当您初次登录到 developerWorks 时，将会为您创建一份概要信息。您在 developerWorks 概要信息中选择公开的信息将公开显示给其他人，但您可以随时修改这些信息的显示状态。您的姓名（除非选择隐藏）和昵称将和您在 developerWorks 发布的内容一同显示。

所有提交的信息确保安全。

当您初次登录到 developerWorks 时，将会为您创建一份概要信息，您需要指定一个昵称。您的昵称将和您在 developerWorks 发布的内容显示在一起。

昵称长度在 3 至 31 个字符之间。您的昵称在 developerWorks 社区中必须是唯一的，并且出于隐私保护的原因，不能是您的电子邮件地址。

所有提交的信息确保安全。

My developerWorks:

我的通知：

退出

选择语言：

虚拟世界中的安全性

PowerSC 针对 AIX 虚拟工作负载加强了安全性并简化了合规性

Sara Aase, 自由撰稿人

Sara Aase 是一名来自美国明尼阿波利斯市的自由撰稿人。

简介： 毫不夸张地说，有效管理安全性与合规性（compliance）非常重要。据 Forrester Research 估计，在公司总的 IT 费用中，有 8% 到 14% (http://bit.ly/q8ZzmX) 用在了安全性方面，而且使用的理由很充分。根据 Ponemon Institute 最近对 50 个至少拥有 700 名用户的组织所做的调查，在数据窃取、业务中断、检测与恢复方面，公司计算机犯罪所导致的平均损失为 590 万美元 (http://bit.ly/plWokL) 。类似地，对于确保您的安全性满足行业特定标准，以及将收到整改通知或罚单的机会降至最低，规章合规性也是至关重要的。但对于 IT 管理员，管理这些重要的 IT 企业基础架构组件可能令人懊恼、非常耗时且代价高昂，特别是在业务不断转移到虚拟基础架构和云环境中时。

标记本文！

发布日期： 2011 年 12 月 20 日
级别： 中级
访问情况： 893 次浏览
评论：

IBM 于 10 月份推出了 PowerSC 技术，将其作为面向在 AIX 虚拟环境和云环境中运行 Power Systems 服务器的客户的一种新的安全性与合规性解决方案。PowerSC 技术与 PowerVM 和 PowerHA 技术一样，都是 IBM 越来越注重 Power Systems Software 堆栈（参见图 1）的产物，它可以自动化安全性与合规性管理，改进安全漏洞的检测与可见性，以及 AIX 虚拟系统的可审核性。“将应用程序转移到云中时，运行虚拟环境的客户希望能获得与物理环境中同样可靠的安全管理功能，” IBM PowerVM 与 PowerSC 产品经理 T. R. Bosworth 表示。

PowerSC 技术位于 AIX 的 Power Systems Software 堆栈中的虚拟安全层。“安全功能将利用 Power Systems Software 堆栈的所有特性，从系统管理程序与固件到虚拟层，再到 AIX 操作系统，” Bosworth 说。Power Systems Software 安全架构师 Shawn Mullen 表示，事实上，IT 管理员会发现 PowerSC 技术的功能最大程度地削弱了虚拟环境的影响，从而提供了甚至比传统的单机系统更强大的安全模型。

PowerSC 架构包含 4 种重要的技术：可信引导与可信监控、可信日志记录、可信网络连接与补丁管理以及安全与合规性自动化。

1. 可信引导和可信监控

为了确保虚拟主机的完整性与可信度，PowerSC 技术提供了可信引导，它是来自可信计算组 (www.trustedcomputinggroup.org) 的可信平台模块 (TPM) 的一种虚拟实现。vTPM 是一种与 PowerVM Hypervisor 联合使用的嵌入式 PowerSC AIX 功能，与虚拟环境的 TPM 芯片等效，用于在每台虚拟机引导时确保操作系统内核的完整性 —— 在它能够执行任何命令之前。

“位于磁盘上的引导镜像是以加密方式测量的，内核的引导，设备驱动程序的加载，以及用户特定的应用程序都是如此，” IBM 香港的项目经理 David Haikney 表示。这些测量使用 vTPM 中的私钥打了 “标记”。通过一个叫做远程证明的过程，这些打标记的测量结果证实了整个系统的完整性。vTPM 可以与 AIX Trusted Execution 技术联合使用，以保护从引导镜像到运行应用程序的整个堆栈。

“云完美地诠释了这种技术的价值，” Haikney 说，“您的虚拟主机位于另一家公司提供的数据中心内，距离几千英里，但借助可信引导，您可以拥有对此系统的可信度与完整性的强大加密保证。” 可信监控 OpenPTS 显示了参与可信配置的所有 AIX 系统的可信状态，允许客户端监控和证实它们虚拟 AIX 系统的可信度。“如果有人在幕后篡改了磁盘引导镜像、操作系统或应用程序，OpenPTS 会向您显示该系统不再可信，” Mullen 说，“远程证实过程无法被模仿或重放，即便系统上存在中间人或恶意引导也是如此。”

2. 可信日志记录

审核计算环境的功能对于确保安全合规性至关重要，能够让 IT 管理员快速识别用来隐藏安全漏洞的一些行为。然而，经验丰富的黑客能够篡改或删除大多数系统中的审计数据。通过捕捉虚拟层中的审计数据，PowerSC 中的可信日志记录将来自每台 AIX 虚拟机的所有 AIX 系统日志集中到一台安全的 IBM Virtual I/O Server 上，帮助确保任何 AIX 虚拟机管理员都不能够删除或更改系统日志。这还可以降低 IT 管理的开销，因为它可以在某个中心位置存档或保存日志。

“AIX 已经拥有一组丰富的审计功能，但大多数审计系统中的一个弱点是超级用户能够轻松访问物理或虚拟机器上的审计文件，并删除任何行为跟踪数据，” IBM 香港首席开发人员 Geraint North 表示， “借助可信日志记录，您的审计信息将是不可改变的，因为它实时保存在 Virtual I/O Server 上。一旦有内容写入日志中，甚至是具有超级用户权限的管理员也无法修改或删除它。”

3. 可信网络连接与补丁管理

补丁管理在大型企业环境中非常复杂，而虚拟基础架构的引入则让这个挑战愈发严峻。因为在补丁应用过程中，虚拟机可能挂起、关闭、暂停或转移到其他服务器上，它们可能会错过更新和打补丁的时间窗口，致使其中的漏洞依然存在。PowerSC 中的可信网络连接 (TNC) 与补丁管理用于检测不满足已确立的补丁策略的 AIX 虚拟系统，并在这些系统上线时通过短信或电子邮件警告管理员。

“如今的典型做法是，您应用所有补丁并希望一切正常工作，” Mullen 说，“没有任何通知。TNC 与补丁管理保证您所有的机器都运行在虚拟数据中的正确补丁级别上，如果没有处于正确级别，您会立即收到通知。” TNC 与补丁管理分析来自 Service Update Manager Assistant 与 Network Installation Manager 的数据，在激活期间检查每台虚拟机，检查内容包括常规引导、挂起后的恢复和通过 Live Partition Mobility 的激活。“这项功能确实改善了环境的可见性，因此您不必做如此之多的手动检查，” Bosworth 补充道。

4. 安全性与合规性自动化

借助第三方安全标准确保系统合规性是一个复杂的、劳动密集的、通常非常昂贵的过程。合规性标准的文档篇幅很长而且较为复杂，通常很难转换为正确的 AIX 设置。根据 Ponemon Institute 在 2011 年对 46 家跨国组织的从事主管 IT 、私密性工作与审计工作的 160 位个人所做调查的结果，公司花在合规性方面的资金平均每年为 350 万美元 (http://bit.ly/qfH1vG) 。为了简化管理工作与成本，PowerSC 安全性与合规性自动化提供了预置的系统配置文件，以便自动化符合行业标准的过程，比如支付卡行业数据安全标准、美国国防部安全技术实施指南、信息控制目标和相关技术标准，以及上市公司必须遵循的萨班斯 - 奥克斯利 2002 法案。该配置文件包含针对几种 AIX 配置区域的推荐设置，比如最小密码长度、密码重用、锁定之前不成功登录尝试的次数以及其他的配置方面。 “其他产品的工作方式也类似，但绝大多数情况下，您必须亲自编写配置，” Mullen 说，“能大大节省工作量的地方是：IBM 一直为我们的客户牢牢掌控着这些标准，也就是那些厚厚的文档。” Bosworth 补充道。

PowerVM 虚拟化技术中的 PowerSC 嵌入式组件有助于在虚拟工作负载中强化安全性和简化合规性，为合规性审计打好基础。“您可以通过 AIX 与 Virtual I/O Server 上的一个命令行，或者在 AIX Profile Manager 中应用这些标准，” Mullen 解释道。AIX Profile Manager 是 IBM Systems Director 的一个高级插件，支持安全配置文件的集中应用与合规性标准的报告。在 AIX Profile Manager 中，您还可以运行显示合规性配置的报告，并在发现未授权的参数修改时向您发出警告。

“这项功能让您可以将标准应用于多个系统，并从一个中心控制点监控它们，从而将审计费用降至最低，” Mullen 说。它还为最高级管理员提供了一个跨企业的清晰的合规性视图。 “通常，如果低级管理员修改了某台计算机上的设置，用户无法知道这些。而 PowerSC 安全性与合规性自动化会为他们提供了该视图，因此如果某台计算机提供了一个很糟糕的报告，他们可以拿起电话呼叫相应的管理员。”

在安全方面领先一步

在发布用于 AIX 的 PowerSC 技术之前，IBM 与很多客户合作，帮助识别他们特定的业务挑战与安全功能的优先级。据 Bosworth 说反响还不错。最初，PowerSC 技术有两个版本：

Express Edition支持 AIX 5.3、6.1 与 7.1 系统。它提供安全性与合规性自动化功能，设计用于外部标准的基本合规性，在与 AIX Profile Manager 联合使用时能达到最佳操作效果。AIX Profile Manager 自动化并集中了对于合规性的控制与报告。Express 版本也可以从命令行进行操作。

Standard Edition在所有 Power Systems 服务器上均有提供。（可信引导要求提供 eFW7.4 或更高版本固件的 POWER7 硬件。）它包含 PowerSC Express Edition 的功能，还提供了可信引导与监控、可信日志记录，以及可信网络连接与补丁管理。

回页首

新方向

Bosworth 与 Mullen 指出，PowerSC 的一项关键优势是注重服务器硬件与客户虚拟机集成。PowerSC 提供虚拟 TPM 与 TNC 补丁管理功能，以及与客户操作系统外部标准的合规性，这也帮助它在市场中形成了特有的竞争优势。

“它是一种经过深思熟虑的安全模型与架构，” Bosworth 说，“因为我们的 PowerVM Hypervisor 构建在固件中，我们的安全功能能够感知整个 Power Systems 堆栈。”

Adds Mullen 说 “我相信这种技术在安全方面引领了一个新的方向，并使得 Power Systems 继续保持市场领导地位。”

本文的英文原文最先在 IBM Systems Magazine 在线网站（www.ibmsystemsmag.com）上发布。

参考资料

学习

“AIX 安全命令”（developerWorks，2008 年 9 月）：安全性是 AIX 操作系统的一个重要方面。阅读这个有关 AIX 安全命令的快速参考指南以了解更多信息。
“AIX 安全：了解基础知识”（developerWorks，2011 年 11 月）：全面了解如何保护您 AIX 系统的安全，包括 LDAP 服务器。
AIX and UNIX 专区：developerWorks 的“AIX and UNIX 专区”提供了大量与 AIX 系统管理的所有方面相关的信息，您可以利用它们来扩展自己的 UNIX 技能。
AIX and UNIX 新手入门：访问“AIX and UNIX 新手入门”页面可了解更多关于 AIX 和 UNIX 的内容。
AIX and UNIX 专题汇总：AIX and UNIX 专区已经为您推出了很多的技术专题，为您总结了很多热门的知识点。我们在后面还会继续推出很多相关的热门专题给您，为了方便您的访问，我们在这里为您把本专区的所有专题进行汇总，让您更方便的找到您需要的内容。
AIX and UNIX 下载中心：在这里你可以下载到可以运行在 AIX 或者是 UNIX 系统上的 IBM 服务器软件以及工具，让您可以提前免费试用他们的强大功能。
IBM Systems Magazine for AIX 中文版：本杂志的内容更加关注于趋势和企业级架构应用方面的内容，同时对于新兴的技术、产品、应用方式等也有很深入的探讨。IBM Systems Magazine 的内容都是由十分资深的业内人士撰写的，包括 IBM 的合作伙伴、IBM 的主机工程师以及高级管理人员。所以，从这些内容中，您可以了解到更高层次的应用理念，让您在选择和应用 IBM 系统时有一个更好的认识。