Deep-Security虚拟化安全解决方案

虚拟化平安解决方案趋势科技（中国）有限公司2014年5月

目录第1章. 概述 2第2章. 虚拟化平安面临威逼分析 2第3章. 虚拟化基础防护必要性 3第4章. 趋势科技虚拟化平安解决方案 4第5章. 虚拟化平安部署方案 75.1. VMware平台部署方案 75.2. 趋势虚拟平安方案集中管理 75.3. 虚拟化防护解决方案拓扑 7第6章. 趋势科技DeepSecurity介绍 86.1. DeepSecuirty架构 86.2. DeepSecuirty部署及整合 96.3. DeepSecuirty主要优势 106.4. DeepSecuirty模块 10

概述客户企业网内的大量服务器担当着为各个业务部门供应基础设施服务的角色。随着业务的快速发展，数据中心空间、能耗、运维管理压力日趋凸显。应用系统的部署除了购买服务器费用外，还包括数据中心空间的费用、空调电力的费用、监控的费用、人工管理的费用，相当昂贵。假如这些服务器的利用率不高，对企业来说，无疑是一种巨大的奢侈。由于虚拟化技术越来越多的被客户接受和运用，这些关键应用系统已经运用Vmware服务器虚拟化解决方案。这解决企业信息化建设目前现有的压力，同时又能满意企业响应国家节能减排要求。而虚拟化能够获得在效率、成本方面的显著收益以及在综合数据中心更具环保、增加可扩展性和改善资源实施时间方面的附加利益。但同时，数据中心的虚拟系统面临很多与物理服务器相同的平安挑战，从而增加了风险暴露，再加上在爱护这些IT资源方面存在大量特别挑战，最终将抵消虚拟化的优势。尤其在虚拟化体系结构将从根本上影响如何对于关键任务应用进行设计、部署和管理状况下，用户须要考虑哪种平安机制最适合爱护物理服务器和虚拟服务器。趋势科技供应真正的解决方案以应对这些挑战。趋势科技目前已经开发出了一套敏捷的方法用于包括入侵检测和防护、防火墙、完整性监控与日志检查的服务器防卫以及现在可以部署的恶意软件防护。所用架构主要是利用虚拟化厂商目前在其平台上增加的附加实力，诸如通过VMwarevSphere™5访问VMwareVMsafe™API的最新引入的附加实力。趋势科技供应必需的防护以提高在虚拟化环境中关键任务应用的平安性。虚拟化平安面临威逼分析虚拟服务器基础架构除了具有传统物理服务器的风险之外，同时也会带来其虚拟系统自身的平安问题。新平安威逼的出现自然就须要新方法来处理。通过前期调研，总结了目前虚拟化环境内存在的几点平安隐患。虚拟机之间的相互攻击由于目前虚拟化环境的平安都运用传统的防护模式，导致主要的防护边界还是位于物理主机的边缘，从而忽视了同一物理主机上不同虚拟机之间的相互攻击和相互入侵的平安隐患。随时启动的防护间歇由于大量运用Vmware的服务器虚拟化技术，让IT服务具备更高的敏捷性和负载均衡。但同时，这些随时由于资源动态调整关闭或开启虚拟机会导致防护间歇问题。如，某台始终处于关闭状态的虚拟机在业务须要时会自动启动，成为后台服务器组的一部分，但在这台虚拟机启动时，其包括防病毒在内的全部平安状态都较其他始终在线运行的服务器处于滞后和脱节的地位。系统平安补丁安装目前虚拟化环境内仍会定期采纳传统方式对阶段性发布的系统补丁进行测试和手工安装。虽然虚拟化服务器本身有肯定状态复原的功能机制。但此种做法仍有肯定平安风险。1.无法确保系统在测试后发生的改变是否会因为安装补丁导致异样。2.集中的安装系统补丁，前中后期须要大量人力，物力和技术支撑，部署成本较大。防病毒软件对资源的占用冲突导致AV（Anti-Virus）风暴目前在虚拟化环境中对于虚拟化服务器仍运用每台虚拟操作系统安装防病毒客户端的方式进行病毒防护。在防护效果上可以达到平安标准，但如从资源占用方面考虑存在肯定平安风险。由于每个防病毒客户端都会在同一个物理主机上产生资源消耗，并且当发生客户端同时扫描和同时更新时，资源消耗的问题会愈独创显。严峻时可能导致ESX服务器宕机。通过以上的分析是我们了解到虽然传统平安设备可以物理网络层和操作系统供应平安防护，但是虚拟环境中新的平安威逼，例如：虚拟主机之间通讯的访问限制问题，病毒通过虚拟交换机传播问题等，传统的平安设备无法供应相关的防护，趋势科技供应创新的平安技术为虚拟环境供应全面的爱护。虚拟化基础防护必要性用户的虚拟服务器始终承载着最为重要的数据，因此，很简单引起外来入侵者的窥探，遭入侵、中病毒、抢权限，各种威逼都会抓住一切机会造访服务器系统。针以前针对服务器采纳集中管理、集中防护的措施，通过传统平安技术在网络侧建立平安防线，如防火墙技术、防病毒技术、入侵检测技术……各种平安产品起先被一个一个地加入到平安防线中来。目前为了降低硬件选购 成本，提高服务器资源的利用率，引进服务器虚拟化技术对现有应用服务器的计算资源进行整合，使现有建立的平安防线面临挑战！服务器虚拟化后不但面临着传统物理实机的各种平安问题，同时由于虚拟系统之间的数据交换，以及共享的计算资源池，导致传统的平安技术手段很难针对虚拟系统供应防护，另外运用传统平安技术的运用还带来更大计算资源的消耗和管理运维，导致与引入服务器虚拟化的初衷相违反。通过上一章节的威逼分析发觉，为了降低服务器和虚拟服务器的平安威逼必需采纳创新的平安技术手段为服务器供应平安加固。因为传统平安技术应用到虚拟服务器防护存在短板效应：任何一点疏忽，都会让整个信息系统的平安防线功亏一篑，带来经济和企业名誉的损失。更何况，这些被广泛传统平安产品虽然可以在物理网络层很好地爱护服务器系统，但它们终究无法应对虚拟系统面临新的平安威逼，所以须要采纳创新的平安技术才能完善信息平安防护体系的基础架构，同时具备对最新平安威逼的反抗力，降低平安威逼出现到可以真正进行防范的时间差，提高服务器的平安性和抗攻击实力，从而供应业务系统应用的可用性。趋势科技虚拟化平安解决方案趋势科技针对虚拟环境供应全新的信息平安防护方案——DeepSecurity，通过病毒防护、访问限制、入侵检测/入侵防护、虚拟补丁、主机完整性监控、日志审计等功能实现虚拟主机和虚拟系统的全面防护，并满意信息系统合规性审计要求。针对银行证券的服务器虚拟化面临的风险，建议采纳趋势科技的虚拟化解决方案，构建虚拟化平台的基础架构多层次的综合防护。病毒基础防护传统的病毒针防护解决方案都是通过安装Agent代理程序到虚拟主机的操作系统中，在整合服务器虚拟化后，要实现针对病毒的实时防护，同样须要在虚拟主机的操作系统中安装防病毒Agent程序，但是服务器虚拟化的目的是整合资源，最大化的发挥服务器资源的利用率，而传统的防病毒技术须要在每个虚拟主机中安装程序，例如：一台服务器虚拟6台主机，传统方法将Agent须要安装6套，并且在制定扫描任务就须要消耗虚拟主机的计算资源，这种方式并没有达到节约计算资源的效果，反而增加了计算资源的消耗，并且在病毒库更新是带来更多的网络资源消耗。趋势科技针对虚拟化环境供应创新的方法解决防病毒程序带来的资源消耗问题，通过运用虚拟化层的vShieldAPI接口实现全面的病毒防护。具体如下：针对VMware虚拟系统，实现底层无代理病毒防护趋势科技针对VMware虚拟系统中通过vShieldAPI接口实现针对虚拟系统和虚拟主机之间的全面防护，无需在虚拟主机的操作系统中安装平安防护组件，即虚拟主机系统无代理方式实现实时的病毒防护，这样无需消耗安排给虚拟主机的计算资源和更多的网络资源消耗，最大化利用计算资源的同时供应全面病毒的实时防护。访问限制传统技术的防火墙技术经常以硬件形式存在，用于通过访问限制和平安区域间的划分，计算资源虚拟化后导致边界模糊，很多的信息交换在虚拟系统内部就实现了，而传统防火墙在物理网络层供应访问限制，如何在虚拟系统内部实现访问限制和病毒传播抑制是虚拟系统面临的最基本平安问题。趋势科技DeepSecurity防火墙供应全面基于状态检测细粒度的访问限制功能，可以实现针对虚拟交换机基于网口的访问限制和虚拟系统之间的区域逻辑隔离。DeepSecurity的防火墙同时支持各种泛洪攻击的识别和拦截。入侵检测/防护同时在主机和网络层面进行入侵监测和预防，是当今信息平安基础设施建设的主要内容。然而，随着虚拟化技术的出现，很多平安专家意识到，传统的入侵监测工具可能没法融入或运行在虚拟化的网络或系统中，像它们在传统企业网络系统中所做的那样。例如，由于虚拟交换机不支持建立SPAN或镜像端口、禁止将数据流拷贝至IDS传感器，网络入侵监测可能会变得更加困难。类似地，内联在传统物理网区域中的IPS系统可能也没方法轻易地集成到虚拟环境中，尤其是面对虚拟网络内部流量的时候。基于主机的IDS系统或许仍能在虚拟机中正常运行，但是会消耗共享的资源，使得安装平安代理软件变得不那么志向。趋势科技DeepSecurity在VMware的VMsafe接口可以对虚拟交换机允许交换机或端口组运行在“混杂模式”，这时虚拟的IDS传感器能够感知在同一虚拟段上的网络流量。DeepSecurity除了供应传统IDS/IPS系统功能外，还供应虚拟环境中基于政策的（policy-based）监控和分析工具，使DeepSecurity更精确的流量监控、分析和访问限制，还能分析网络行为，为虚拟网络供应更高的平安性。趋势科技DeepSecurity同时虚拟系统中占用更少的资源，避开过度消耗宿主机的硬件实力。虚拟补丁防护随着新的漏洞不断出现，很多公司在为系统打补丁上疲于应付，等待安装重要平安补丁的维护时段可能是一段艰难的时期。另外，操作系统及应用厂商针对一些版本不供应漏洞的补丁，或者发布补丁的时间严峻滞后，还有最重要的是，假如IT人员的配备不足，时间又不充裕，那么系统在审查、测试和安装官方补丁更新期间很简单陷入风险。趋势科技DeepSecurity通过虚拟补丁技术完全可以解决由于补丁导致的问题，通过在虚拟系统的接口对虚拟主机系统进行评估，并可以自动对每个虚拟主机供应全面的漏洞修补功能，在操作系统在没有安装补丁程序之前，供应针对漏洞攻击的拦截。趋势科技DeepSecurity的虚拟补丁功能既不须要停机安装，也不须要进行广泛的应用程序测试。虽然此集成包可以为IT人员节约大量时间。完整性审计趋势科技DeepSecurity产品可以针对系统支持依据基线的文件、书目、注册表等关键文件监控和审计功能，当这些关键位置为恶意篡改或感染病毒时，可以供应为管理员供应告警和记录功能，从而供应系统的平安性。日志审计和报表功能每发生一次重大的数据泄密事务（譬如英国零售商TKMaxx和美国农业部的泄密事务）或者每出台一部新的法规，平安重点好像都要从“阻挡坏人”的传统方法转向全面的平安机制，以进一步分析IT活动。现在，服务器系统日志和应用程序日志正以惊人的速度生成，这就可以具体记录下来IT活动。假如某位满腹牢骚的员工企图窃取数据，访问了含有机密信息的数据库，日志就有可能记录下他的一举一动，那样别人只要检查日志，就能确定是谁在什么时候从事了什么活动。日志供应了线索，企业利用这些线索就能追查全部用户（不管是否不怀好意）的行踪。由此可见，对日志进行管理睬给组织带来很多好处。它们让组织意识到面临的状况，并帮助组织开展行之有效的调查，例行的日志检查及深化分析保存日志不但可以马上识别出现不久的平安事务、违反政策状况、欺诈活动以及运作问题，还有助于供应有用的信息，从而解决问题。趋势科技DeepSecurity供应全面的系统日志和详尽的报告功能，除了记录自身的各功能日志外，还可以将虚拟主机操作系统日志结合DeepSecurity自身日志进行统一的统计和分析，日志系统还可以生成符合国际相关平安规范的报表。DeepSecurity通过对日志进行分析可以让管理员跟踪IT基础设施的活动，评估服务器数据泄密事务是否发生、如何发生、何时发生、在何处发生的有效方法。虚拟化平安部署方案VMware平台部署方案趋势科技服务器虚拟平安解决方案针对VMwarevSphere虚拟平台供应无代理的平安防护措施，在每台物理实机的ESX/ESXi中部署趋势DeepSecurity的virtualAppliance插件，就为每台虚拟主机的多层次平安防护，包括：防病毒功能、访问限制功能、虚拟补丁、攻击防卫等。VMware平台下采纳物理服务器多台，须要部署趋势科技DeepSecurity后，无需在虚拟主机操作系统中Agent程序就可以实现基础的多种防护功能。趋势虚拟平安方案集中管理趋势科技虚拟化平安解决方案——DeepSecurity采纳C/S结构，管理员通过阅读器就可以实现DeepSecurity的管控，DeepSecurity服务器支持管控不同虚拟平台或物理实机上的Agent/virtualAppliance代理程序，包括Agent程序的策略下发，状态检测、风险监控等功能，并且支持VMwarevCenter的集中控管，在供应最大化的服务器基础防护的同时大大提高了管理的便捷性。虚拟化防护解决方案拓扑对于ESX主机运行虚拟化环境，DeepSecurity对这些ESXServer和虚拟机进行统一的安装防护和管理。DeepSecurity防护结构具体如下图：趋势科技DeepSecurity介绍DeepSecuirty架构DeepSecurityVirtualAppliance在VMwarevSphere在VMwarevSphere虚拟机器上供应无代理的病毒查杀，IDS/IPS、网络应用程序爱护、应用程序控管及防火墙爱护，透亮化地加强平安策略--假如须要可以与DeepSecurityAgent协调合作供应完整性的监控及日志审计。DeepSecurityAgent是一个特别轻小的代理软件组件，部署于服务器及被爱护的虚拟机器上，能有效帮助执行数据中心的平安政策(IDS/IPS、网络应用程序爱护、应用程序控管、防病毒、防火墙、完整性监控及审查日志)。DeepSecurityManager功能强大的、集中式管理，是为了使管理员能够创建平安设定档与将它们应用于服务器、显示器警报和威逼实行的预防措施、分布服务器，平安更新和生成报告。新事务标注功能简化了管理的高容量的事务。SecurityCenter我们的平安专家团队说明您保持领先的最新威逼的快速开发和供应平安更新该地址新发觉的漏洞。客户门户平安更新传递到深的平安管理器部署使您可以访问。DeepSecuirty部署及整合趋势科技部署快速运用整合既有IT及信息平安投资。与VMwarevCenter和ESX服务器的VMware整合，能够将组织和营运信息汇入DeepSecurityManager中，这样精细的平安将被应用在企业的VMware基础结构上。与VMsafe™APIs的整合可以作为一个虚拟应用，能马上在ESX服务器上快速部署和透亮化地爱护vSphere虚拟机器。透过多种整合选项，供应具体的服务器级别的平安事务至SIEM系统，包括ArcSight™、Intellitactics、NetIQ、RSAEnvision、Q1Labs、Loglogic和其它系统。能与企业的书目作整合，包括MicrosoftActiveDirectory。可配置的管理沟通，能大幅度削减或消退透过Manager及Agent进行通信的防火墙改变。可以透过标准的软件分发机制如Microsoft®SMS、Zenworks和Altiris轻松部署代理软件DeepSecuirty主要优势预防数据破坏及营运受阻供应无论是实体、虚拟及云端运算的服务器防卫防堵在应用程序和操作系统上已知及未知的漏洞防止网页应用程序遭SQLInjection及Cross-site跨网站程序代码改写的攻击阻挡针对企业系统的攻击辨识可疑活动及行为，供应主动和预防措施帮助企业遵循PCI及其它法规和准则满意6大PCI数据平安准则及一系列广泛的法规遵循需求供应具体的审核报告，包含已防止攻击和政策符合状态削减支持审核所需的打算时间和投入达到经营成本的降低透过服务器资源的合并，让虚拟化或云端运算的节约更优化透过平安事务自动管理机制，使管理更加简化供应漏洞防护让平安编码优先化及和弱点修补成本有效化消退了部署多个软件客户端与集中管理、多用途的软件代理或虚拟装置所产生的成本DeepSecuirty模块病毒防护集成VMware最新的vShieldEndpoint技术接口，使虚拟机无需任何安装就能对病毒、间谍软件、木马等威逼进行查杀优化虚拟机上并发的全盘扫描、病毒库更新时对虚拟服务器产生大量的资源消耗防病毒模块能将困难、高端的攻击有效隔离深度封包检查检查全部未遵照协议进出的通信，内含可能的攻击及政策违反在侦测或预防模式下运作，以爱护操作系统和企业应用程序漏洞能够防卫应用层攻击、SQLSQLInjection及Cross-site跨网站程序代码改写的攻击供应有价值的信息，包含攻击来源、攻击时间及试图利用什么方式进行攻击当事务发生时，会马上自动通知管理员入侵侦测和防卫防堵已知漏洞来抵抗已知及零时差攻击，避开无限制的攻击每小时自动防堵发觉到的最新漏洞，无须重新开机，即可在几分钟内就可将防卫部署至成千上万的服务器上供应数据库、网页、电子邮件和FTP服务器等100多个应用程序的漏洞爱护智能型防卫规则供应零时差的爱护，透过检测不寻常及内含病毒的通讯协议数据码，以确保不受未知的漏洞攻击完整监控监视关键操作系统和应用程序，如书目、registrykeys及数值，以侦测出恶意和不寻常的更改实时的侦测出现有档案系统中的修改及新建立的档案，并供应报告可启动需求、预定或实时侦测，检查档案属性(PCI10.5.5)和监控特定书目供应敏捷且好用的监控，供应包含/解除和可审核报告网页应用程序爱护帮助企业遵循法规(PCIDSS6.6)爱护网页应用程序和全部处理的数据防企SQLInjection、Cross-site跨网站程序代码改写的攻击和其它网页应用程序漏洞在漏洞修补期间，供应完整的防护应用程序管理增加对应用程序访问的网络的控管及可见度运用应用程序控管规则，可侦测出病毒私下访问网络的行为降低服务器漏洞双向状态防火墙削减的实体、云端运算及虚拟服务器被攻击的机会集中管理服务器防火墙政策，包括最常见的服务器类型微粒的筛选特色（IP与MAC地