虚拟世界中的安全性

5Seven

IBM 于 10 月份推出了 PowerSC 技术，将其作为面向在 AIX 虚拟环境和云环境中运行 Power Systems 服务器的客户的一种新的安全性与合规性解决方案。PowerSC 技术与 PowerVM 和 PowerHA 技术一样，都是 IBM 越来越注重 Power Systems Software 堆栈（参见图 1）的产物，它可以自动化安全性与合规性管理，改进安全漏洞的检测与可见性，以及 AIX 虚拟系统的可审核性。“将应用程序转移到云中时，运行虚拟环境的客户希望能获得与物理环境中同样可靠的安全管理功能，” IBM PowerVM 与 PowerSC 产品经理 T. R. Bosworth 表示。

PowerSC 技术位于 AIX 的 Power Systems Software 堆栈中的虚拟安全层。“安全功能将利用 Power Systems Software 堆栈的所有特性，从系统管理程序与固件到虚拟层，再到 AIX 操作系统，” Bosworth 说。Power Systems Software 安全架构师 Shawn Mullen 表示，事实上，IT 管理员会发现 PowerSC 技术的功能最大程度地削弱了虚拟环境的影响，从而提供了甚至比传统的单机系统更强大的安全模型。

PowerSC 架构包含 4 种重要的技术：可信引导与可信监控、可信日志记录、可信网络连接与补丁管理以及安全与合规性自动化。

1. 可信引导和可信监控

为了确保虚拟主机的完整性与可信度，PowerSC 技术提供了可信引导，它是来自可信计算组 (www.trustedcomputinggroup.org) 的可信平台模块 (TPM) 的一种虚拟实现。vTPM 是一种与 PowerVM Hypervisor 联合使用的嵌入式 PowerSC AIX 功能，与虚拟环境的 TPM 芯片等效，用于在每台虚拟机引导时确保操作系统内核的完整性 —— 在它能够执行任何命令之前。

“位于磁盘上的引导镜像是以加密方式测量的，内核的引导，设备驱动程序的加载，以及用户特定的应用程序都是如此，” IBM 香港的项目经理 David Haikney 表示。这些测量使用 vTPM 中的私钥打了 “标记”。通过一个叫做远程证明的过程，这些打标记的测量结果证实了整个系统的完整性。vTPM 可以与 AIX Trusted Execution 技术联合使用，以保护从引导镜像到运行应用程序的整个堆栈。

“云完美地诠释了这种技术的价值，” Haikney 说，“您的虚拟主机位于另一家公司提供的数据中心内，距离几千英里，但借助可信引导，您可以拥有对此系统的可信度与完整性的强大加密保证。” 可信监控 OpenPTS 显示了参与可信配置的所有 AIX 系统的可信状态，允许客户端监控和证实它们虚拟 AIX 系统的可信度。“如果有人在幕后篡改了磁盘引导镜像、操作系统或应用程序，OpenPTS 会向您显示该系统不再可信，” Mullen 说，“远程证实过程无法被模仿或重放，即便系统上存在中间人或恶意引导也是如此。”

2. 可信日志记录

审核计算环境的功能对于确保安全合规性至关重要，能够让 IT 管理员快速识别用来隐藏安全漏洞的一些行为。然而，经验丰富的黑客能够篡改或删除大多数系统中的审计数据。通过捕捉虚拟层中的审计数据，PowerSC 中的可信日志记录将来自每台 AIX 虚拟机的所有 AIX 系统日志集中到一台安全的 IBM Virtual I/O Server 上，帮助确保任何 AIX 虚拟机管理员都不能够删除或更改系统日志。这还可以降低 IT 管理的开销，因为它可以在某个中心位置存档或保存日志。

“AIX 已经拥有一组丰富的审计功能，但大多数审计系统中的一个弱点是超级用户能够轻松访问物理或虚拟机器上的审计文件，并删除任何行为跟踪数据，” IBM 香港首席开发人员 Geraint North 表示， “借助可信日志记录，您的审计信息将是不可改变的，因为它实时保存在 Virtual I/O Server 上。一旦有内容写入日志中，甚至是具有超级用户权限的管理员也无法修改或删除它。”

3. 可信网络连接与补丁管理

补丁管理在大型企业环境中非常复杂，而虚拟基础架构的引入则让这个挑战愈发严峻。因为在补丁应用过程中，虚拟机可能挂起、关闭、暂停或转移到其他服务器上，它们可能会错过更新和打补丁的时间窗口，致使其中的漏洞依然存在。PowerSC 中的可信网络连接 (TNC) 与补丁管理用于检测不满足已确立的补丁策略的 AIX 虚拟系统，并在这些系统上线时通过短信或电子邮件警告管理员。

“如今的典型做法是，您应用所有补丁并希望一切正常工作，” Mullen 说，“没有任何通知。TNC 与补丁管理保证您所有的机器都运行在虚拟数据中的正确补丁级别上，如果没有处于正确级别，您会立即收到通知。” TNC 与补丁管理分析来自 Service Update Manager Assistant 与 Network Installation Manager 的数据，在激活期间检查每台虚拟机，检查内容包括常规引导、挂起后的恢复和通过 Live Partition Mobility 的激活。“这项功能确实改善了环境的可见性，因此您不必做如此之多的手动检查，” Bosworth 补充道。

4. 安全性与合规性自动化

借助第三方安全标准确保系统合规性是一个复杂的、劳动密集的、通常非常昂贵的过程。合规性标准的文档篇幅很长而且较为复杂，通常很难转换为正确的 AIX 设置。根据 Ponemon Institute 在 2011 年对 46 家跨国组织的从事主管 IT 、私密性工作与审计工作的 160 位个人所做调查的结果，公司花在合规性方面的资金平均每年为 350 万美元 (http://bit.ly/qfH1vG) 。为了简化管理工作与成本，PowerSC 安全性与合规性自动化提供了预置的系统配置文件，以便自动化符合行业标准的过程，比如支付卡行业数据安全标准、美国国防部安全技术实施指南、信息控制目标和相关技术标准，以及上市公司必须遵循的萨班斯 - 奥克斯利 2002 法案。该配置文件包含针对几种 AIX 配置区域的推荐设置，比如最小密码长度、密码重用、锁定之前不成功登录尝试的次数以及其他的配置方面。 “其他产品的工作方式也类似，但绝大多数情况下，您必须亲自编写配置，” Mullen 说，“能大大节省工作量的地方是：IBM 一直为我们的客户牢牢掌控着这些标准，也就是那些厚厚的文档。” Bosworth 补充道。

PowerVM 虚拟化技术中的 PowerSC 嵌入式组件有助于在虚拟工作负载中强化安全性和简化合规性，为合规性审计打好基础。“您可以通过 AIX 与 Virtual I/O Server 上的一个命令行，或者在 AIX Profile Manager 中应用这些标准，” Mullen 解释道。AIX Profile Manager 是 IBM Systems Director 的一个高级插件，支持安全配置文件的集中应用与合规性标准的报告。在 AIX Profile Manager 中，您还可以运行显示合规性配置的报告，并在发现未授权的参数修改时向您发出警告。

“这项功能让您可以将标准应用于多个系统，并从一个中心控制点监控它们，从而将审计费用降至最低，” Mullen 说。它还为最高级管理员提供了一个跨企业的清晰的合规性视图。 “通常，如果低级管理员修改了某台计算机上的设置，用户无法知道这些。而 PowerSC 安全性与合规性自动化会为他们提供了该视图，因此如果某台计算机提供了一个很糟糕的报告，他们可以拿起电话呼叫相应的管理员。”

在安全方面领先一步

在发布用于 AIX 的 PowerSC 技术之前，IBM 与很多客户合作，帮助识别他们特定的业务挑战与安全功能的优先级。据 Bosworth 说反响还不错。最初，PowerSC 技术有两个版本：

Express Edition支持 AIX 5.3、6.1 与 7.1 系统。它提供安全性与合规性自动化功能，设计用于外部标准的基本合规性，在与 AIX Profile Manager 联合使用时能达到最佳操作效果。AIX Profile Manager 自动化并集中了对于合规性的控制与报告。Express 版本也可以从命令行进行操作。

Standard Edition在所有 Power Systems 服务器上均有提供。（可信引导要求提供 eFW7.4 或更高版本固件的 POWER7 硬件。）它包含 PowerSC Express Edition 的功能，还提供了可信引导与监控、可信日志记录，以及可信网络连接与补丁管理。

新方向

Bosworth 与 Mullen 指出，PowerSC 的一项关键优势是注重服务器硬件与客户虚拟机集成。PowerSC 提供虚拟 TPM 与 TNC 补丁管理功能，以及与客户操作系统外部标准的合规性，这也帮助它在市场中形成了特有的竞争优势。

“它是一种经过深思熟虑的安全模型与架构，” Bosworth 说，“因为我们的 PowerVM Hypervisor 构建在固件中，我们的安全功能能够感知整个 Power Systems 堆栈。”

Adds Mullen 说 “我相信这种技术在安全方面引领了一个新的方向，并使得 Power Systems 继续保持市场领导地位。”

关于作者

Sara Aase 是一名来自美国明尼阿波利斯市的自由撰稿人。

http://www.ibm.com/developerworks/cn/aix/systemmaga/8/Security_Virtual_World/index.html