虚拟机自身安全

针对上述安全威胁，下面将介绍4种虚拟机防护机制。

(1)虚拟机自身安全

为保证虚拟机自身的安全，一般采用的方法是在每台虚拟机上安装防火墙、入侵检测软件等，但这将造成资源的大量浪费。目前，业界流行的做法是在一个虚拟化系统中启用一个或多个独立的具有防火墙、入侵检测等安全功能的虚拟机，为其他业务逻辑虚拟机进行安全保护。以VMware vShield Endpoint为代表，该产品将重要的防病毒和防恶意软件功能部署到一个安全虚拟机上，节省了防病毒代理在虚拟机中占用的资源，从而提高系统性能。

虚拟机防护的另一种做法是在Hypervisor中部署虚拟防火墙，该方案将在下一节中详述。

在虚拟服务器环境中，几个虚拟机共享主机服务器上有限的物理硬件资源。

如果其中的任何一个虚拟机过度消耗硬件资源，其他虚拟机则不能正常运行。为避免攻击者对单个虚拟服务器发动DDoS攻击，虚拟化系统需要对虚拟机进行全面的监控，并对单个虚拟机消耗的内存和CPU时间进行限制，避免任何一个虚拟机过度消耗物理硬件的资源。

此外，可以采用虚拟化在线管理系统对虚拟机进行管理，对物理服务器及Hypervisor的运维操作应遵循运维相关流程，采用实时审计技术予以监控，并建立和完善各虚拟机的安全日志、系统日志和防火墙日志。虚拟机销毁及迁移以后，需要及时消除原有物理服务器上的磁盘和内存数据，使虚拟机无法恢复。对不需要运行的具有安全隐患的虚拟机要及时关闭。