互聯(lián)網(wǎng)IDC圈1月7日報(bào)道，1月5-7日，第十屆中國IDC產(chǎn)業(yè)年度大典（IDCC2015）在北京國家會(huì)議中心隆重召開。本次大會(huì)由中國信息通信研究院、云計(jì)算發(fā)展與政策論壇、數(shù)據(jù)中心聯(lián)盟指導(dǎo)，中國IDC產(chǎn)業(yè)年度大典組委會(huì)主辦，互聯(lián)網(wǎng)IDC圈承辦，并受到諸多媒體的大力支持。
中國IDC產(chǎn)業(yè)年度大典作為國內(nèi)云計(jì)算和數(shù)據(jù)中心領(lǐng)域規(guī)模大、最具影響力的標(biāo)志性盛會(huì)，之前已成功舉辦過九屆，在本屆大會(huì)無論是規(guī)格還是規(guī)模都"更上一層樓"，引來現(xiàn)場人員爆滿，影響力全面覆蓋數(shù)據(jù)中心、互聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)等多個(gè)領(lǐng)域。
奇虎360云安全架構(gòu)師蔡玉光出席IDCC2015大會(huì)并在大數(shù)據(jù)應(yīng)用與安全技術(shù)論壇發(fā)表主題為《管中窺豹—小談云平臺虛擬化安全》的精彩演講。
奇虎360云安全架構(gòu)師蔡玉光
以下為蔡玉光演講實(shí)錄：
很高興來到論壇跟大家分享有關(guān)于云平臺虛擬化安全的內(nèi)容。我先自我介紹一下，我是來自360云安全團(tuán)隊(duì)的蔡玉光，目前在360負(fù)責(zé)安全架構(gòu)，我個(gè)人接觸信息安全十多年的時(shí)間，我有六年的安全從業(yè)經(jīng)驗(yàn)，以前做過反病毒、主動(dòng)防御研發(fā)的工作，做了一部分跟金融安全滲透測試跟web相關(guān)的開發(fā)。
我今天分享三點(diǎn)，一是什么是虛擬化，二是如何對虛擬化做滲透，三是做完穿透之后如何加固虛擬化平臺。管中窺豹這個(gè)詞是根據(jù)圣斗士里來的，圣斗士里都是通過羊腸小道看安全，對于虛擬化安全我不能看到全部，我雖然不能知道所有的問題，但是我可以知道它有沒有問題。虛擬化是用軟件的方式模擬實(shí)現(xiàn)原有的硬件功能、CPU、網(wǎng)卡、顯卡、硬盤相關(guān)的，由于是軟件實(shí)現(xiàn)的，它可以輕松實(shí)現(xiàn)復(fù)制、遷移。虛擬化層主要是wirtual hardware，實(shí)現(xiàn)了網(wǎng)卡、內(nèi)存等一些軟件的模擬實(shí)現(xiàn)，底下是連接的安全運(yùn)維跟實(shí)際的虛擬機(jī)通道，Hypervisor，再往下是Host Operating System。利用一個(gè)漏洞穿透這個(gè)虛擬化平臺，對于Venom這個(gè)漏洞，它就像黑衣人闖入IDC的大門，他只說了一句，Hello world，I am Venom！漏洞預(yù)警，Venom漏洞影響全球數(shù)百萬虛擬機(jī)安全。福布斯說對了一句話，這個(gè)漏洞打開了云端的潘多拉魔盒，它不一定是潘多拉，但它打開了，這是關(guān)注虛擬化安全的一個(gè)點(diǎn)。
回到Venom這個(gè)漏洞，它是CrowdStrike的Jason發(fā)現(xiàn)的，這個(gè)漏洞CVE的編號非常OK，CVE-2015-3456。宿主由qemu memalign分配的，大小為512字節(jié)。后續(xù)圍繞著宿主，如何覆蓋宿主后面的東西。實(shí)際上MIMO宿主模擬這一區(qū)塊，它有513個(gè)字節(jié)，不管怎么寫怎么讀，永遠(yuǎn)都跳不出這513個(gè)字節(jié)，因?yàn)橛袀€(gè)復(fù)位的功能，跳出去或者超過大小之后就會(huì)復(fù)位過來，所以我們的攻擊思路就是繞過復(fù)位這個(gè)標(biāo)記，因?yàn)樗擒浖M了，所以這里體現(xiàn)了虛擬化安全的本質(zhì)，在模擬的過程中實(shí)現(xiàn)軟件代碼是存在漏洞的。我們回過頭看一眼patch，這可能不是很切除，但這個(gè)patch里基本圍繞Reset的指令來做的，在準(zhǔn)確的地方做Reset。由于是軟模擬，有一堆對應(yīng)的處理函數(shù)，經(jīng)過分析跟宿主相關(guān)的有兩個(gè)指令，一個(gè)是FD CMD READ JD。這是存在漏洞的，下標(biāo)沒有進(jìn)行Reset。
按照我自己的理解總結(jié)一下虛擬化安全里需要做哪些東西。大致有三點(diǎn)，如果需要了解更多的話，大家可以直接找我。第一還是要深入到基礎(chǔ)領(lǐng)域的安全，做基礎(chǔ)領(lǐng)域的研究?；A(chǔ)領(lǐng)域的安全研究可以感受到要做的有這么幾點(diǎn)，第一是要減少攻擊面，VLAN不是存在于實(shí)際的云平臺里，不會(huì)見過目前的云平臺里提供軟驅(qū)功能的模塊，應(yīng)該把它檢查掉，盡量減少虛擬化軟件的攻擊面。第二，無論如何有可能被穿透，要做被穿透的準(zhǔn)備，按照目前的慣例更多還是通過沙箱系統(tǒng)，虛擬化里需要有沙箱系統(tǒng)，沙箱系統(tǒng)是必備的。第三，整個(gè)云平臺里，黑客關(guān)心的并不僅僅是數(shù)據(jù)，無論如何都在云端共舞，有尾巴的這個(gè)家伙不停地朝運(yùn)維人員灌酒，這有可能是基礎(chǔ)設(shè)備，他不只是想讓你喝醉，他每時(shí)每刻都在想著你手中的那把鑰匙。
這是我們團(tuán)隊(duì)的愿景，我們愿意為用戶、企業(yè)構(gòu)建安全的云，通過我們自己的技術(shù)研究、安全架構(gòu)保證我們的用戶在云里能待得更安心，謝謝大家！
重慶分公司
重慶分公司
