保护Windows Server 2008的虚拟化环境

其实保护虚拟机上的操作系统同保护物理计算机上的操作系统相似，但是当保护虚拟机时，有两个重要方面需要考虑。其一是虚拟机共享硬件资源(如网 卡)，而这可能带来某些安全风险。其二是虚拟机的配置、磁盘、BlOS甚至内存，因为它们都是以文件形式存在，可能会暴露在主机上。下面笔者从三个方面来 进行阐述。

　　1、基于角色和权限的安全设置

 

　　保护配置为Hyper-V角色的Windows server 2008尤为重要，因为每个来宾操作系统的安全性取决于主机服务器的安全性。奇怪的是Server 2008 安全指南(Security Guide)并没有涉及Hyper-V角色的内容，安全设置向导(SCW)也是如此。

 

　　(1).以Server Core运行Hyper-V角色

 

　　安全期间，笔者建议在Windows server 2008的内核版本Server Core系统中运行Hyper-V角色。Server Core是最小限度的Windows安装，缺少Windows Explorer外壳、对话框、应用程序以及很多服务(而这些会增加开销并可能会增大攻击面)。内容越少，可供攻击的地方就越少，需要打补丁的文件就越 少，这样服务器重启的次数就越少。如果你觉得没有图形界面工具运行Server Core有些不便的话，我们可以通过另一台有图形界面工具的计算机远程管理该服务器。(图1)

 

　　

　　减小攻击面是保护操作系统的关键，所以最好在服务器指定单独一个虚拟化角色，而且不要在 上面安装额外的软件或服务。这个最佳策略的一个例外情况是，Hyper-V主机是使用入侵检测系统(IDS)的绝佳位置。由于所有来宾的网络通讯都通过主 机的网卡，所以在主机上安装一个IDS检测器就可以监控所有的来宾操作系统。

 

　　(2).精细的权限控制

 

　　我们知道，来宾计算机对于主机服务器上的用户来说是特别脆弱的。因此，谨慎考虑用户的访问权限是很重要的。控制用户访问权限的最简单的方法是只 允许少量用户在本地或通过Terminal Services来访问系统。我们可以使用组策略来决定哪些用户可以在本地登录服务器。要这样做，打开“本地安全策略”控制台，展开“本地策略”，并选择 “用户权限分配”。在右边窗格中双击“允许在本地登录”策略，默认情况下用户可以Users组可以从本地登录。接下来，选中Users并单击“删除”。我 们从这里可以指定哪些用户或用户组能够登录到系统。(图2)