2虛擬基礎架構安全IT安全風險專題系列報告?調查對象包括來自全球超過25個國家的5500余家企業。?企業高層管理人員與IT專業人員接受了調查，回答了安全、IT威脅及基礎架構相關的調查問題。調查發現：o萬美元。 (涉及虛擬化的情況下) (不涉及虛擬化的情況下)預計損失預計響應成本預計損失53708201000020000300004000050000600007000080000o企業在安全修復方面的花費超過$800,000。 (涉及虛擬化的情況下) (不涉及虛擬化的情況下)預計損失預計響應成本預計損失40558301000002000003000004000005000006000007000008000009000001000000?成本增加的三大原因：o安全的復雜性：僅有56%的受訪企業表示做好了應對虛擬環境安全風險的充分準備。o企業有必要加深對虛擬環境安全風險的認識：僅有52%的受訪企業代表表示對風險有充分的認識。o將虛擬設施廣泛應用于關鍵任務操作。?62%的受訪企業正在使用某類虛擬基礎架構。440%36%9%0%10%20%30%40%50%60%70%80%90%100%?有9%的受訪企業使用開源虛擬平臺：Xen(6%)與KVM(3%)。?42%的受訪企業仍認為虛擬環境比物理環境更為安全。?鮮少受訪企業采用專門的虛擬環境安全解決方案：o有73%的受訪企業未使用專門的IT安全解決方案。o有34%的受訪企業甚至尚未意識到使用安全解決方案的好處。000000000000000000040000000002000000虛擬基礎架構安全IT安全風險專題系列報告此次調查中，最有意思的發現是受訪企業所提供經濟損失間的差異性。若企業的虛擬基礎架構受到安全事故的影響，企業的安全事故修復成本會增加一倍。大型企業 (員工多于1500人的企業)修復一起安全事故的平均直接成本超過80萬美元。若將企業遭受攻擊后，進行員工培訓以減輕日后風險損失所產生的成本等間接成本也計算在內，總修復成本將接近一百萬美元。預計損失預計響應成本45140558348902企業預計總損失 (不涉及虛擬化的情況下)企業預計總損失 (涉及虛擬化的情況下)數據外泄對企業造成的總體經濟損失(單位：美元)元。若虛擬基礎架構受到安全事故的影響，企業的損失金額將增至約6萬美元(不含響應成本)。000000040000000000預計損失預計損失7553中小型企業預計總損失 (不涉及虛擬化的情況下)中小型企業預計總損中小型企業預計總損失 (不涉及虛擬化的情況下)數據外泄對中小型企業造成的總體經濟損失(單位：美元)4虛擬基礎架構安全IT安全風險專題系列報告為什么會產生這部分額外的修復成本？雖然我們可清楚地認識到虛擬環境的IT安全對許多企業而言都是一項復雜的工作(詳情見下文)，但主要原因在于虛擬基礎架構更常被用于進行關鍵任務操作與/或儲存關鍵敏感的數據。以下對涉及/不涉及虛擬基礎架構的安全事故后果的比較足以證明這一觀點。物理基礎架構受到影響虛擬基礎架構受到影響221%43%23%48%9%42%22%47%6%66%0%10%20%30%40%50%60%70%影響虛擬基礎架構(藍色)與只影響了物理基礎架構(紅色)的安全事故后果比較。企業虛擬環境遭受攻擊更易造成企業短時間內無法獲取重要數據，喪失核心服務能力并使企業信譽受損。我們還發現，虛擬基礎架構遭受到攻擊的企業在IT咨詢和法律服務方面支出的修復成本更高：物理基礎架構受到影響虛擬基礎架構受到影響33%33%58%%38%23%51%27%48%64%79%26%49%22%56%0%10%20%30%40%50%60%70%80%90%影響虛擬基礎架構(藍色)與只影響了物理基礎架構(紅色)的安全事故后果比較。5虛擬基礎架構安全IT安全風險專題系列報告40%50%虛擬基礎架構及使用上述各類基礎架構的企業所占比例基于KVM的商業平臺(如：RHEV)6% 基于KVM的商業平臺(如：RHEV)6% 6虛擬基礎架構安全IT安全風險專題系列報告據虛擬化專家(企業版虛擬化解決方案專家)表示，最受歡迎的虛擬機管理程序為VMware與Microsoft，KVM對用戶的吸引力也正逐漸增加。在企業的虛擬基礎架構愿望清單中，(商業和開源)KVM是企業最期待使用的平臺之一。12%4%16%18%2%4%6%8%4%16%18%用的虛擬平臺超過三分之二的受訪者表示，他們在使用Microsoft和VMware的虛擬平臺。在企業近來希望選用的虛擬平臺排名中，微軟公司的Hyper-V位列第二。從這些數據中可看出，尤其是商業及免費開源平臺被提上日程后，KVM將有望成為目前市場領導者們最有力的競爭者。要保護物理端點與服務器的安全，企業需選擇一位安全軟件供應商，但在實現虛擬桌面或服務器防護前，企業則必須先選擇一種安全解決方案。目前市場上主要有三種虛擬環境安全解決方案：?基于代理的安全解決方案：需在每臺虛擬機上安裝安全代理(這種安全解決方案有豐富的安?無代理模式安全解決方案：將虛擬機安裝在另一臺物理服務器上，通過專門的虛擬平臺界面有虛擬機的安全保護(這種安全解決方案資源占用量小，但功能與支持的平臺有限)。?輕代理模式安全解決方案：一種兩全其美的安全解決方案(相比無代理模式，這種安全解決方案功能豐富且對性能影響小)研究表明，很多公司并未真正意識到上述三類安全解決方案的差別。事實上，僅有27%的企業表示部署了專門用于虛擬環境防護的安全解決方案。7虛擬基礎架構安全IT安全風險專題系列報告全解決方案，且未意識到三類安全解決方案間的差別安全解決方案但意識到三類安全解決方案間的差別保護虛擬環境安全的反病毒軟件7%40%44%8%2%0%20%40%60%80%100%在使用專門的安全解決方案的受訪企業中，多數企業仍在使用會影響集成比例與虛擬化性能的基于代理的安全軟件。90%80%70%60%50%40%30%20%%44%13%15%47%26%35%55%48%47%4%6%總體服務器虛擬化總體基于代理的虛擬端點安全軟件無代理模式虛擬端點安全軟件輕代理模式虛擬端點安全軟件確定8虛擬基礎架構安全IT安全風險專題系列報告更多的企業則未使用任何虛擬化安全解決方案。其中，僅有31%的企業在使用傳統的安全解決方案過程中未曾遇到過任何安全問題。12%虛擬化安全解決方愿意購買專門的不相信專門的安計劃安裝專為虛擬使用傳統解決方案在使用傳統的安案不具備傳統安全安全解決方案，全解決方案性能環境研發的安全解在虛擬環境中遇到全解決方案過程解決方案所具備的但支付不起購買明顯優于傳統解決方案或正對此進的都是小安全問題，中未曾遇到過任部分功能。費用。決方案。無需購買新安全解決方案何安全問題。的確，在多數情況下，傳統的安全解決方案可用于虛擬環境防護。但在多臺虛擬機上進行部署時，會稍稍影響物理端點的性能，這又被稱之為性能代償，從而大幅降低成本效能。而這也印證了為什么影響虛擬基礎架構的攻擊造成的損失會是僅影響物理端點與服務器的攻擊的兩倍。我們由此可得出如下結論：IT威脅是影響虛擬基礎架構總擁有成本(TCO)的重要因素。一起安全事故，甚至是選擇錯誤的安全解決方案都可讓實現虛擬化的預計成本效能化為烏有。僅有53%的受訪企業對虛擬環境防護表示擔憂，只有半數受訪者表示對會影響企業虛擬機管理程序的安全風險有深入的認識。同時，有56%的受訪者認為他們已做好了減輕與應對相關威脅的充分準備，但這可能只是一種因受到誤導而產生的錯誤認知。虛擬環境中存在的安全風險遠少于物理環境中存在的安全風險。我們需花費大量的時間精力對安裝在各個虛擬環境中的安全解決方案進行管理。我對會影響企業現正使用的虛擬機管理程序的安全風險有深入的認識。總體而言，我對虛擬環境的安全甚為擔憂。我們已做好了減輕與應對虛擬基礎架構安全風險的充分準備。2%5%0%10%20%30%40%50%60%許多虛擬環境防護相關問題產生的根本原因都在于過時的錯誤觀念——認為虛擬環境中存在的安全風險遠少于物理環境中存在的安全風險。42%的受訪者仍然相信這種錯誤的觀點。9虛擬基礎架構安全IT安全風險專題系列報告正如我們在調查中所發現，企業對使用虛擬基礎架構抱有積極的態度。但行業對這項技術，尤其是虛擬環境的安全問題卻明顯不足。虛擬環境較之物理服務器更加安全可靠，在殘酷的安全環境中，并沒有什么是絕對安全可靠的。虛擬基礎架構會增加漏洞修復成本，影響所部署的安全解決方案的效能。相反，不合理的決策也會影響投資回報(ROI)，導致實現虛擬化的預期成效無法在日后得以實現，甚至會讓您覺得虛擬基礎架構不值一試。模企業的IT專家進行了調查，其中包括3465位小微企業(員工人數不超過250人)IT專家代表，1074名中型企業(員工人數介于251-1499人)IT專家代表以及1025位大型企業(員工人數超過1500人)IT專家代表。但該份報告主要列載了與虛擬技術用戶(62%)相關的調查問題。我們在35個國家展開了這項調查，包括巴西、中國、法國、德國、印度、意大利、日本、俄羅斯、西班牙、英國、美國、墨西哥、沙特阿拉伯、南非、土耳其、阿拉伯聯合酋長國 (阿聯酋)、澳大利亞、加拿大、印度尼西亞、馬來西亞、新加坡、智利、哥倫比亞、捷克共和國、希臘、匈牙利、哈薩