FusionSphere虛擬化防病毒特性技術(shù)白皮書

1、 ( DOCPROPERTY ReleaseDate 2019-03-30) DOCPROPERTY PartNumber FusionSphere虛擬化防病毒特性技術(shù)白皮書 DOCPROPERTY Product&Project NameFusionCompute DOCPROPERTY DocumentName 虛擬機(jī)管理指南 STYLEREF Contents 目 錄文檔版本 DOCPROPERTY DocumentVersion * MERGEFORMAT 01 ( DOCPROPERTY ReleaseDate 2019-03-30) DOCPROPERTY ProprietaryD

2、eclaration * MERGEFORMAT 華為專有和保密信息 版權(quán)所有 華為技術(shù)有限公司PAGE viii DOCPROPERTY DocumentVersion * MERGEFORMAT 01 DOCPROPERTY ProprietaryDeclaration * MERGEFORMAT 華為專有和保密信息 版權(quán)所有 華為技術(shù)有限公司PAGE cccxxi DOCPROPERTY DocumentVersion * MERGEFORMAT 01 DOCPROPERTY ProprietaryDeclaration * MERGEFORMAT 華為專有和保密信息 版權(quán)所有 華為技術(shù)

3、有限公司Error! No text of specified style in document. STYLEREF Appendix heading 1 Error! No text of specified style in document.虛擬化無(wú)代理防病毒方案簡(jiǎn)介傳統(tǒng)有代理防病毒方案簡(jiǎn)介傳統(tǒng)有代理防病毒方案的架構(gòu)如下，二層架構(gòu)，需要在每個(gè)用戶虛擬機(jī)中部署殺毒引擎，然后通過(guò)集中的防病毒管理中心管理。其中防病毒管理中心負(fù)責(zé)策略管理（如配置全盤掃描任務(wù)），虛擬機(jī)內(nèi)殺毒引擎負(fù)責(zé)殺毒。有代理防病毒方案殺毒引擎運(yùn)行穩(wěn)定，不易受到外界干擾，但是用戶虛擬機(jī)內(nèi)殺毒引擎占用資源多，而且主機(jī)上虛擬機(jī)間殺

4、毒相互獨(dú)立，導(dǎo)致病毒庫(kù)更新等場(chǎng)景下易造成“病毒風(fēng)暴”（虛擬機(jī)資源占用多，導(dǎo)致性能差，用戶體驗(yàn)差，影響正常業(yè)務(wù)，不是指病毒爆發(fā)），同時(shí)當(dāng)病毒庫(kù)更新時(shí)，需要對(duì)每個(gè)虛擬機(jī)內(nèi)病毒庫(kù)都進(jìn)行更新，造成管理成本高。那么在虛擬化環(huán)境下，如何提供高效的防病毒方案呢？就是本文介紹的虛擬化無(wú)代理防病毒特性。虛擬化防病毒特性簡(jiǎn)介虛擬化防病毒簡(jiǎn)介華為虛擬化平臺(tái)FusionCompute聯(lián)合防病毒廠商為用戶提供虛擬化防病毒功能。其中華為虛擬化平臺(tái)提供虛擬化防病毒API，然后防病毒廠家基于API進(jìn)行開發(fā)，集成防病毒廠家的殺毒引擎、病毒庫(kù)等，最終為用戶虛擬化提供殺毒能力。使用該功能時(shí)，只需在主機(jī)上部署一臺(tái)安全服務(wù)虛擬機(jī)（SV

5、M，參見(jiàn) HYPERLINK l note1 o 注1，由防病毒廠家提供），并在運(yùn)行在該主機(jī)上的其他虛擬機(jī)（稱為安全用戶虛擬機(jī)，GVM，參見(jiàn) HYPERLINK l note2 o 注2）安裝防病毒驅(qū)動(dòng)，即可為安全用戶虛擬機(jī)提供病毒查殺、病毒實(shí)時(shí)監(jiān)控等服務(wù)（參見(jiàn) HYPERLINK l note3 o 注3）。與傳統(tǒng)防病毒功能相比，F(xiàn)usionCompute虛擬化防病毒功能無(wú)需在用戶虛擬機(jī)上安裝完整的防病毒軟件，節(jié)省用戶存儲(chǔ)資源；運(yùn)行病毒查殺等功能時(shí)僅需占用用戶虛擬機(jī)極少的計(jì)算資源，用于運(yùn)行防病毒驅(qū)動(dòng)。同時(shí)，虛擬化防病毒功能通過(guò)主機(jī)物理內(nèi)存交換進(jìn)行病毒查殺和實(shí)時(shí)監(jiān)控，效率高、速度快；同時(shí)由于不

6、依賴網(wǎng)絡(luò)，所以不占用用戶虛擬機(jī)網(wǎng)絡(luò)資源。注1：安全服務(wù)虛擬機(jī)由防病毒廠商提供。注2：目前僅支持部分Windows操作系統(tǒng)的虛擬機(jī)作為安全用戶虛擬機(jī)，具體支持類型請(qǐng)參見(jiàn)下面 HYPERLINK l restrict o 使用約束。安全用戶虛擬機(jī)所安裝的防病毒驅(qū)動(dòng)由華為提供。注3：虛擬化防病毒功能所提供的具體防病毒服務(wù)及性能由防病毒廠商提供的防病毒引擎的能力決定。方案對(duì)比有代理防病毒無(wú)代理防病毒資源占用較大，每臺(tái)虛擬機(jī)都要部署殺毒引擎。小，客戶虛擬機(jī)僅需要安裝防病毒驅(qū)動(dòng)。部署復(fù)雜，可以使用模板批量部署，但是單臺(tái)部署較為復(fù)雜簡(jiǎn)單，由平臺(tái)控制在主機(jī)部署服務(wù)。維護(hù)難，維護(hù)成本高，需要對(duì)每一臺(tái)虛擬機(jī)內(nèi)引擎

7、或病毒庫(kù)升級(jí)。簡(jiǎn)單，病毒庫(kù)和殺毒引擎單獨(dú)部署，只需要按照主機(jī)或安全服務(wù)虛擬機(jī)進(jìn)行升級(jí)。穩(wěn)定性強(qiáng)，每臺(tái)虛擬機(jī)內(nèi)防病毒服務(wù)單獨(dú)運(yùn)行，穩(wěn)定性較高。相對(duì)較弱，防病毒服務(wù)依賴安全服務(wù)虛擬機(jī)，有單點(diǎn)故障隱患。部署方案虛擬化防病毒功能整體部署方案如 HYPERLINK l fig01 o 圖1-1所示。虛擬化防病毒部署方案說(shuō)明如下：每臺(tái)主機(jī)可配置多臺(tái)安全用戶虛擬機(jī)。每臺(tái)主機(jī)部署一臺(tái)安全服務(wù)虛擬機(jī)，為安全用戶虛擬機(jī)提供防病毒服務(wù)。需部署一個(gè)防病毒管理中心，用于管理所有安全服務(wù)虛擬機(jī)，配置安全服務(wù)虛擬機(jī)的防病毒策略，下發(fā)病毒掃描任務(wù)等。說(shuō)明：各個(gè)廠家對(duì)這個(gè)部件的命名可能不一致，但都是完成一些策略的管理等工作，為

8、了簡(jiǎn)化，在本文檔中都統(tǒng)一稱為“防病毒管理中心”。防病毒管理中心通過(guò)網(wǎng)絡(luò)與安全服務(wù)虛擬機(jī)連接，因此防病毒管理中心需要與安全服務(wù)虛擬機(jī)網(wǎng)絡(luò)互通。使用約束使用FusionCompute虛擬化防病毒功能時(shí)，具有如下約束：僅支持windows操作系統(tǒng)的虛擬機(jī)作為安全用戶虛擬機(jī),，具體支持的windows OS類型請(qǐng)參考防病毒廠商發(fā)布的兼容性列表。影響使用FusionCompute虛擬化防病毒功能時(shí)，對(duì)安全服務(wù)虛擬機(jī)自身功能影響如下： 不支持生成內(nèi)存快照。 安全服務(wù)虛擬機(jī)需實(shí)時(shí)服務(wù)，因此不能對(duì)安全服務(wù)虛擬機(jī)執(zhí)行在線磁盤快照、休眠等操作。 安全服務(wù)虛擬機(jī)與主機(jī)綁定，如發(fā)生集群動(dòng)態(tài)資源調(diào)度或主機(jī)故障，無(wú)法自動(dòng)

9、遷移。使用FusionCompute虛擬化防病毒功能時(shí)，對(duì)安全用戶虛擬機(jī)自身功能影響如下： 不支持生成內(nèi)存快照。 安全用戶虛擬機(jī)依賴安全服務(wù)虛擬機(jī)提供的服務(wù)，如在集群動(dòng)態(tài)資源調(diào)度或主機(jī)故障發(fā)生自動(dòng)遷移時(shí)，需要遷移至已部署安全服務(wù)虛擬機(jī)的主機(jī)，否則虛擬機(jī)遷移后將無(wú)法啟動(dòng)。因此建議同一個(gè)集群的主機(jī)同時(shí)開啟虛擬化防病毒功能，并部署安全服務(wù)虛擬機(jī)。與華為合作的防病毒廠家列表概述：防病毒廠商提供殺毒能力，華為提供虛擬化平臺(tái)能力，雙方合作提供完整的虛擬化防病毒解決方案，結(jié)構(gòu)如圖所示:由防病毒廠商提供殺毒引擎及安全虛擬機(jī)驅(qū)動(dòng)，華為虛擬化平臺(tái)提供共享內(nèi)存設(shè)備通道，雙方管理中心通過(guò)Rest接口進(jìn)行通信。瑞星:瑞星虛擬化系統(tǒng)安全軟件FOR華為是瑞星公司推出的國(guó)內(nèi)首家針對(duì)華為虛擬化平臺(tái)的安全防護(hù)解決方案。針對(duì)虛擬環(huán)境中存在的系統(tǒng)與網(wǎng)絡(luò)威脅，實(shí)現(xiàn)全方位保護(hù)。該產(chǎn)品與華為虛擬化平臺(tái)完美結(jié)合，采用領(lǐng)先的無(wú)