FusionSphere虛擬化防病毒特性技術白皮書

1、 ( DOCPROPERTY ReleaseDate 2019-03-30) DOCPROPERTY PartNumber FusionSphere虛擬化防病毒特性技術白皮書 DOCPROPERTY Product&Project NameFusionCompute DOCPROPERTY DocumentName 虛擬機管理指南 STYLEREF Contents 目 錄文檔版本 DOCPROPERTY DocumentVersion * MERGEFORMAT 01 ( DOCPROPERTY ReleaseDate 2019-03-30) DOCPROPERTY ProprietaryD

2、eclaration * MERGEFORMAT 華為專有和保密信息 版權所有 華為技術有限公司PAGE viii DOCPROPERTY DocumentVersion * MERGEFORMAT 01 DOCPROPERTY ProprietaryDeclaration * MERGEFORMAT 華為專有和保密信息 版權所有 華為技術有限公司PAGE cccxxi DOCPROPERTY DocumentVersion * MERGEFORMAT 01 DOCPROPERTY ProprietaryDeclaration * MERGEFORMAT 華為專有和保密信息 版權所有 華為技術

3、有限公司Error! No text of specified style in document. STYLEREF Appendix heading 1 Error! No text of specified style in document.虛擬化無代理防病毒方案簡介傳統(tǒng)有代理防病毒方案簡介傳統(tǒng)有代理防病毒方案的架構如下，二層架構，需要在每個用戶虛擬機中部署殺毒引擎，然后通過集中的防病毒管理中心管理。其中防病毒管理中心負責策略管理（如配置全盤掃描任務），虛擬機內殺毒引擎負責殺毒。有代理防病毒方案殺毒引擎運行穩(wěn)定，不易受到外界干擾，但是用戶虛擬機內殺毒引擎占用資源多，而且主機上虛擬機間殺

4、毒相互獨立，導致病毒庫更新等場景下易造成“病毒風暴”（虛擬機資源占用多，導致性能差，用戶體驗差，影響正常業(yè)務，不是指病毒爆發(fā)），同時當病毒庫更新時，需要對每個虛擬機內病毒庫都進行更新，造成管理成本高。那么在虛擬化環(huán)境下，如何提供高效的防病毒方案呢？就是本文介紹的虛擬化無代理防病毒特性。虛擬化防病毒特性簡介虛擬化防病毒簡介華為虛擬化平臺FusionCompute聯(lián)合防病毒廠商為用戶提供虛擬化防病毒功能。其中華為虛擬化平臺提供虛擬化防病毒API，然后防病毒廠家基于API進行開發(fā)，集成防病毒廠家的殺毒引擎、病毒庫等，最終為用戶虛擬化提供殺毒能力。使用該功能時，只需在主機上部署一臺安全服務虛擬機（SV

5、M，參見 HYPERLINK l note1 o 注1，由防病毒廠家提供），并在運行在該主機上的其他虛擬機（稱為安全用戶虛擬機，GVM，參見 HYPERLINK l note2 o 注2）安裝防病毒驅動，即可為安全用戶虛擬機提供病毒查殺、病毒實時監(jiān)控等服務（參見 HYPERLINK l note3 o 注3）。與傳統(tǒng)防病毒功能相比，F(xiàn)usionCompute虛擬化防病毒功能無需在用戶虛擬機上安裝完整的防病毒軟件，節(jié)省用戶存儲資源；運行病毒查殺等功能時僅需占用用戶虛擬機極少的計算資源，用于運行防病毒驅動。同時，虛擬化防病毒功能通過主機物理內存交換進行病毒查殺和實時監(jiān)控，效率高、速度快；同時由于不

6、依賴網(wǎng)絡，所以不占用用戶虛擬機網(wǎng)絡資源。注1：安全服務虛擬機由防病毒廠商提供。注2：目前僅支持部分Windows操作系統(tǒng)的虛擬機作為安全用戶虛擬機，具體支持類型請參見下面 HYPERLINK l restrict o 使用約束。安全用戶虛擬機所安裝的防病毒驅動由華為提供。注3：虛擬化防病毒功能所提供的具體防病毒服務及性能由防病毒廠商提供的防病毒引擎的能力決定。方案對比有代理防病毒無代理防病毒資源占用較大，每臺虛擬機都要部署殺毒引擎。小，客戶虛擬機僅需要安裝防病毒驅動。部署復雜，可以使用模板批量部署，但是單臺部署較為復雜簡單，由平臺控制在主機部署服務。維護難，維護成本高，需要對每一臺虛擬機內引擎

7、或病毒庫升級。簡單，病毒庫和殺毒引擎單獨部署，只需要按照主機或安全服務虛擬機進行升級。穩(wěn)定性強，每臺虛擬機內防病毒服務單獨運行，穩(wěn)定性較高。相對較弱，防病毒服務依賴安全服務虛擬機，有單點故障隱患。部署方案虛擬化防病毒功能整體部署方案如 HYPERLINK l fig01 o 圖1-1所示。虛擬化防病毒部署方案說明如下：每臺主機可配置多臺安全用戶虛擬機。每臺主機部署一臺安全服務虛擬機，為安全用戶虛擬機提供防病毒服務。需部署一個防病毒管理中心，用于管理所有安全服務虛擬機，配置安全服務虛擬機的防病毒策略，下發(fā)病毒掃描任務等。說明：各個廠家對這個部件的命名可能不一致，但都是完成一些策略的管理等工作，為

8、了簡化，在本文檔中都統(tǒng)一稱為“防病毒管理中心”。防病毒管理中心通過網(wǎng)絡與安全服務虛擬機連接，因此防病毒管理中心需要與安全服務虛擬機網(wǎng)絡互通。使用約束使用FusionCompute虛擬化防病毒功能時，具有如下約束：僅支持windows操作系統(tǒng)的虛擬機作為安全用戶虛擬機,，具體支持的windows OS類型請參考防病毒廠商發(fā)布的兼容性列表。影響使用FusionCompute虛擬化防病毒功能時，對安全服務虛擬機自身功能影響如下： 不支持生成內存快照。 安全服務虛擬機需實時服務，因此不能對安全服務虛擬機執(zhí)行在線磁盤快照、休眠等操作。 安全服務虛擬機與主機綁定，如發(fā)生集群動態(tài)資源調度或主機故障，無法自動

9、遷移。使用FusionCompute虛擬化防病毒功能時，對安全用戶虛擬機自身功能影響如下： 不支持生成內存快照。 安全用戶虛擬機依賴安全服務虛擬機提供的服務，如在集群動態(tài)資源調度或主機故障發(fā)生自動遷移時，需要遷移至已部署安全服務虛擬機的主機，否則虛擬機遷移后將無法啟動。因此建議同一個集群的主機同時開啟虛擬化防病毒功能，并部署安全服務虛擬機。與華為合作的防病毒廠家列表概述：防病毒廠商提供殺毒能力，華為提供虛擬化平臺能力，雙方合作提供完整的虛擬化防病毒解決方案，結構如圖所示:由防病毒廠商提供殺毒引擎及安全虛擬機驅動，華為虛擬化平臺提供共享內存設備通道，雙方管理中心通過Rest接口進行通信。瑞星:瑞星虛擬化系統(tǒng)安全軟件FOR華為是瑞星公司推出的國內首家針對華為虛擬化平臺的安全防護解決方案。針對虛擬環(huán)境中存在的系統(tǒng)與網(wǎng)絡威脅，實現(xiàn)全方位保護。該產(chǎn)品與華為虛擬化平臺完美結合，采用領先的無