当前位置：文档之家 › 虚拟化平台安全防护方案

虚拟化平台安全防护方案

  • 格式：doc
  • 大小：3.35 MB
  • 文档页数：11

1.虚拟化安全挑战及防护需求 虚拟化技术的应用，帮助企业实现了资源使用及管理的集约化，有效节省了系统的资源投入成本和管理维护成本，但虚拟化这种新技术的应用，也不可避免给企业的安全防护及运维管理带来新的风险及问题。 总结来说，虚拟化技术面临的最大风险及挑战主要来自于这样几个方面： 1. 网络及逻辑边界的模糊化，原有的FW等网络安全防护技术失去意义

虚拟化技术一个最大的特点就是资源的虚拟化和集中化，将原来分散在不同物理位置、不同网络区域的主机及应用资源集中到了一台或者几台虚拟化平台上，不同的虚拟化主机间的网络及逻辑边界越来越难于控制及防护，传统方式下的网络防火墙、网络入侵检测防护等技术都失去了应有的作用。 攻击者可以利用已有的一台虚拟主机使用权限，尝试对该虚拟平台和虚拟网络的其他虚拟主机进行访问、攻击甚至是嗅探等，因此必须通过基于主机的防火墙或者虚拟防火墙实现针对统一虚拟平台、虚拟网络下的虚拟主机之间的网络访问控制和隔离。 2. 系统结构的变化导致新风险

虚拟化平台在传统的“网络-系统-应用”系统架构上增加了“Hypervisor及虚拟网络”层，由于不同的虚拟机主机往往承载于同一虚拟化平台服务器，即使2台完全独立的虚拟机主机，也可能由于虚拟平台自身（Hypervisor层）的某些缺陷及弱点（如虚拟平台本身的一些驱动漏洞），导致安全风险及攻击入侵在不同虚拟机主机之间扩散 同时，单台虚拟机的安全问题，也有可能影响整个虚拟化平台的安全； 虚拟机间隔离不当，可非法访问其它VM，或者窃听VM间的通信，盗取敏感数据。 因此必须加强针对虚拟平台自身和虚拟机主机自身的安全防护。通过主机入侵检测防护系统，对虚拟平台和虚拟主机正在发生的攻击入侵行为进行实时监测及主动防护，防止虚拟平台和虚拟主机被恶意攻击及篡改. 3. 资源的共享化，原有安全防护技术面临新挑战

针对虚拟化环境，一台服务器往往需要承载大量的客户端虚拟机系统，因此当所有的主机都同时进行病毒定义更新或扫描时，将形成的更新和扫描风暴势必成为一场灾难，因此如何有效降低虚拟化环境的病毒定义更新和扫描负载，直接影响到整个虚拟化平台的使用效率。因此，虚拟机服务器安全防护软件必须引入最新的虚拟机优化技术对虚拟化平台提供更完善、更可靠的保护。

2. 安全建设方案

2.1安全建设方案概述 虚拟化平台的虚拟网络安全：通过在虚拟机服务器主机上部署基于主机的入侵检测防护系统。实现针对虚拟机服务器主机的网络访问控制及隔离、入侵攻击防护、系统加固及审计等功能，弥补传统网络防火墙、入侵防护技术在虚拟环境下的防护缺失。满足对虚拟服务器自身防护 虚拟化Guest服务器安全： 该方案针对虚拟出来的服务器的安全防护同样可以做到针对虚拟环境中的虚拟物理服务器自身的防护，并且能适应虚拟环境下的架构变化。面对新形势下的安全威胁，无论是网络攻击，内存的缓存溢出攻击，零日威胁，都可以做到实时的安全防护。 虚拟化平台底层架构安全防护：通过对VMware ESXi服务器的事件日志的实时收集和分析，实现实时监控虚拟服务器的文件配置改变，针对ESXi服务器的入侵检测防护能力。 通过VMware加固手册，针对vCenter服务器，集成根据该手册定义的安全加固需求的入侵防御，入侵检测策略。由于vCenter服务器架构与Windows服务器上，因此同时还应该针对Windows服务器提供足够的服务器级别加固能力，防止通过入侵Windows而间接控制vCenter服务器。 通过对ESXi，vCenter，Windows服务器的整体安全防护，包括入侵检测，入侵防御，主机加固等，从而实现对整个虚拟化平台具备全部控制和管理能力的虚拟化平台自身服务器ESXi和vCenter服务器做到完整的基础架构安全防护能力。 2.2总体网络部署架构示意图 2.3虚拟桌面无代理病毒防护 2.3.1需求概述 针对虚拟化环境，一台服务器往往需要承载大量的虚拟主机，因此当所有的主机都发起病毒扫描时，将形成的扫描风暴势必成为一场灾难，因此如何有效降低虚拟化环境的病毒扫描负载，直接影响到整个虚拟化平台的使用效率。 结合VMWARE最新的NSX技术架构，赛门铁克数据中心安全防护提供了针对虚拟化服务器及桌面的无代理病毒防护，解决传统有代理防病毒方式无法适应虚拟化架构的问题，特别是虚拟化防病毒带来的扫描风暴和病毒定义升级风暴问题。

2.3.2实现方案

SDCS通过提供虚拟安全设备SVA并于VMware的软件定义网络平台NSX集成，提供无代理的虚拟化服务器病毒防护，并且通过集成，完成虚拟化架构下的自动安全策略分配到NSX定义的组，而无须关心策略分配到那个虚拟机。 SDCS提供虚拟安全设备SVA为虚拟服务器提供无代理防病毒 SDCS提供和NSX的自动化安全策略分配到组 2.4虚拟平台和虚拟服务器安全 2.4.1需求概述 在虚拟化环境中,不同的虚拟化主机间的网络及逻辑边界越来越难于控制及防护，例如： – 虚拟层的破坏会导致其上所有虚拟桌面主机的破坏 – 虚拟桌面主机防护薄弱，可直接影响其他租户的虚拟桌面主机 – 虚拟机间隔离不当，可非法访问其它虚拟桌面主机，或者窃听虚拟桌面主机间的通信

这些新问题，通过传统的防火墙及入侵防护技术都不能够很好的解决，因此，必须加强针对虚拟机主机自身的主机入侵防护及加固，防止某台或某个点的安全风险及威胁扩散到整个虚拟化服务平台。 symantec的DCS-Server Advanced解决方案，针对虚拟化平台的Hypervisor层及重要的虚拟服务器主机，提供基于主机的入侵检测、防护、系统审计及加固功能，防止虚拟机服务器被恶意攻击及入侵，提升虚拟机服务器自身的安全防护能力及水平。

2.4.2实现方案 2.4.2.1虚拟架构保护  监视Hypervisor底层server的方法（支持当前主流的Vmware平台）:  虚拟平台底层服务器上不安装任何防护软件，可以在一台特定的虚拟桌面虚机上部署DCS 安全监控代理  DCS安全监控代理通过命令行或者API接口访问虚拟平台底层配置文件/日志、VM配置文件。  DCS管理控制台上启用预定义的 虚拟平台IDS 策略监视配置/日志/访问操作  针对虚拟平台配置变更可以生成预定义的监控报告  IDS 策略概要：  命令行接口(CLI) 登录失败和成功事件  命令行接口(CLI）命令操作记录  按照各厂商安全加固指南监控虚拟平台服务器底层配置文件变更（谁？时间？操作？变更？内容？）  按照各厂商安全加固指南监控拟平台管理组件配置文件变更（谁？时间？操作？变更？内容？）  关键的安全事件日志分析  未授权核心模块加载  USB设备事件（发现、连接VM）  其他告警

2.4.2.2虚拟主机（Guest OS）保护 安全锁定---保障系统最小权限的安全运行环境 服务器主机的运行环境通常比较简单和固定，且操作是可以预期的,如下：  仅需要安装、运行和访问特定  计算机环境轻易不进行变更  除必要的业务访问和操作外，不允许访问其他任何资源或进行其它额外操作 同时，考虑到服务器主机的特殊性（并不能总是及时更新补丁）， 传统的防病毒技术（依赖于黑名单：病毒特征库）无法解决一些新型未知攻击和零日漏洞攻击的威胁，因此，针对关键服务器主机，本次建议采用更严格的基于白名单及行为特征的系统加固及防护技术。 本次推荐的解决方案为赛门铁克的数据中心安全防护软件DCS_SA（SYMC DATA CENTER SECURITY SERVER ADVANCED）,DCS_SA是业界领先的基于主机的主机安全保护和加固的解决方案,为关键服务器主机，关键业务应用提供持续的，全面的，纵深的安全防御保护。包括  端口/服务管理(网络环境锁定)：限制服务器主机上的端口开放和访问情况，

确保服务器上只开放允许的服务端口，并进行细粒度的访问控制管理,有效控制恶意代码在网络内部的传播和扩散,并避免来自于其它设备的恶意攻击及访问（包括来自于服务器本地和安全域内部其它主机的恶意访问和攻击）  进程白名单（应用环境锁定）：通过进程白名单技术，确保服务器主机只允许业务所需的进程和程序，防止因为软件的随意安装或者程序的运行可能导致的病毒感染、恶意代码执行风险  漏洞攻击及保护（系统加固及锁定）：提供针对服务器主机的系统加固锁定和攻击保护。包括缓冲区溢出、进程注入等零日漏洞攻击行为的检测及保护能力，在服务器未及时更新补丁时对服务器进行有效保护。  安全监控及告警功能：通过监控和收集服务器主机操作系统日志和加固及防护系统日志，及时掌握服务器主机当前面临的威胁及风险状况以及系统任何细微变化。

网络环境“锁定” DCS_SA主机防护软件提供了基于主机的防火墙访问控制功能, 可以通过策略管理服务器针对终端计算机制定统一的个人主机防火墙规则，并且自动下发到终端进行执行，且不允许终端用户随意修改。可以通过防火墙策略限定终端用户能不能访问某些特定资源、或者进行特定网络连接（如基于IP、端口、应用程序等参数）。如下图所示: 网络环境“锁定”25限定业务终端应用程序与特有的后台服务器IP地址和端口进行通讯，确保网络环境安全

基于IP地址的访问控制

基于TCP、

UDP端口的访问控制基于进出流量双向访问控制基于程序路径和参数的访问控制基于用户、用户组的访问控制

可以有效控制业务终端恶意代码的传播和感染

通过该功能,可以限制服务器主机上的端口开放和访问情况，确保服务器上只开放允许的服务端口，并进行细粒度的访问控制管理,有效控制恶意代码在网络内部的传播和扩散,并避免来自于其它设备的恶意攻击及访问（包括服务器本地和安全域内部其它主机的恶意访问和攻击）,弥补安全域边界防火墙只能监控阻止来自于安全域外部攻击的不足。

应用环境“锁定” DCS_SA主机防护软件还提供了基于进程、文件级别的应用程序控制及保护功能，通过系统的自我学习功能，DCS_SA可以自动收集并识别业务终端上运行的业务进程及服务，并根据进程的继承和调用关系，采用进程白名单技术，在确保业务进程和业务操作正常运行的前提下，阻止可信范围之外的其它应用程序的安装和运行。 采集的应用及进程信息包括程序名称、发布者、签名、信誉度；通过采集的应用名称和信誉度来添加，应用程序信誉度会自动更新。同时，系统还支持将应用添加到可信升级程序，这样任何的业务应用升级，系统锁定策略不需要进行任何调整，就能保证新版本的应用进程能继续稳定可靠运行，且其它安全防护及锁定能力不受影响，如下图所示：

合集下载

如何进行虚拟化安全优化

如何进行虚拟化安全优化

如何进行虚拟化安全优化虚拟化技术正在被越来越多的企业广泛应用，然而，虚拟化也给网络安全带来了新的挑战。

一旦虚拟机被破坏，整个虚拟环境都会受到影响。

因此，提高虚拟化安全性已成为管理者不可忽视的问题。

一、虚拟机设备的保护虚拟机与物理机一样重要，我们需要以同样的方式保护它们。

首先，需要强化虚拟机网络的安全性。

安全的虚拟化方案应该包括完整的邮件、网页、文件策略控制，以及有效的口令管理。

其次，在虚拟机上运行的所有软件都需要进行升级，以确保它们是最新的安全补丁。

还要采取措施防止恶意软件的入侵，比如使用反病毒软件阻止病毒、木马的侵扰。

此外，还需要安装虚拟机安全软件进行保护。

二、加强虚拟机访问控制任何形式的访问控制都是为保护虚拟机的数据而设置的。

为了最大程度的保护虚拟机和相关数据，需要采用多重安全措施进行访问控制。

首先，可以将外部访问限制在独立的虚拟专用网络中，从而避免外部呈现对虚拟机的攻击。

其次，建议对虚拟机访问进行身份验证以及控制，可以通过用户名称、口令、电子证书等多种方式实现认证。

有效的访问控制可以有效地防止恶意用户或者未经授权的用户登录虚拟机。

三、加强网络标准的安全保护虚拟化环境的所有方面都需要进行安全加固，包括网络物理设备、网络软件、路由器和防火墙等方面。

提高防火墙的安全性，使用白名单防火墙来屏蔽不必要的网络流量对于保护虚拟化环境是很有必要的。

四、从物理机到虚拟机进行全面的安全评估评估虚拟化环境的安全，首要的任务就是确定虚拟机监控器、虚拟化管理控制器等物理层面的安全性。

虚拟化环境的安全评估包括可重复应用的全面评估方法和深度评估方法两个方面。

基于这两个评估方法，可以发现虚拟化环境中的风险，并优化安全配置，从而保护虚拟化环境免受未知攻击。

虚拟化安全优化需要综合考虑多个因素，例如硬件方面的防护、网络标准的保护和虚拟机访问控制等。

作为管理员，要密切关注虚拟化环境的安全，及时进行安全配置和更新，定期进行全面的安全性评估，以最大程度地保护企业的数据安全。

网络安全-虚拟化安全管理系统V7.0(无代理)_VMware平台_解决方案

网络安全-虚拟化安全管理系统V7.0(无代理)_VMware平台_解决方案

xxxxxxx客户虚拟化杀毒技术建议书.................................................................................................................................1.1.项目背景 (1)1.2.建设目标 (1)1.3.设计原则 (2)1.4.客户价值 (3).................................................................................................................................2.1.安全威胁分析 (3)2.2.安全必要性分析 (4)2.3.项目建设需求 (5).................................................................................................................................3.1.防病毒能力设计实现 (6)防病毒整体设计实现 (6)防病毒模块设计实现 (7)3.2.防病毒部署设计实现 (8)部署设计 (8)兼容性设计 (9)..........................................................................................................................项目概述1.1.项目背景随着[添加客户名称]市场业务和内部基础服务的极大拓展，现有的基础设施服务已经无法满足日益增长的业务、管理压力，数据中心空间、能耗、运维管理压力日益凸显。

[添加客户名称]借助VMware虚拟化技术，对基础设施服务进行扩展和优化改造，使原有或者新增资源得到更高效的利用，大幅削减设备的资本支出、降低与电力和冷却相关的能源成本以及节省物理空间。

企业虚拟化环境中的安全防护

企业虚拟化环境中的安全防护

利用 实现 最大 化 。
（） ２ 另一方面，随着 ＶＭｗａ ｅ ｒ 在更多低成本硬
件 上得 到 认 可 ，以及 该套 件 不断 扩展 以适应 最苛 刻 的企业 工作 负载 条件 ，ＶＭｗａｅ ｎ ｒｓｒ ｃｕ ｅ带 ｒ Ｉｆａ ｔｕ ｔ ｒ
来 的成本 节 约空 间将 越来越 大 。 １２ ２提 高硬 件 资源效 率 ．．
企业虚拟化环境 中的安全防护
谢 晓 华
（ 东 电网公 司湛 江供 电 局 ，广东 湛江 ５４ ０ ） 广 ２ ０５
摘 要 ： Ｖ ｗｒ虚拟化环境 为背 ， 要 分析 了 以 Ｍａ ｅ 景 简 先进虚拟 化安 全防护所 面临的挑 战 ， 并对主流 的虚拟 化安全防护 产品做 了
逐 一介绍 ，为 企业虚拟化环境 的安 全防护提供 有效参考与合理建 议。 关 键词 ： 虚拟 化 ； Ｖ ｗｒ； 安 全防护 ； 解 决方案 Ｍａ ｅ
Hale Waihona Puke ｅ ｆ ｃｉｅ ｅ ｅｅ ｃ ａ ｄ ｅ ｓｎ ｂｅ ｕ ｇ ｓｉｎ ｆｅ ｔｖ ｒｆｒｎ ｅ ｎ ｒａｏ ａ ｌ ｓｇ ｅｔｏｓ． Ｋｅ ｗｏｒ ｓ： Ｖｉ ｕ ｌ ａ ｉ ｙ ｄ ｒ ａｉ ｔｏ ＶＭｗａ ｅ； Ｓ ｆ ｔ ｐｏ ｅｔｏ Ｓ ｌｔｏ ｓ ｔ ｚ ｎ； ｒ ａ ｅ ｙ ｒｔ ｃｉｎ； ｏｕｉｎ
在 过 去 的物 理 系统 中 ，如 果 出现 硬 件 老 化 或机 房 扩 建 的需 求时 ，企业 必 须花 费 一笔 不 小 的费 用 用
于 新设 备 的采 购 ，而 在 选择 虚拟 化方 案 后 ，Ｉ 设 备 Ｔ
１２ ３管理的优势 ．．
虚拟化提供 的功能可 以将 Ｉ Ｔ管理人 员再度合
问题迎 刃而解 。
研 究 将 围绕市 场 占有 率最 高 、普及 最广 的 ＶＭｗａｅ ｒ
虚拟化安全防护产品安全技术要求

虚拟化安全防护产品安全技术要求

虚拟化安全防护产品安全技术要求1 范围本标准规定了虚拟化安全防护产品的安全功能要求、性能要求、安全保障要求及等级划分要求。

本标准适用于虚拟化安全防护产品的设计、开发及检测。

2 术语和定义2.1虚拟化安全防护产品 virtualization security product为IT虚拟化环境提供安全防护的产品。

除了对病毒、网络攻击等传统的网络安全风险以外，能够针对IT虚拟化带来的新型安全风险进行防护，同时产品运行和产品管理更加适应IT虚拟化环境。

2.2虚拟化环境 virtualization environment将计算机资源进行抽象后形成的IT环境，这些资源包括操作系统，计算机系统，CPU，内存，硬盘，负载均衡，路由器等，通过虚拟化出来的计算机资源，用户可以像用未虚拟化访问物理资源的形式，来访问虚拟化后的资源。

并且这种抽象后的资源，不会受到物力资源配置、地域、实现等因素的影响。

2.3安全防护虚拟设备 security virtual appliance以无代理的透明方式在虚拟机上实施安全策略，包括无代理恶意软件防护，无代理防火墙，无代理的IDS/IPS/Web应用防护以及相关的网络安全策略，无代理的系统完整性监控。

2.4安全防护客户端 security virtual client以在虚拟机上安装安全防护客户端的方式实施安全策略，包括恶意软件防护，防火墙，IDS/IPS/Web 应用防护以及相关的网络安全策略，系统完整性监控。

2.5安全防护管理平台 security management platform用于管理部署于用户虚拟化环境中的安全防护虚拟设备以及安全防护客户端，对安全策略进行统一管理和部署，对所有安全事件进行管理。

2.6病毒检测 virus detection在虚拟化安全防护产品进行病毒处理时，对于确定的测试环境，能够准确地报出病毒文件和病毒名称，并记录检测结果的处理方式。

2.7隔离 quarantine在虚拟化安全防护产品进行病毒处理时，为保留病毒样本以及受感染的用户文件，而采取将病毒以及受感染的用户文件存储在一个被称之为“隔离区”的受限制存储空间的处理方式。