你们以为买了个云安全平台就安全了吗？无非不都是利用引流技术将流量引到装有传统安全设备镜像的资源池里做“流量清洗、行为识别、特征分析。”罢了。
1、虚拟机间的相互×××
传统的IDS设备，利用交换机的端口镜像功能，可以监控外部对DMZ区，以及DMZ区内部不同服务器之间的×××行为；但在虚拟化环境中，位于同一台虚拟器（物理服务器）上的不同虚拟机之间的通讯不再经过网络交换机，使传统的***检测设备失效。这个时候内部或外部人员通过对某一台虚拟机的控制，就可以对这台物理服务器上的其他虚拟机发起×××，从而获得整个服务器群的控制权。
2.不同安全级别无法合并
在信息安全建设过程中，划分安全域是个重要的过程，在不同安全级别的安全域之间通过一系列的安全技术防止风险的扩散；在虚拟化过程中，分布在不同安全域中的服务器整合的时候，由于无法采用隔离技术，通常会面临无法合并的问题
3.以主机为基础的安全策略无法部署
任何一种平台大规模上线使用后都会成为广大网络××××××的对象，虚拟机也不例外，目前基于虚拟机的安全软件都是基于物理机开发的，其防护方式无一例外都是借助传统方式，而且每一台虚机如果都安装安全软件，对物理服务器的存储空间、内存资源占用较大。虚拟机的初衷是绿色环保，低碳节能，没有业务运行的时候可以关闭虚机，业务恢复时开启虚机，但关闭期间，病毒代码是无法更新的，一旦开机，多个防病毒软件同时更新一个病毒码对网络带宽也有较大影响。网络安全设备目前也没有监测虚机之间通信流的能力，先进的虚拟平台搭配传统的防范策略，无疑影响了虚拟平台的使用，网络×××和内部×××可以利用这个时期大规模×××虚拟机，并借助单台虚拟机×××虚机群，业务系统随时崩溃。
4.随时启动的防护间隙
除服务器整合之外，企业通过按需配置和取消配置虚拟机，将其动态性用于测试环境、定期维护、灾难恢复以及用于支持需要按需计算资源的“任务工作者”。因此，当以较快频率激活和停用虚拟机时，无法快速、一致地为这些虚拟机配置安全措施并使其保持最新。休眠的虚拟机最终偏离引入大量安全漏洞这一简单的基线。如果不配置客户端和病毒库更新，即使是使用包含防病毒功能的模板构建的新虚拟机也无法立即对客户机起到防护作用。简言之，如果虚拟机在部署或更新防病毒软件期间未处于联机状态，它将处于不受保护的休眠状态，一旦激活、联机后将会立即受到×××。
5.虚拟机的安全级别混杂
同一台物理服务器上的多个虚拟机可以相互通讯，在通迅过程中会产生安全隐患，因为外部的网络安全工具从防火墙到***检测和防护系统再到异常行为监测器，都无法监测到物理服务器内部的流量．如果×××者攻克了一台虚拟机，就可以用它来***同一台服务器上的其他虚拟机．另外，虚拟机会在不同服务器之间迁移，并且这种迁移经常会自动完成，这可能会让一些重要的虚拟机迁移到不安全的物理服务器上，从而带来安全风险．此外，还有一些用作测试目的的虚拟机可能会与重要的虚拟机存在于同一虚拟局域网中，这也会给××××××带来机会。
6.资源冲突
常规防病毒扫描和病毒码更新等占用大量资源的操作将在很短的时间内导致过量系统负载。如果防病毒扫描或定期更新在所有虚拟机上同时启动，将会引起“防病毒风暴”。此“风暴”就如同银行挤兑，其中的“银行”是由内存、存储和 CPU 构成的基本虚拟化资源池。此性能影响将阻碍服务器应用程序和虚拟桌面 /VDI环境的正常运行。传统体系结构还将导致内存分配随单个主机上虚拟机数量的增加而呈现线性增长。在物理环境中，每一操作系统上都必须安装防病毒软件。将此体系结构应用于虚拟系统意味着每个虚拟机都需要多占用大量内存，从而导致对服务器整合工作的不必要消耗。
原文地址：http://blog.51cto.com/13769225/2130363
