《虚拟化安全解决方案样本.doc》由会员分享，可在线阅读，更多相关《虚拟化安全解决方案样本.doc（30页珍藏版）》请在金锄头文库上搜索。
1、XXXX虚拟化桌面安全解决方案趋势科技（中华人民共和国）有限公司5月目录第1章.概述41.1 XXXX虚拟化桌面概述41.2 XXXX虚拟化桌面安全概述老式安全解决方案5第2章.需求分析52.1 老式安全在虚拟化桌面中应用面临威胁分析52.1.1 虚拟机之间互相袭击52.1.2 随时启动防护间歇62.1.3 管理成本上升62.1.4 资源争夺72.2 无代理虚拟化桌面安全防护必要性8第3章.趋势科技虚拟化桌面安全解决方案83.1 安全虚拟机技术及工作原理83.2 与老式安全方案差别103.3 系统架构113.4 产品布置和集成123.5 产品功能133.5.1 恶意软件防护143.5.2 深度
2、数据包检查 (DPI) 引擎143.5.3 入侵检测和防御 (IDS/IPS)143.5.4 WEB 应用程序安全153.5.5 应用程序控制153.5.6 防火墙153.5.7 完整性监控163.6 系统规定17第4章.项目实行方案184.1 项目总体规划184.2 实行组织架构184.3 项目实行内容194.3.1 项目准备194.3.2 项目调研204.3.3 项目实行204.3.4 项目验收214.4 项目实行筹划214.4.1 项目实行分工214.4.2 项目实行筹划22第5章.售后服务22第6章.总结236.1防止数据泄露和业务中断246.2 实现合规性246.3 支持减少运营成本
3、246.4全面易管理安全性246.5 虚拟补丁256.6 合规性规定256.7 Web应用防护25附录一 成功案例26文档信息：文档属性内容项目/任务名称项目/任务编号文档名称XXXX虚拟化桌面安全解决方案文档版本号V1文档状态制作人罗海龙保密级别商密管理人罗海龙制作日期5月28日复审人复审日期扩散范畴内部使用版本记录：版本编号版本日期创立者/修改者阐明文档阐明：第1章. 概述1.1 XXXX虚拟化桌面概述计算机诞生变化了咱们生活，它正以一种前所未有方式影响着咱们生活和工作。随着技术发展，咱们生活已经无法脱离计算机了，但是老式计算机桌面使用有着诸多限制，这些限制给咱们带来了不便。一方面，随着客
4、户端设备不断增长，客户端系统环境变得复杂，导致管理困难，维护成本升高；客户端操作系统、应用客户端需要不断升级、不断打补丁；客户端需防病毒，防恶意软件，防止木马程序将敏感数据窃取，但仍也许百密一疏；客户端移动性与分布性，导致无法共享资源，运用率低；且随着技术发展，硬件更新换代需要巨大投入等等，这些都导致了没有一种随时，随处，任何设备都可以安全地访问桌面环境。同步，“集中监控、集中维护、集中管理”已经成为中华人民共和国移动网络运营维护工作一种重要工作模式。桌面云解决方案是基于云计算架构桌面交付解决方案，运用虚拟化技术，通过在云计算服务器集群上布置虚拟桌面交付系统。采用桌面云解决方案可以在数据中心集
5、中化管理桌面，轻松实现安全防护及备份，减少总体拥有成本、加强信息安全、减少维护管理费用，同步响应国家节能减排号召。在此状况下，自开始，中华人民共和国移动天津公司为提高桌面终端整体管理水平，对网管维护终端、IT办公、营业厅终端等进行了集中规划、集中管理和集中维护，进行了终端虚拟化一期工程建设。一期工程涉及了IT系统平台单项工程和网管系统平台单项工程两某些，分别针IT终端和网管终端进行了桌面云系统建设，其中IT系统平台满足了IT系统300个营业终端和100个操作维护终端接入需求；网管系统平台满足了空港网管监控大厅270个监控终端接入需求。在中华人民共和国移动集中化建设和云计算迅猛发展大背景下，综合
6、考虑瘦客户端相对老式终端优势，集团公司下发了关于中华人民共和国移动瘦客户机逐渐全面代替老式PC指引意见，明确规定：“对于新增固定终端（老式PC）需求，原则上均应采用瘦客户机方案（其中，基于TDM老式呼喊中心应停止扩容，呼喊中心扩容需求应采用基于IPNGCC呼喊中心+瘦客户机方案)；对于既有老式PC应根据使用寿命，逐渐采用瘦客户机进行自然替代。”1.2 XXXX虚拟化桌面安全概述老式安全解决方案当前，XXXX对于虚拟化桌面安全防护采用老式方式，也就是在每台虚拟桌面操作系统中安装防病毒软件、在网络层布置防火墙功能、通过补丁分发系统进行补丁修补等。这种解决方案没有考虑到虚拟化技术特殊性，存在诸多安全
7、风险，详细分析见下文。第2章. 需求分析2.1 老式安全在虚拟化桌面中应用面临威胁分析虚拟化桌面基本架构除了具备老式物理服务器风险之外，同步也会带来其虚拟系统自身安全问题。新安全威胁浮现自然就需要新办法来解决。通过前期调研，总结了当前XXXX虚拟化环境内存在几点安全隐患。 2.1.1 虚拟机之间互相袭击虚拟机之间互相袭击-由于当前XXXX仍对虚拟化环境使用老式防护模式，导致重要防护边界还是位于物理主机边沿，从而忽视了同一物理主机上不同虚拟机之间互相袭击和互相入侵安全隐患。 2.1.2 随时启动防护间歇随时启动防护间歇-由于XXXX当前大量使用Vmware虚拟化桌面技术，让XXXX运维服务具备更
8、高灵活性和负载均衡。但同步，这些随时由于资源动态调节关闭或启动虚拟机会导致防护间歇问题。如，某台始终处在关闭状态虚拟机在业务需要时会自动启动，成为后台服务器组一某些，但在这台虚拟机启动时，其涉及防病毒在内所有安全状态都较其她始终在线运营服务器处在滞后和脱节地位。 2.1.3 管理成本上升系统安全补丁安装-当前XXXX虚拟化环境内仍会定期采用老式方式对阶段性发布系统补丁进行测试和手工安装。虽然虚拟化桌面自身有一定状态恢复功能机制。但此种做法仍有一定安全风险。1.无法保证系统在测试后发生变化与否会由于安装补丁导致异常。2.集中安装系统补丁，前中后期需要大量人力，物力和技术支撑，布置成本较大。 2.
9、1.4 资源争夺防病毒软件对资源占用冲突导致AV（Anti-Virus）风暴-XXXX当前在虚拟化环境中对于虚拟化桌面仍使用每台虚拟操作系统安装SEP防病毒客户端方式进行病毒防护。在防护效果上可以达到安全原则，但如从资源占用方面考虑存在一定安全风险。由于每个防病毒客户端都会在同一种物理主机上产生资源消耗，并且当发生客户端同步扫描和同步更新时，资源消耗问题会愈创造显。严重时也许导致ESX服务器宕机。通过以上分析是咱们理解到虽然老式安全设备可以物理网络层和操作系统提供安全防护，但是虚拟环境中新安全威胁，例如：虚拟主机之间通讯访问控制问题，病毒通过虚拟互换机传播问题等，老式安全设备无法提供有关防护，
10、趋势科技提供创新安全技术为虚拟环境提供全面保护。2.2 无代理虚拟化桌面安全防护必要性XXXX虚拟化桌面始终承载着最为重要数据，因而，很容易引起外来入侵者窥探，遭入侵、中病毒、抢权限，各种威胁都会抓住一切机会拜访服务器系统。XXXX针此前针对桌面端采用集中管理、集中防护办法，通过老式安全技术在网络侧建立安全防线，如防火墙技术、防病毒技术、入侵检测技术各种安全产品开始被一种一种地加入到安全防线中来。当前XXXX为了减少硬件采购成本，提高服务器资源运用率，引进虚拟化桌面技术对既有应用服务器计算资源进行整合，使既有建立安全防线面临挑战！服务器虚拟化后不但面临着老式物理实机各种安全问题，同步由于虚拟系
11、统之间数据互换，以及共享计算资源池，导致老式安全技术手段很难针对虚拟系统提供防护，此外使用老式安全技术使用还带来更大计算资源消耗和管理运维，导致与引入服务器虚拟化初衷相违背。通过上一章节威胁分析发现，为了减少服务器和虚拟服务器安全威胁必要采用创新安全技术手段为服务器提供安全加固。由于老式安全技术应用到虚拟服务器防护存在短板效应：任何一点疏忽，都会让XXXX整个信息系统安全防线功亏一篑，带来经济和公司名誉损失。更何况，这些被广泛老式安全产品虽然可以在物理网络层较好地保护服务器系统，但它们终归无法应对虚拟系统面临新安全威胁，因此需要采用创新安全技术才干完善XXXX信息安全防护体系基本架构，同步具备
12、对最新安全威胁抵抗力，减少安全威胁浮现到可以真正进行防范时间差，提高服务器安全性和抗袭击能力，从而提供业务系统应用可用性。 第3章. 趋势科技虚拟化桌面安全解决方案3.1 安全虚拟机技术及工作原理VMware VShield Endpoint 程序使咱们可以布置专用安全虚拟机以及经特别授权访问管理程序API。这使得创立独特安全控制虚拟机成为也许，如在Gartner报告中所述，安全虚拟机技术在虚拟化世界中从主线上变化安全和管理概念。这种安全虚拟机是一种在虚拟环境中实现安全控制新型办法。安全虚拟机运用API来访问关于每一虚拟机特权状态信息，涉及其内存、状态和网络通信流量等。由于在不更改虚拟网络配备
13、状况下，服务器内部所有网络通信流量是可见。 涉及防病毒、防火墙、IDS/IPS 和系统完整性监控等在内安全功能均可以应用于安全虚拟机中。Deep Security通过vShield Endpoint提供实时扫描、预设扫描、清除修复等数据接口，对虚拟机中数据进行病毒代码扫描和判断，并结合防火墙、IDS方略实时对进出虚拟机数据进行安全过滤；在管理上需要vShield Manager和vCenter支持；3.2 与老式安全方案差别老式环境下网络安全拓扑图，在网络出口处布置有防火墙，防毒墙，上网行为管理等安全设备，用来隔离内外网，过滤来自外网恶意程序，规范内网顾客上网行为，同步在DMZ区使用防火墙隔离
14、，布置IDS监控对服务器非法访问行为，在服务器上布置防病毒软件，保护核心服务器安全运营。虚拟化在资源运用率、高可用性、高扩展性上有着诸多优势，实现虚拟化后，直观来看，是将多台服务器集中到了一台主机内，这一台主机同步运营了各种操作系统，提供不同应用和服务；系统管理员依照需要可以非常以便添加新应用服务器；依照老式安全设计模型，需要在每个操作系统中安装防毒软件，在网络层布置入防火墙、侵检测或入侵防御系统，但是在这种在老式方式下合理设计，在虚拟环境下会晤临某些新问题：未激活虚拟机，物理机下关闭计算机后CPU停止运营，网络关闭，理论上不会有数据交互，操作系统也就不存在被感染也许；但是在虚拟环境下，CPU
15、，网络，底层ESX都在工作中，关闭操作系统类似于物理环境下一种应用程序，尽管这个“应用程序”没有运营，但依然有被病毒感染也许；资源冲突，防毒软件在启用预设扫描后，当到了指定期间，会同步进行文献扫描动作，这个时候防毒软件对CPU和内存占用急剧增长，当系统资源被耗尽时候就会导致服务器down机；管理复杂度，由于虚拟化便利性，系统管理员可以非常以便依照模板生成新系统，这些新系统要打补丁，进行病毒代码更新，也会增长安全管理复杂度；虚拟化环境动态特性面临入侵检测/防御系统（IDS/IPS）新挑战。基于网络IDS/IPS，也无法监测到同一台ESX服务器上虚拟机之间通讯；由于虚拟机可以迅速地恢复到之前状态，运用VMware VMotion易于在物理服务器之间移动，因此难以获得并维持整体一致安全性。因此虚拟化已经使“网络边界去除”挑战更加明显，虚拟化对于
