這裡做一些比較主觀的說明， 拋磚引玉出大家的想法。並不是說那些沒有註記的框框，資訊虛擬化就對其沒有影響，舉例來說，虛擬化下網路環境對於防毒，對於以往的網路閘道防毒方式(在代理伺服器proxy server、郵件伺服器，或是網路設備上增加防毒功能) 也改變了遊戲規則。然而這裡我想要拿一些直接關聯的主題來跟大家討論虛擬化所帶來的影響，所以其他類似這些的部分可以繼續延伸的提出分析。拿其中的幾個例子稍做討論：
V(a)， 虛擬化環境下作業系統的部分，主機型入侵防禦系統策略的影響：
傳統的方式將HIDS 安裝於設備上或者及時察覺變化，在虛擬化的環境下，除了主機型入侵防禦系統的軟體相容性需要測試，在利用虛擬機器的檔案備份還原時，HIDS 要如何控管版本？以及其他很多因為虛擬化產生的情況，例如利用同樣虛擬機器範本時，如何應對以達成資訊安全的目標？
V (d)， 虛擬化環境下網路的部分，防火牆設置的影響：
網路設備虛擬化，防火牆對於實體與虛擬並存的網路架構要如何放在正確的位置？這個部分，虛擬機器透過虛擬的交換機、路由器，經由虛擬機器所存在主機的網路卡(network adapter) 進出實體網路，如何能夠跟傳統實體環境的防火牆作出無縫的整合？
針對上面列表的許多的可能性以及問題，接下來從企業用戶的因應方針，虛擬環境提供商的動作(現實面的考量)，新環境所帶來的變化(新的機會與風險)來做討論。並在最後(萬變與不變)提供一點意見讓大家參考。
企業用戶的因應方針
在這個資訊變更快速的環境下，廠商能否發展出更安全的架構，企業用戶也無法控制，只能要求以及期待。但是這並不代表我們雙手一攤，坐以待斃。除了解決方案的功能多寡不能夠由用戶決定，有很多部分是用戶可以著墨施力的。最明顯的一個部分，就是虛擬系統版本以及樣本管理。此處樣本檔案指在虛擬環境上被用來複製在不同虛擬機器上的第一個檔案。
在虛擬系統的環境下，太容易將一個虛擬系統複製然後修改配置做為別的系統使用，但是這個系統的防毒、系統補強、組態設定是不是都已經更新了，一個企業環境裡面到底有幾個不同的虛擬系統的版本，要用甚麼方法來管理，其他相關的課題如何確保在控制之下，如防毒、主機入侵偵測、弱點與修補管理、組態管理等，在虛擬環境之下如何控管。當然因為商業的需求，現在有越來越多的廠商針對這些部分提出了解決方案，也的確減輕了資訊人員的負擔，但是就算用戶沒有計畫或者預算使用這些解決方案，上述的內容仍然可以透過管理的方式達到控管的目標，所需要的是良好的管理流程以及嚴格的執行。
（請參考「虛擬環境管理SOP」）
現實面的考量
這幾年下來，虛擬環境市場從百家爭鳴，經過了收購、聯盟、行銷等，這一塊市場不斷的蓬勃發展，很可惜的就跟大部分的情況一樣，一開始資訊安全又是被忽略，慢慢的才被大家所提出的疑問開始強化。
當虛擬機器已經在正式上線系統(production environment)環境被大量使用的時候，網路設備使用的減少，廠商要如何在虛擬網路設備授權收取費用，資訊安全的功能如何提供附加價值以及無形的商品，以至於促成廠商之間的結盟，無可避免的還是商業考量為優先。日前思科 (Cisco)、NetApp與VMWare 宣布結盟改善虛擬環境佈署的安全性，從網路、儲存到虛擬機器環境來加強安全，之間當然也是以商業考量為主。
我們可以大致上把市場對於虛擬化的資訊安全廠商分成兩種， 一是虛擬化解決方案廠商所提的架構，如VMWare 一直在提的VMSafe架構，另一類的則是針對虛擬化環境提供管理與安全的廠商，像是HyTrust、Catbird等。隨著市場的擴大以及成熟，慢慢的廠商經過了對於安全方面考量的忽視，如今已逐漸重視這個部分，其實就如同其他資訊科技，一開始著重產品的功能以及穩定，接下來才開始注意到安全的部分。而這些廠商最後將如何互相競爭以及對安全所產生的影響，我們需要注意並選擇對企業整體虛擬環境最合適的方式來應用。
新的機會與風險
虛擬化帶來的不只是我們上面所提到的重新洗牌，在現有問題上(如防毒、IPS、網路安全等) 需要尋求新的途徑來解決，同時間，其實虛擬化也帶來很多給資訊系統或者資訊安全一些舊有議題新的機會：比如說災難復原，在虛擬化的環境，考量到硬體、軟體、作業系統、設定、資料等的復原，就多了更多的可能性，只要是能夠在機器上面執行備份的虛擬機器，就可以讓系統重新運作，而不必準備相同的硬體環境。而系統以及軟體也不需要重新還原，只要虛擬機器重新運作以及其網路、儲存還原，大部分的復原也就完成了。但是就像一把劍的兩面，就同一個觀點，在竊取資料時，惡意使用者又多了一個可以竊取的目標=虛擬系統。對於安全的角度來講，很難說這些改變是好或者不好，但是可以確定的是，整個資訊環境必須重新的評估各個安全領域。
萬變與不變
資訊安全的原則是不會改變的，但是這裡不太適合說「以不變應萬變」。只有原則不變，配合資訊虛擬化要做的改變相當多，虛擬與實體的環境共存的時候，要如何將固有的安全原則套入到嶄新的環境。而市場也逐漸演化到必須要開始對安全加注更多的精力，大部分的用戶對於虛擬環境的安全性仍然有顧忌，廠商若是不能在這方面取得使用者的信任，將對於開拓市場造成阻力(註3)，這樣的發展對安全來說是一個好的趨勢，也說明了在商業的環境，安全功能經由使用者需求產生，雖然說理想的情況，是該一開始的產品應用規劃就將安全列入考量，而不是事後補救。
用戶能做的，是在安全基本概念框架下，對於虛擬環境版本的控制以及管理著眼，配合廠商環境的不斷改變以及安全性的提升，導入以及使用安全工具以及管理模組，這個環境還在不斷的變化，定期的檢視環境以及現有最新的選項來組合出最適合的安全策略，將是面對虛擬化的環境很好的一個策略。
本文作者任職美國個人儲存公司資深安全工程師