某服务器虚拟化安全解决方案资料

1、XXX服务器虚拟化安全解决方案Mi TREND IMICROXXX趋势科技（中国）有限公司编写者苏鹏（趋势科技销售工程师）成稿时间2011/4/13文档控制仅限于XXX和趋势科技交流使用文档修订记录日期修改人版本修改内容概要2011/4/13苏鹏V1初稿.撑照I可信赖的网络安全专冢T与P.撑照I可信赖的网络安全专冢T与P.环境概述错误！未定义书签.面临安全威胁错误！未定义书签针对操作系统漏洞的攻击 错误！未定义书签针对应用的攻击 错误！未定义书签虚拟化带来新的威胁错误！未定义书签统一管理和审计 错误！未定义书签.安全防护需求错误！未定义书签.安全防护方案错误！未定义书签架构设计错误！未定义书签

2、方案部署错误！未定义书签功能模块错误！未定义书签.和传统防护方案的区别 错误！未定义书签.方案价值错误！未定义书签0撑照|可信赖的网络安全专冢.环境概述XXX目前对部分应用系统进行了虚拟化，情况概述如下：4台物理服务器，每台服务器采用 4个6核CPU每一个虚拟服务器采用3核CPU标准配置总共有32台虚拟服务器.面临安全威胁针对操作系统漏洞的攻击海事局目前的虚拟服务器都安装 Windows Server操作系统，众所周知，微 软操作系统每年都会发现大量的漏洞，利用这些漏洞：大量的蠕虫病毒、木马攻击感染，导致系统异常或者是不能正常运行黑客利用漏洞进行攻击，窃取机密资料或者是导致系统异常由于服务器应

3、用系统的重要性，通常来讲对于发现的漏洞都没有进行及时的 修复，补丁的安装都需要经过严格的测试之后才能够进行部署，但是在实际修复的这段时间内，服务器就会面临大量利用漏洞的攻击。针对应用的攻击虚拟服务器操作系统上面构建各种各样的应用及服务，类似 Web服务、邮 件服务、数据库服务以及一些自己构建的应用系统，这些应用系统都是由大量代码构成的，通常这些服务也都有大量的代码级漏洞，这些漏洞由于被黑客或者是商业间谍等破坏分子利用，窃取应用系统上面的机密数据，或者是导致应用不能 正常对外提供服务。虚拟化带来新的威胁当对物理服务器进行虚拟化之后，除了物理服务器所面临的来自恶意程序、黑客攻击之外，虚拟化之后，在

4、部署使用安全软件的时候，会遇到一些新的问题： 硬件资源利用率受到限制当完成服务器虚拟化之后，为了保护虚拟服务器的安全运行，通常都会在每 一个虚拟服务器上面安装安全软件，比如防病毒、防火墙、入侵防护等等，运行 这些安全软件需要占用相同的 CPU内存等硬件资源，对于做虚拟化的物理服务 器来说，其硬件资源的利用率降低，有相当部分的硬件资源要来运行虚拟服务器 的安全软件。后台资源冲突每个虚拟服务器操作系统上面单独安装安全软件，会随着虚拟服务器数量增 加造成对后端存储的负荷越来越大，最终会影响到虚拟服务器的运行速度。物理边界模糊当服务器虚拟化之后，每台物理服务器上面运行了 8个虚拟服务器系统，在 虚拟化

5、环境里面，使用靠可用性功能之后，这8个系统并不是固定的，而是有可 能在几台物理服务器之间进行自动切换。 那么当需要对不同的虚拟服务器进行不 同的安全防护的时候，以往使用的硬件防火墙、入侵防护就不能满足虚拟环境的 要求统一管理和审计服务器的管理不仅仅是基本的安全防护，同时也需要进行受到攻击后的追溯 以及取证，这就需要根据一些法规要求，对系统以及应用的日志进行统一收集，一旦服务器上面的操作触发了事先设定条件，就上传日志，便于事后管理和审计.安全防护需求通过对XXX服务器虚拟环境的了解，以及面临的威胁分析，目前 XXX服 务器虚拟化存在的安全需求有几下几点：1、对虚拟化操作系统提供全面的安全防护：防

6、病毒、防火墙、深度数据包检测等2、检测和拦截外界针对操作系统以及应用程序的漏洞进行的已知和未知攻击3、针对虚拟化的特色，提供无代理安全防护，节省物理服务器硬件资源，提高虚拟服务器的搭载密度4、对Windows服务器进行系统、应用的日志审计.安全防护方案趋势科技根据XXX服务器虚拟化的安全需求，为其使用趋势科技深度防护系统Deep Security进行防护:安全防护需求功能设计趋势科技解决方案针对操作系统漏洞 的攻击1、基本病毒防护功能，拦截利 用漏洞的病毒攻击感染2、深度数据包检测技术，全面 拦截利用系统漏洞的攻击针对应用的攻击1、深度数据包检测技术，拦截 利用应用的攻击趋势科技深度防护系统D

7、eep Security虚拟化带来新的威 胁1、直接构建基于Vmware虚拟 化平台的安全防护（包括防病毒、防火墙、深度数据包检测 技术）务-管理和审计1、对Windows平台的日志进 行收集2、对重要的应用进行日志收 集可信赖的网络安全专家3翦科技架构设计Deep Security解决方案架构包含三个组件: 工Deep Security代理，部署在受保护的服务器或虚拟机上。工Deep Security管理器，提供集中式策略管理、发布安全更新并通过警报和报 告进行监控。工 安全中心，是一种托管门户，专业漏洞研究团队针对新出现的威胁通过该门户开发规则更新，然后由Deep Security管理器定

8、期发布这些更新。PHYSICAL SERVERS安全更新报告*1 Deep Security安全中心Deep Secu rity管理员tfiRTUALiZEOSt iRS CLOUD COMPUTING安全配置文化基础架构事件中心，事件管理活动目录，日志关寐*闸络服务Deep Security代理接收来自Deep Security管理器的安全配置，通常是 安全配置文件。该安全配置包含对服务器强制执行的深度数据包检查、防火墙、 完整性监控及日志审计规则。只需通过执行建议的扫描即可确定对服务器分配哪 些规则，此过程将扫描服务器上已安装的软件并建议需要采用哪些规则保护服务器。对所有规则监控活动都创建

9、事件，随后这些事件将发送到Deep Security管理器之间的所有通信都受到相互验证的SSL所保护。理器，或者同时也发送到SIEM系统。Deep Security代理和Deep Security管Deep Security管理器对安全中心发出轮询，以确定是否存在新的安全更新。存在新的更新时，Deep Security管理器将获取该更新，然后便可通过手动或自动方式将该更新应用于需要其额外保护的服务器。Deep Security管理器和安全中心之间的通信也受到相互验证的SSL所保护。Deep Security管理器还连接到IT基础架构的其他元素，以简化管理。Deep Security管理器可连接

10、到VMware vCenter,也可连接到 Microsoft Active Directory 等目录，以获取服务器配置和分 组信息。Deep Security管理器还拥有 Web服务API,可用于程式化地访问功 能。安全中心对漏洞信息的公共和私有源都进行监控，以保护客户正在使用的操作系统和应用程序。 Deep Security 管理器DeepSecurity 解决方案提供实用且经过验证的控制，可解决棘手的安全问 题。有关操作且具有可行性的安全不仅让您的组织获知安全事件，还可帮助了解安全事件。在许多情况下，这种安全就是提供有关事件发起者、内容、时间和位 置的信息，以便组织可以正确理解事件然后

11、执行相应操作，而不仅仅是告诉组织安全控制本身执行了什么操作。DeepSecurity 管理器软件满足了安全和操作双 重要求，其功能如下：4 集中式的、基于Web的管理系统：通过一种熟悉的、资源管理器风格的 用户界面创建和管理安全策略，并跟踪记录威胁以及为响应威胁而采取 的预防措施。手 详细报告：内容详尽的详细报告记录了未遂的攻击，并提供有关安全配 置和更改的可审计历史记录。手 建议扫描：识别服务器和虚拟机上运行的应用程序，并建议对这些系统 应用哪些过滤器，从而确保提供事半功倍的正确防护。4风险排名：可根据资产价值和漏洞信息查看安全事件。4 基于角色的访问：可使多个管理员（每个管理员具有不同级别

12、的权限） 对系统的不同方面进行操作并根据各自的角色接收相应的信息。手 可自定义的仪表板：使管理员能够浏览和追溯至特定信息，并监控威胁 及采取的预防措施。可创建和保存多个个性化视图。手 预定任务：可预定常规任务（如报告、更新、备份和目录同步）以便自 动完成.僧然I可信赖的网络安全专家修P.僧然I可信赖的网络安全专家修PI Deep Security 代理Deep Security代理是Deep Security解决方案中的一个基于服务器的软件组 件，实现了 IDS/IPS、Web应用程序防护、应用程序控制、防火墙、完整性监控 以及日志审计。它可通过监控出入通信流中是否存在协议偏离、发出攻击信号的

13、内容或违反策略的情况，对服务器或虚拟机实行防御。必要时，Deep Security代 理会通过阻止恶意通信流介入威胁并使之无效。安全中心安全中心是Deep Security解决方案中不可或缺的一部分。它包含一支由安 全专家组成的动态团队，这些专家在发现各种新的漏洞和威胁时便提供及时快速 的响应，从而帮助客户对最新威胁做到防患于未然；同时，安全中心还包含一个用于访问安全更新和信息的客户门户。安全中心专家采用一套由复杂的自动化工 具所支持的严格的六步快速响应流程：4 监控：对超过100个公共、私有和政府数据源进行系统化的持续监控，以 识别新的相关威胁和漏洞，并将其关联起来。安全中心研究人员利用与不

14、同 组织的关系，获取有关漏洞的早期（有时是预发布）信息，从而向客户提供 及时、准确的防护。这些来源包括 Microsoft、Oracle及其他供应商顾问、 SANS、 CERT、 Bugtraq、VulnWatch、 PacketStorm 以及 Securiteam=4 确定优先级：然后根据客户风险评估及服务等级协议确定漏洞的优先级，以 作进一步分析。4 分析：对漏洞执行深入分析，确定需要采取的必要防护措施。4开发和测试：然后开发出可对漏洞实行防护的软件过滤器以及可推荐过滤器 的规则，并进行广泛的测试，以便最大限度地降低误测率，并确保客户能够 快速、顺利地部署这些过滤器和规则。4 交付：将新

15、过滤器作为安全更新交付给客户。当新的安全更新发布时，客户 将通过Deep Security管理器中的警报立即收到通知。然后就可以将这些过 滤器自动或手动应用于相应的服务器。4 通信：通过可提供有关新发现安全漏洞的详细描述的安全顾问，可实现与客 户之间的持续通信。黑熊可信赖的网络安全专家T窗p4.2.方案部署M嘛4Oeep Security Virtual Appliance4.3.功能模块 防病毒安装1个Deep Security控制管理台在4台物理服务器上面分别安装 DSVA （针对VMware Esx的安全虚拟系统）Coordinated Security Approach客户端不显示Ag

16、ent图标以卸载快舞到之前的状息） 咱动保护断口机Deep Security解决方案使您能够部署一个或多个防护模块，提供恰好适度的防护以满足不断变化的业务需求。您可以通过部署全面防护创建自我防御的服务器和虚拟机，也可以从完整性监控模块着手发现可疑行为。 所有模块功能都通过单个 Deep Security代理部署到服务器或虚拟机，该Deep Security代理由Deep Security管理器软件集中管理，并在物理、虚拟和云计算环境之间保持Within the DSVA度敷翦包出防火墙1）对病毒、蠕虫、木马、间谍软件等各种各样的恶意程序进行检测和消除2）基于传统的物理服务器进行有代理的病毒防护

17、3）在虚拟平台上面，实现底层的无代理的病毒防护 深度数据包检查（DPI）引擎实现入侵检测和防御、Web应用程序防护以及应用程序控制该解决方案的高性能深度数据包检查引擎可检查所有出入通信流（包括SSL通信流）中是否存在协议偏离、发出攻击信号的内容以及违反策略的情况。 该引擎可在检测或防御模式下运行，以保护操作系统和企业应用程序的漏洞。它 可保护 Web应用程序，使其免受应用层攻击，包括 SQL注入攻击和跨站点脚 本攻击。详细事件提供了十分有价值的信息， 包括攻击者、攻击时间及意图利用 的漏洞。发生事件时，可通过警报自动通知管理员。DPI用于入侵检测和防御、Web应用程序防护以及应用程序控制。A、

18、虚拟补丁功能在操作系统和企业应用程序安装补丁之前对其漏洞进行防护，以提供及时保护，使其免受已知攻击和零日攻击漏洞规则可保护已知漏洞（如 Microsoft披露的漏洞），使其免受无数次的 漏洞攻击。Deep Security解决方案对超过100种应用程序（包括数据库、Web、 电子邮件和FTP服务器）提供开箱即用的漏洞防护。在数小时内即可提供可对 新发现的漏洞进行防护的规则，无需重新启动系统即可在数分钟内将这些规则应 用到数以千计的服务器上：智能规则通过检测包含恶意代码的异常协议数据，针对攻击未知漏洞的漏洞 攻击行为提供零日防护。漏洞攻击规则可停止已知攻击和恶意软件，类似于传统的防病毒软件，都使

19、 用签名来识别和阻止已知的单个漏洞攻击。由于趋势科技是Microsoft主动保护计划（MAPP）的现任成员，DeepSecurity解决方案可在每月安全公告发布前提前从Microsoft收到漏洞信息。这种提前通知有助于预测新出现的威胁，并通过安全更新为双方客户快速有效地提 供更及时的防护。B、WEB应用程序安全Deep Security解决方案符合有关保护 Web应用程序及其处理数据的 PCI 要求6.6。Web应用程序防护规则可防御 SQL注入攻击、跨站点脚本攻击及其 他Web应用程序漏洞攻击，在代码修复完成之前对这些漏洞提供防护。该解决 方案使用智能规则识别并阻止常见的 Web应用程序攻击

20、。根据客户要求进行的 一项渗透测试，我们发现，部署Deep Security的SaaS数据中心可对其 Web应 用程序和服务器中发现的 99%的高危险性漏洞提供防护。C、应用程序控制应用程序控制规则可针对访问网络的应用程序提供更进一步的可见性控制 能力。这些规则也可用于识别访问网络的恶意软件或减少服务器的漏洞。防火墙减小物理和虚拟服务器的受攻击面Deep Security防火墙软件模块具有企业级、双向性和状态型特点。它可用 于启用正确的服务器运行所必需的端口和协议上的通信，并阻止其他所有端口和协议，降低对服务器进行未授权访问的风险。其功能如下：虚拟机隔离：使虚拟机能够隔离在云计算或多租户虚拟环

21、境中，无需修改虚 拟交换机配置即可提供虚拟分段。细粒度过滤：通过实施有关IP地址、Mac地址、端口及其他内容的防火墙 规则过滤通信流。可为每个网络接口配置不同的策略。覆盖所有基于IP的协议：通过支持全数据包捕获简化了故障排除，并且可 提供宝贵的分析见解，有助于了解增加的防火墙事件-TCP、UDP、ICMP等。侦察检测：检测端口扫描等活动。还可限制非IP通信流，如ARP通信流。 灵活的控制：状态型防火墙较为灵活，可在适当时以一种受控制的方式完全 绕过检查。它可解决任何网络上都会遇到的通信流特征不明确的问题，此问题可能出于正常情况，也可能是攻击的一部分。预定义的防火墙配置文件：对常见企业服务器类型

22、（包括Web、LDAP、DHCP、FTP和数据库）进行分组，确保即使在大型复杂的网络中也可快速、轻 松、一致地部署防火墙策略。可操作的报告：通过详细的日志记录、警报、仪表板和灵活的报告，DeepSecurity防火墙软件模块可捕获和跟踪配置更改（如策略更改内容及更改者）.黑然I可信赖的网络安全专家感P从而提供详细的审计记录。完整性监控监控未授权的、意外的或可疑的更改Deep Security完整性监控软件模块可监控关键的操作系统和应用程序文件（如目录、注册表项和值），以检测可疑行为。其功能如下：按需或预定检测：可预定或按需执行完整性扫描。广泛的文件属性检查：使用开箱即用的完整性规则可对文件和目

23、录针对多方 面的更改进行监控，包括：内容、属性（如所有者、权限和大小）以及日期与时 问戳。还可监控对 Windows注册表键值、访问控制列表以及日志文件进行的添 加、修改或删除操作，并提供警报。此功能适用于PCI DSS 10.5.5要求。可审计的报告：完整性监控模块可显示 Deep Security管理器仪表板中的完 整性事件、生成警报并提供可审计的报告。该模块还可通过 Syslog将事件转发 到安全信息和事件管理（SIEM）系统。安全配置文件分组：可为各组或单个服务器配置完整性监控规则，以简化监 控规则集的部署和管理。基准设置：可创建基准安全配置文件用于比较更改，以便发出警报并确定相 应的

24、操作。灵活实用的监控：完整性监控模块提供了灵活性和控制性，可针对您的独特 环境优化监控活动。这包括在扫描参数中包含/排除文件或通配符文件名以及包含/排除子目录的功能。止匕外，还可根据独特的要求灵活创建自定义规则。日志审计查找日志文件中隐藏的重要安全事件并了解相关信息使用Deep Security日志审计软件模块可收集并分析操作系统和应用程序 日志，以查找安全事件。日志审计规则优化了对多个日志条目中隐藏的重要安全 事件进行识别的能力。这些事件随后会转发到一个SIEM系统或集中式的日志记录服务器，以便进行关联、报告和存档。 Deep Security代理还会将事件信息 转发到Deep Securi

25、ty管理器。日志审计模块的部分优势如下：可疑行为检测：该模块可检测服务器上可能发生的可疑行为。收集您的整个环境中的事件：Deep Security日志审计模块能够收集许多事件 并将其关联起来，这些事件包括： Microsoft Windows、Linux和Solaris平台问 的事件；来自 Web服务器、邮件服务器、SSHD、Samba Microsoft FTP等的 应用程序事件；自定义应用程序日志事件。关联不同事件：收集各种警告、错误和信息事件并将其关联起来，包括系统 消息（如磁盘已满、通信错误、服务事件、关机和系统更新）、应用程序事件（如 帐户登录/注销/故障/锁定、应用程序错误和通信错误）、管理员操作（如管理员 登录/注销/故障/锁定、策略更改和帐