windows、Sun Solaris、Linux或供应商提供的操作系统。这种方法运行在标准操作系统中，具有基于主机方法的诸多优势--易使用、设备便宜。许多基于设备的虚拟化提供商也提供附加的功能模块来改善系统的整体性能，能够获得比标准操作系统更好的性能和更完善的功能，但需要更高的硬件成本。
但是，基于设备的方法也继承了基于主机虚拟化方法的一些缺陷，因为它仍然需要一个运行在主机上的代理软件或基于主机的适配器，任何主机的故障或不适当的主机配置都可能导致访问到不被保护的数据。同时，在异构操作系统间的互操作性仍然是一个问题。
3. 基于路由器的虚拟化
基于路由器的方法是在路由器固件上实现存储虚拟化功能。供应商通常也提供运行在主机上的附加软件来进一步增强存储管理能力。在此方法中，路由器被放置于每个主机到存储网络的数据通道中，用来截取网络中任何一个从主机到存储系统的命令。由于路由器潜在地为每一台主机服务，大多数控制模块存在于路由器的固件中，相对于基于主机和大多数基于互联设备的方法，这种方法的性能更好、效果更佳。由于不依赖于在每个主机上运行的代理服务器，这种方法比基于主机或基于设备的方法具有更好的安全性。当连接主机到存储网络的路由器出现故障时，仍然可能导致主机上的数据不能被访问。但是只有联结于故障路由器的主机才会受到影响，其他主机仍然可以通过其他路由器访问存储系统。路由器的冗余可以支持动态多路径，这也为上述故障问题提供了一个解决方法。由于路由器经常作为协议转换的桥梁，基于路由器的方法也可以在异构操作系统和多供应商存储环境之间提供互操作性。
5. 涉密三合一是否适用于桌面虚拟化，解决方案是什么
特别适合使用桌面虚拟化，使用云桌面能做到数据不落地，至于方案，到网上一搜一大把，或找个集成商了解一下