6.5 虛擬化安全管理

6.5.1　用戶管理

6.5.1.1　一般要求

本項要求包括：

a) 凡需登錄虛擬化管理平臺的管理員用戶，應先進行標識；

b) 管理員用戶標識應使用用戶名/用戶ID，并保證在虛擬化管理平臺中的唯一性；

c) 提供虛擬資源管理員權限分離機制，例如系統管理員、安全管理員、安全審計員等不同的管理員賬戶；

d) 虛擬化管理平臺的管理員按職能分割和最小授權原則，并形成相互制約、監督的關系；

e) 應能由管理員定義合適的用戶角色，對用戶按最小授權原則進行管理。

6.5.2　身份鑒別

6.5.2.1　一般要求

本項要求包括：

a) 實現對管理員用戶身份的鑒別，并在每次登錄系統時進行鑒別；

b) 鑒別信息應采用非明文方式存儲和傳輸；

c) 在會話超時后，系統應斷開會話或重新鑒別用戶，系統應提供時限的默認值；

d) 應提供鑒別失敗處理功能，能夠預定義鑒別嘗試的最大值（包括嘗試次數和時間的閾值），以及達到該值時系統應采取的措施。

6.5.2.2　增強要求

本項要求包括：

a) 應采用兩種或兩種以上組合的鑒別技術；

b) 應支持基于可信第三方的認證方式。

6.5.3　訪問控制

6.5.3.1　一般要求

本項要求包括：

a) 訪問控制的覆蓋范圍應包括與資源訪問相關的主體、客體及它們之間的操作；

b) 授權用戶對受保護資源進行訪問的內容、操作權限不能超出預定義的范圍；

c) 訪問控制主體為：虛擬機、管理員用戶等；

d) 受保護的資源至少包括：CPU、存儲、網絡等。

6.5.3.2　增強要求

本項要求包括：

a) 應對遠程執行特權命令進行限制；

b) 應實時監視遠程管理連接，在發現未授權連接時采取一定措施，例如斷開連接。

6.5.4　宿主機管理

6.5.4.1　一般要求

本項要求包括：

a) 應支持實時檢測硬件故障狀態，對故障硬件實施自動隔離，并進行告警。

6.5.5　虛擬機管理

6.5.5.1　一般要求

本項要求包括：

a) 應提供虛擬機定時策略和批量操作功能，包括虛擬機的啟動、重啟、掛起、恢復、關機等；

b) 應能在虛擬機異常時，根據策略采取相應措施；

c) 應限制單個虛擬機對系統資源的最大使用配額。

6.5.6　虛擬存儲管理

6.5.6.1　一般要求

本項要求包括：

a) 應支持對存儲數據的加密密鑰進行管理。

6.5.6.2　增強要求

本項要求包括：

a) 應支持基于策略的用戶數據存儲，為不同類型或安全需求的數據提供不同的存儲位置。

6.5.7　虛擬網絡管理

6.5.7.1　一般要求

本項要求包括：

a) 應提供與當前運行狀況相符的虛擬網絡結構信息圖；

b) 應支持虛擬化平臺管理網絡數據傳輸的保密性和完整性；

c) 應保證訪問控制策略在虛擬機遷移前后一致并有效；

d) 應能根據用戶數據的不同安全要求,劃分成不同的網絡安全域，支持不同數據之間的隔離。

6.5.7.2　增強要求

本項要求包括：

a) 能對虛擬化網絡資源、網絡結構及相應訪問控制策略進行實時更新和集中監控。

6.5.8　安全監控

6.5.8.1　一般要求

本項要求包括：

a) 應支持對虛擬機狀態的實時監控，形成各種安全安全等事件信息；

b) 應支持自定義安全事件，包括事件類型等；

c) 應支持對安全事件信息進行處理，形成不同級別的安全告警信息；

d) 應支持設置多種告警方式。

6.5.8.2　增強要求

本項要求包括：

a) 應支持對運行時安全策略執行狀態的檢查；

b) 應提供監控信息的接口，提供數據供第三方審計，實現集中監控。

6.5.9　安全審計

6.5.9.1　一般要求

本項要求包括：

a) 應能對以下事件生成審計日志：

1) 管理員關鍵操作行為，包括宿主機配置、虛擬資源分配、虛擬資源管理、虛擬資源異常使用等；

2) 管理員的登錄、登出、修改密碼等日常行為。

b) 審計日志應包括事件類型、事件時間、事件主體、事件客體、用戶IP、事件描述和事件結果等字段；

c) 審計日志應存儲在掉電非易失性存儲介質中；

d) 當存儲空間將要耗盡時，應采取相應措施，保證審計日志不丟失；

e) 應支持對審計日志進行備份；

f) 應保護審計日志不被未授權地訪問、修改和破壞；

g) 應提供審計日志的可選擇查詢功能，支持按以下條件之一或組合進行查詢：事件類型、事件時間、事件主體、事件客體、用戶IP、日志級別、事件結果或關鍵詞查詢；

h) 應提供對審計日志的導出功能。

6.5.9.2　增強要求

本項要求包括：

a) 應為安全審計的數據提供接口，提供數據供第三方審計，實現集中審計。