6.13　系統虛擬化安全性

6.13.1　一般要求

6.13.1.1　評估內容

詳見GB/T31168－2014中6.13.1的a）、b）、c）、d）、e）、f）、g）和h）。

6.13.1.2　評估方法

6.13.1.2.1 對a）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否包含提供實時的虛擬機監控機制，是否有通過帶內或帶外的技術手段對虛擬機的運行狀態、資源占用、遷移等信息進行監控的內容；

——檢查虛擬機實時監控機制，查看其是否對虛擬機的運行狀態、資源占用、遷移等信息進行監控；

——檢查虛擬機實時監控的信息內容，查看虛擬機實時監控機制是否正常運行。

6.13.1.2.2 對b）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否有確保虛擬機鏡像安全的機制；查看其是否提供虛擬機鏡像文件完整性校驗功能，防止虛擬機鏡像被惡意篡改；查看其是否有保證邏輯卷同一時刻只能被一個虛擬機掛載的機制；

——檢查虛擬機鏡像安全機制，查看其是否可以提供完整性校驗功能，查看其是否可以提供措施保證邏輯卷同一時刻只能被一個虛擬機掛載；

——檢查校驗文件、校驗記錄或校驗過程，查看其是否可以實現虛擬機鏡像文件完整性校驗功能，防止虛擬機鏡像被惡意篡改；

——測試完整性校驗機制，驗證虛擬機鏡像文件是否能夠防止惡意篡改；

——測試虛擬機邏輯卷掛載機制，驗證是否能夠保證邏輯卷同一時刻只能被一個虛擬機掛載。

6.13.1.2.3 對c）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看是否實現以下虛擬化平臺資源隔離機制:

1）每個虛擬機都能獲得相對獨立的物理資源，并能屏蔽虛擬資源故障，確保某個虛擬機崩潰后不影響虛擬機監控器（Hypervisor）及其他虛擬機。

2）虛擬機只能訪問分配給該虛擬機的物理磁盤。

3）不同虛擬機之間的虛擬CPU（vCPU）指令實現隔離。

4）不同虛擬機之間實現內存隔離。

5）虛擬機的內存被釋放或再分配給其他虛擬機前得到完全釋放。

——訪談系統開發人員或系統管理員等相關人員，詢問其虛擬化平臺資源隔離的實現情況；

——測試虛擬化平臺的資源隔離機制，驗證是否滿足設計要求。

6.13.1.2.4 對d）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否提供資源隔離失敗后的告警機制；

——檢查資源隔離失敗告警記錄，確認其是否提供了資源隔離失敗后的告警措施。

6.13.1.2.5 對e）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否支持虛擬機安全隔離機制，是否要求在虛擬機監控器（Hypervisor）層提供虛擬機與物理機之間的安全隔離措施；

——訪談系統開發人員或系統管理員等相關人員，詢問其虛擬機安全隔離機制的實現情況；

——檢查虛擬機監控器層提供虛擬機與物理機之間的安全隔離措施，查看其是否可以控制虛擬機之間以及虛擬機和物理機之間所有的數據通信；

——測試虛擬化平臺的安全隔離機制，驗證是否滿足設計要求。

6.13.1.2.6 對f）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否提供虛擬化平臺操作管理員權限分離機制；

——查看實際運行的虛擬化平臺，查看是否設置了網絡管理、賬戶管理、系統管理等不同的管理員賬戶，并分配了相應權限；

——檢查虛擬化平臺操作管理員權限分離機制，查看是否存在越權管理、非授權管理情況。

##### 6.13.1.2.7 對 g）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否將虛擬化平臺的各類操作和事件作為可審計事件清單；

——檢查虛擬化平臺的審計記錄，查看其是否包含可審計清單的所有要素。

6.13.1.2.8 對h）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否有確保虛擬鏡像模板配置正確性，并明確模板譜系來源的內容；

——檢查虛擬機模板生成及變更過程，查看過程和記錄是否規范，是否保留完整；

——檢查虛擬鏡像模板的配置，例如配置是否符合安全要求，查看其是否能滿足虛擬機的需求。

6.13.2　增強要求

6.13.2.1　評估內容

詳見GB/T31168－2014中6.13.2的a）、b）、c）、d）和e）。

6.13.2.2　評估方法

6.13.2.2.1 對 a）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否有確保虛擬化平臺的管理命令采用加密協議進行傳輸的機制；

——測試虛擬化平臺管理命令的傳輸加密機制，查看管理命令是否采用加密協議進行傳輸。

6.13.2.2.2 對b）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否有提供虛擬機跨物理機遷移過程中的保護措施的機制；

——檢查虛擬機跨物理機遷移過程中的保護措施，查看其是否提供虛擬機跨物理機遷移保護。

6.13.2.2.3 對c）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否要求提供對虛擬機所在的物理機范圍進行指定或限定的能力；

——測試對虛擬機所在物理機范圍指定或限定的能力，驗證是否能對虛擬機所在的物理機范圍進行指定或界定。

6.13.2.2.4 對d）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否有提供虛擬機鏡像文件加密功能的機制；

——訪談系統開發人員或系統管理員等相關人員，詢問其虛擬機鏡像文件是否進行加密，加密算法是否為安全算法，密鑰分發和管理是否規范，確認是否能夠防止虛擬機鏡像文件數據被非授權訪問；

——檢查虛擬機鏡像文件，查看其是否加密存儲。

6.13.2.2.5 對e）的評估方法為：

——檢查虛擬化策略、系統設計說明書等相關文檔，查看其是否提供虛擬機模板文件、配置文件等重要數據的完整性保護機制；

——訪談系統開發人員或系統管理員等相關人員，詢問其是否對虛擬機模版文件、配置文件等重要數據進行完整性檢測，詢問其完整性檢測機制的實現情況；

——檢查虛擬機模板文件、配置文件等重要數據的完整性檢測記錄，查看其完整性檢測是否有效；

——測試虛擬機模板文件、配置文件等重要數據的完整性保護機制，驗證其是否能進行完整性檢測。