虚拟化系列二：如何保护你个人系统安全

虚拟化时代：如何保护你个人系统安全

    先说一下现状，现在在物理机环境下为保护系统安全，咱们会将它们部署在一个安全的

物理环境，而后配备安全性产品：防火墙、***检测系统和防病毒/反恶意软件等。

     这是以往的场景，伴随着技术的革新，虚拟化服务器和设备已变得愈来愈常见。但有一

个问题是：虽然咱们使用虚拟化技术已经一两年左右甚至更长时间，可是咱们可能仍然为虚

拟化产品使用传统的安全解决方案，那么何为传统安全方式呢？就是在虚拟机中安装物理机

上使用的反病毒/反恶意软件，并且使用一个物理防火墙来管理VM的流量。

     这些传统的方式维护IT基础设施的效率不高，给虚拟机运行形成没必要要的负载。那么有

没有办法使维护变得更有效呢？

答案是：有，并且和微软推出Windows Server 2012 Hyper-V的可扩展的虚拟交换机有关系。

那么什么是 Hyper-V的虚拟交换机呢？这是一种基于软件的第2层网络交换机。内置支持

网络设备接口规范（NDIS）过滤器驱动程序和Windows过滤平台（WFP）标准的驱动程序，

Hyper-V的虚拟交换机使独立软件供应商建立可扩展的插件（被称为虚拟交换机扩展）提供

加强的网络和安全保障能力。

那么如今是否有什么产品支持Windows Server 2012 Hyper-V的可扩展的虚拟交换机呢？

答案是：5NINE

 5NINE是支持Hyper-V的可扩展的vSwitch的第一家公司之一（其余还有cisco等企业产品）。

目前，5NINE有三个版本的产品：

序号	项目	版本	功能	备注
1	5NINE	专业版	无代理反病毒和反恶意软件的多个主机和虚拟机，集中式管理控制台，适用于Windows Server 2012 Hyper-V的堆栈管理和本地GUI
2		标准版	实时无代理监控网络流量过滤跨多个主机和虚拟机代理的反病毒和反恶意软件，简体防毒防火墙，集中式管理控制台
3		数据中心版	实时无代理监控和跨多个主机和虚拟机代理的反病毒和反恶意软件，进行全面的内核模式Virtuall防火墙的网络流量过滤与MAC地址过滤/的ARP规则/状态数据包检查/网络流量分析/ VM的带宽限制入站出站，***检测系统，集中式管理控制台

 

 1、实施
环境安装的是数据中心版，拥有全部功能。

1.1 配置安装环境

安装SQL数据库

SQL server 2008 R2 或者SQL server 2012，固然安装2008R2的时候会提示兼容性问题，可是放心这是能够安装的，就像当初在2008系统上安装SQL 2005同样的状况。

安装.net3.5

Import-Module ServerManager dism.exe /online /enable-feature /all /featurename:NetFX3 /Source:D:\sources\sxs

 

 运行core-preinstall.bat

内容为：

DISM.exe /online /enable-feature /featurename:ServerCore-WOW64  DISM.exe /online /enable-feature /featurename:NetFx2-ServerCore  DISM.exe /online /enable-feature /featurename:NetFx3-ServerCore  DISM.exe /online /enable-feature /featurename:NetFx2-ServerCore-WOW64  DISM.exe /online /enable-feature /featurename:NetFx3-ServerCore-WOW64  DISM.exe /online /enable-feature /featurename:MicrosoftWindowsPowerShell  DISM.exe /online /enable-feature /featurename:MicrosoftWindowsPowerShell-WOW64

 

在每一台hyper-v主机上运行 setup.exe 和 ‘EnableLog.bat’。

 

安装过程须要导入license，这个上官网申请就能够。

安装完成以后，会有选择导入hyper-v主机的界面，固然你也能够以后导入。

导入主机有多种方式：

AD 域发现/IP地址发现/hyper-v主机协议发现

 

若是成功导入hyper-v主机，将会显示以下信息：

 

这边讲解5NINE提供这2个功能（防病毒/防火墙）

关于防病毒

 

1.选择须要启用反病毒防御的VM

2.选择须要进行扫描的文件后缀名，能够添加、删除、编辑

3.高级特性

 

ok，启用的VM反病毒功能，这边还要开启VM防病毒服务

 

 

关于防火墙

若是使用默认规则，效果以下：拒绝全部流量

咱们能够定制规则

三种规则：

ARP RULE 定义针对ARP的访问

IP RULE   定义针对IP的源端口，目的端口，协议的访问

Broadcast RULE 定义广播规则

这边说说定义 rule

 

介绍一下选项

序号	项目	选项
1	action	allow
2		block

 

序号	项目	选项
1	protocol	ANY
2		ICMP
3		IGMP
4		TCP
5		UDP
6		GRE
7		ICMPV6

 

序号	项目	选项
1	TYPE	any
2		inbound
3		outbound

 

咱们要容许两台VM可以相互ping对方

配置前：

 

 

配置：

 

 

完成后

 

查看VM统计信息：

 

到这边就完成了配置，全部的虚拟机都使用统一的安全防御。仍是颇有价值的。