FusionSphere虛擬化防病毒特性技術(shù)白皮書

1、 ( DOCPROPERTY ReleaseDate 2019-03-30) DOCPROPERTY PartNumber FusionSphere虛擬化防病毒特性技術(shù)白皮書 DOCPROPERTY Product&Project NameFusionCompute DOCPROPERTY DocumentName 虛擬機管理指南 STYLEREF Contents 目 錄文檔版本 DOCPROPERTY DocumentVersion * MERGEFORMAT 01 ( DOCPROPERTY ReleaseDate 2019-03-30) DOCPROPERTY ProprietaryD

2、eclaration * MERGEFORMAT 華為專有和保密信息 版權(quán)所有 華為技術(shù)有限公司PAGE viii DOCPROPERTY DocumentVersion * MERGEFORMAT 01 DOCPROPERTY ProprietaryDeclaration * MERGEFORMAT 華為專有和保密信息 版權(quán)所有 華為技術(shù)有限公司PAGE cccxxi DOCPROPERTY DocumentVersion * MERGEFORMAT 01 DOCPROPERTY ProprietaryDeclaration * MERGEFORMAT 華為專有和保密信息 版權(quán)所有 華為技術(shù)

3、有限公司Error! No text of specified style in document. STYLEREF Appendix heading 1 Error! No text of specified style in document.虛擬化無代理防病毒方案簡介傳統(tǒng)有代理防病毒方案簡介傳統(tǒng)有代理防病毒方案的架構(gòu)如下，二層架構(gòu)，需要在每個用戶虛擬機中部署殺毒引擎，然后通過集中的防病毒管理中心管理。其中防病毒管理中心負責策略管理（如配置全盤掃描任務(wù)），虛擬機內(nèi)殺毒引擎負責殺毒。有代理防病毒方案殺毒引擎運行穩(wěn)定，不易受到外界干擾，但是用戶虛擬機內(nèi)殺毒引擎占用資源多，而且主機上虛擬機間殺

4、毒相互獨立，導致病毒庫更新等場景下易造成“病毒風暴”（虛擬機資源占用多，導致性能差，用戶體驗差，影響正常業(yè)務(wù)，不是指病毒爆發(fā)），同時當病毒庫更新時，需要對每個虛擬機內(nèi)病毒庫都進行更新，造成管理成本高。那么在虛擬化環(huán)境下，如何提供高效的防病毒方案呢？就是本文介紹的虛擬化無代理防病毒特性。虛擬化防病毒特性簡介虛擬化防病毒簡介華為虛擬化平臺FusionCompute聯(lián)合防病毒廠商為用戶提供虛擬化防病毒功能。其中華為虛擬化平臺提供虛擬化防病毒API，然后防病毒廠家基于API進行開發(fā)，集成防病毒廠家的殺毒引擎、病毒庫等，最終為用戶虛擬化提供殺毒能力。使用該功能時，只需在主機上部署一臺安全服務(wù)虛擬機（SV

5、M，參見 HYPERLINK l note1 o 注1，由防病毒廠家提供），并在運行在該主機上的其他虛擬機（稱為安全用戶虛擬機，GVM，參見 HYPERLINK l note2 o 注2）安裝防病毒驅(qū)動，即可為安全用戶虛擬機提供病毒查殺、病毒實時監(jiān)控等服務(wù)（參見 HYPERLINK l note3 o 注3）。與傳統(tǒng)防病毒功能相比，F(xiàn)usionCompute虛擬化防病毒功能無需在用戶虛擬機上安裝完整的防病毒軟件，節(jié)省用戶存儲資源；運行病毒查殺等功能時僅需占用用戶虛擬機極少的計算資源，用于運行防病毒驅(qū)動。同時，虛擬化防病毒功能通過主機物理內(nèi)存交換進行病毒查殺和實時監(jiān)控，效率高、速度快；同時由于不

6、依賴網(wǎng)絡(luò)，所以不占用用戶虛擬機網(wǎng)絡(luò)資源。注1：安全服務(wù)虛擬機由防病毒廠商提供。注2：目前僅支持部分Windows操作系統(tǒng)的虛擬機作為安全用戶虛擬機，具體支持類型請參見下面 HYPERLINK l restrict o 使用約束。安全用戶虛擬機所安裝的防病毒驅(qū)動由華為提供。注3：虛擬化防病毒功能所提供的具體防病毒服務(wù)及性能由防病毒廠商提供的防病毒引擎的能力決定。方案對比有代理防病毒無代理防病毒資源占用較大，每臺虛擬機都要部署殺毒引擎。小，客戶虛擬機僅需要安裝防病毒驅(qū)動。部署復雜，可以使用模板批量部署，但是單臺部署較為復雜簡單，由平臺控制在主機部署服務(wù)。維護難，維護成本高，需要對每一臺虛擬機內(nèi)引擎

7、或病毒庫升級。簡單，病毒庫和殺毒引擎單獨部署，只需要按照主機或安全服務(wù)虛擬機進行升級。穩(wěn)定性強，每臺虛擬機內(nèi)防病毒服務(wù)單獨運行，穩(wěn)定性較高。相對較弱，防病毒服務(wù)依賴安全服務(wù)虛擬機，有單點故障隱患。部署方案虛擬化防病毒功能整體部署方案如 HYPERLINK l fig01 o 圖1-1所示。虛擬化防病毒部署方案說明如下：每臺主機可配置多臺安全用戶虛擬機。每臺主機部署一臺安全服務(wù)虛擬機，為安全用戶虛擬機提供防病毒服務(wù)。需部署一個防病毒管理中心，用于管理所有安全服務(wù)虛擬機，配置安全服務(wù)虛擬機的防病毒策略，下發(fā)病毒掃描任務(wù)等。說明：各個廠家對這個部件的命名可能不一致，但都是完成一些策略的管理等工作，為

8、了簡化，在本文檔中都統(tǒng)一稱為“防病毒管理中心”。防病毒管理中心通過網(wǎng)絡(luò)與安全服務(wù)虛擬機連接，因此防病毒管理中心需要與安全服務(wù)虛擬機網(wǎng)絡(luò)互通。使用約束使用FusionCompute虛擬化防病毒功能時，具有如下約束：僅支持windows操作系統(tǒng)的虛擬機作為安全用戶虛擬機,，具體支持的windows OS類型請參考防病毒廠商發(fā)布的兼容性列表。影響使用FusionCompute虛擬化防病毒功能時，對安全服務(wù)虛擬機自身功能影響如下： 不支持生成內(nèi)存快照。 安全服務(wù)虛擬機需實時服務(wù)，因此不能對安全服務(wù)虛擬機執(zhí)行在線磁盤快照、休眠等操作。 安全服務(wù)虛擬機與主機綁定，如發(fā)生集群動態(tài)資源調(diào)度或主機故障，無法自動

9、遷移。使用FusionCompute虛擬化防病毒功能時，對安全用戶虛擬機自身功能影響如下： 不支持生成內(nèi)存快照。 安全用戶虛擬機依賴安全服務(wù)虛擬機提供的服務(wù)，如在集群動態(tài)資源調(diào)度或主機故障發(fā)生自動遷移時，需要遷移至已部署安全服務(wù)虛擬機的主機，否則虛擬機遷移后將無法啟動。因此建議同一個集群的主機同時開啟虛擬化防病毒功能，并部署安全服務(wù)虛擬機。與華為合作的防病毒廠家列表概述：防病毒廠商提供殺毒能力，華為提供虛擬化平臺能力，雙方合作提供完整的虛擬化防病毒解決方案，結(jié)構(gòu)如圖所示:由防病毒廠商提供殺毒引擎及安全虛擬機驅(qū)動，華為虛擬化平臺提供共享內(nèi)存設(shè)備通道，雙方管理中心通過Rest接口進行通信。瑞星:瑞星虛擬化系統(tǒng)安全軟件FOR華為是瑞星公司推出的國內(nèi)首家針對華為虛擬化平臺的安全防護解決方案。針對虛擬環(huán)境中存在的系統(tǒng)與網(wǎng)絡(luò)威脅，實現(xiàn)全方位保護。該產(chǎn)品與華為虛擬化平臺完美結(jié)合，采用領(lǐng)先的無