虛擬化系列二：如何保護你個人系統安全

虛擬化時代：如何保護你個人系統安全

    先說一下現狀，現在在物理機環境下爲保護系統安全，咱們會將它們部署在一個安全的

物理環境，而後配備安全性產品：防火牆、***檢測系統和防病毒/反惡意軟件等。

     這是以往的場景，伴隨着技術的革新，虛擬化服務器和設備已變得愈來愈常見。但有一

個問題是：雖然咱們使用虛擬化技術已經一兩年左右甚至更長時間，可是咱們可能仍然爲虛

擬化產品使用傳統的安全解決方案，那麼何爲傳統安全方式呢？就是在虛擬機中安裝物理機

上使用的反病毒/反惡意軟件，並且使用一個物理防火牆來管理VM的流量。

     這些傳統的方式維護IT基礎設施的效率不高，給虛擬機運行形成沒必要要的負載。那麼有

沒有辦法使維護變得更有效呢？

答案是：有，並且和微軟推出Windows Server 2012 Hyper-V的可擴展的虛擬交換機有關係。

那麼什麼是 Hyper-V的虛擬交換機呢？這是一種基於軟件的第2層網絡交換機。內置支持

網絡設備接口規範（NDIS）過濾器驅動程序和Windows過濾平臺（WFP）標準的驅動程序，

Hyper-V的虛擬交換機使獨立軟件供應商建立可擴展的插件（被稱爲虛擬交換機擴展）提供

加強的網絡和安全保障能力。

那麼如今是否有什麼產品支持Windows Server 2012 Hyper-V的可擴展的虛擬交換機呢？

答案是：5NINE

 5NINE是支持Hyper-V的可擴展的vSwitch的第一家公司之一（其餘還有cisco等企業產品）。

目前，5NINE有三個版本的產品：

序號	項目	版本	功能	備註
1	5NINE	專業版	無代理反病毒和反惡意軟件的多個主機和虛擬機，集中式管理控制檯，適用於Windows Server 2012 Hyper-V的堆棧管理和本地GUI
2		標準版	實時無代理監控網絡流量過濾跨多個主機和虛擬機代理的反病毒和反惡意軟件，簡體防毒防火牆，集中式管理控制檯
3		數據中心版	實時無代理監控和跨多個主機和虛擬機代理的反病毒和反惡意軟件，進行全面的內核模式Virtuall防火牆的網絡流量過濾與MAC地址過濾/的ARP規則/狀態數據包檢查/網絡流量分析/ VM的帶寬限制入站出站，***檢測系統，集中式管理控制檯

 

 1、實施
環境安裝的是數據中心版，擁有全部功能。

1.1 配置安裝環境

安裝SQL數據庫

SQL server 2008 R2 或者SQL server 2012，固然安裝2008R2的時候會提示兼容性問題，可是放心這是能夠安裝的，就像當初在2008系統上安裝SQL 2005同樣的狀況。

安裝.net3.5

Import-Module ServerManager dism.exe /online /enable-feature /all /featurename:NetFX3 /Source:D:\sources\sxs

 

 運行core-preinstall.bat

內容爲：

DISM.exe /online /enable-feature /featurename:ServerCore-WOW64  DISM.exe /online /enable-feature /featurename:NetFx2-ServerCore  DISM.exe /online /enable-feature /featurename:NetFx3-ServerCore  DISM.exe /online /enable-feature /featurename:NetFx2-ServerCore-WOW64  DISM.exe /online /enable-feature /featurename:NetFx3-ServerCore-WOW64  DISM.exe /online /enable-feature /featurename:MicrosoftWindowsPowerShell  DISM.exe /online /enable-feature /featurename:MicrosoftWindowsPowerShell-WOW64

 

在每一臺hyper-v主機上運行 setup.exe 和 ‘EnableLog.bat’。

 

安裝過程須要導入license，這個上官網申請就能夠。

安裝完成以後，會有選擇導入hyper-v主機的界面，固然你也能夠以後導入。

導入主機有多種方式：

AD 域發現/IP地址發現/hyper-v主機協議發現

 

若是成功導入hyper-v主機，將會顯示以下信息：

 

這邊講解5NINE提供這2個功能（防病毒/防火牆）

關於防病毒

 

1.選擇須要啓用反病毒防禦的VM

2.選擇須要進行掃描的文件後綴名，能夠添加、刪除、編輯

3.高級特性

 

ok，啓用的VM反病毒功能，這邊還要開啓VM防病毒服務

 

 

關於防火牆

若是使用默認規則，效果以下：拒絕全部流量

咱們能夠定製規則

三種規則：

ARP RULE 定義針對ARP的訪問

IP RULE   定義針對IP的源端口，目的端口，協議的訪問

Broadcast RULE 定義廣播規則

這邊說說定義 rule

 

介紹一下選項

序號	項目	選項
1	action	allow
2		block

 

序號	項目	選項
1	protocol	ANY
2		ICMP
3		IGMP
4		TCP
5		UDP
6		GRE
7		ICMPV6

 

序號	項目	選項
1	TYPE	any
2		inbound
3		outbound

 

咱們要容許兩臺VM可以相互ping對方

配置前：

 

 

配置：

 

 

完成後

 

查看VM統計信息：

 

到這邊就完成了配置，全部的虛擬機都使用統一的安全防禦。仍是頗有價值的。