企業(yè)利用服務(wù)器虛擬化技術(shù)，結(jié)合自身情況對服務(wù)器資源重新優(yōu)化配置，可以充分利用服務(wù)器資源，并有效控制隨服務(wù)器數(shù)量快速增長帶來的其他一系列問題。但是，當(dāng)把這一技術(shù)付諸于實(shí)踐之后，一些用戶會發(fā)現(xiàn)，由于缺少專門針對虛擬化防毒和消除威脅的配套方案，這會直接影響虛擬化在企業(yè)內(nèi)部的推進(jìn)步伐。

為了應(yīng)對服務(wù)器在虛擬化環(huán)境中不斷涌現(xiàn)的安全挑戰(zhàn)，深圳電網(wǎng)公司(以下簡稱：深圳電網(wǎng))攜手全球服務(wù)器安全、虛擬化及云計(jì)算安全領(lǐng)導(dǎo)廠商——趨勢科技，通過趨勢科技服務(wù)器深度安全防護(hù)系統(tǒng)(Deep Security)的“無代理”防毒技術(shù)的部署，真正發(fā)揮了VMware ESXi平臺虛擬化性能與成本優(yōu)勢。在全面降低資源占用的基礎(chǔ)上，低能耗、安全穩(wěn)定的虛擬化平臺為深圳電網(wǎng)把國家綠色減排的號召轉(zhuǎn)變?yōu)樽罴褜?shí)踐。

“脫離安全控制”傳統(tǒng)防毒與虛擬化環(huán)境不兼容

深圳電網(wǎng)最高供電負(fù)荷(1367.5萬千瓦)位居全國第四、南方電網(wǎng)第一，同時(shí)也是全國供電負(fù)荷密度最大、供電可靠性領(lǐng)先的特大型城市電網(wǎng)。2012年，建成110千伏及以上變電容量346.2萬千伏安、線路長度145.4千米。然而，業(yè)務(wù)的全面增長，也為IT管理帶來了的全新的挑戰(zhàn)。無限的應(yīng)用擴(kuò)展，已經(jīng)在能耗、機(jī)房空間為深圳電網(wǎng)公司帶來巨大的壓力，而虛擬化的出現(xiàn)，為深圳電網(wǎng)帶來了新的選擇。在國家綠色I(xiàn)T的指引下，深圳電網(wǎng)率先在公司內(nèi)部開始推進(jìn)服務(wù)器虛擬化進(jìn)程。

作為全國最大的市級電網(wǎng)企業(yè)，為了確保在虛擬化平臺上運(yùn)行的業(yè)務(wù)系統(tǒng)、數(shù)據(jù)安全，深圳電網(wǎng)非常謹(jǐn)慎地對虛擬化平臺上的各種安全解決方案進(jìn)行測試、調(diào)研，并在虛擬化平臺的小范圍業(yè)務(wù)系統(tǒng)中進(jìn)行試用。意想不到的是，在此次試用中，發(fā)現(xiàn)傳統(tǒng)防病毒軟件與虛擬化平臺有著嚴(yán)重的兼容性問題。尤其是在虛擬系統(tǒng)上安裝了傳統(tǒng)防毒軟件之后，但由于它們并不是專為虛擬化環(huán)境設(shè)計(jì)的，所以在運(yùn)行全盤掃描時(shí)，會對虛擬化平臺的硬件資源帶來巨大的壓力，輕者影響業(yè)務(wù)的正常運(yùn)行，重者則會導(dǎo)致虛擬化環(huán)境崩潰。

深圳電網(wǎng)的黃工表示：“使用虛擬化技術(shù)，能夠?qū)⒍鄠€硬件資源整合成一個虛擬的統(tǒng)一資源池，供各個虛擬業(yè)務(wù)系統(tǒng)靈活調(diào)度，大大降低了業(yè)務(wù)系統(tǒng)膨脹帶來的能耗、機(jī)房空間占用問題。但同時(shí)，由于在虛擬機(jī)上部署了傳統(tǒng)的防病毒軟件，不但降低了虛擬化技術(shù)在我公司的應(yīng)用效率，還讓虛擬機(jī)的安全管理脫離了我們原有的控制框架。”

那么，黃工所談到的“脫離安全控制”主要是指什么呢?具他介紹：首先，在虛擬環(huán)境中，網(wǎng)絡(luò)邊界不再涇渭分明，傳統(tǒng)安全設(shè)備(如入侵檢測系統(tǒng)、入侵防御系統(tǒng)、防火墻等)無法監(jiān)測到虛擬層的通信流，在虛擬層內(nèi)部產(chǎn)生了安全“盲點(diǎn)”。其次，深圳電網(wǎng)使用虛擬化特有的動態(tài)資源分配技術(shù)(DRS)，一旦vCenter發(fā)現(xiàn)某個主機(jī)資源不足以運(yùn)行多臺虛擬服務(wù)器時(shí)，能夠動態(tài)把虛擬服務(wù)器遷移到其他主機(jī)上，保障業(yè)務(wù)不間斷運(yùn)行。這種虛擬機(jī)在主機(jī)間動態(tài)漂移的技術(shù)，雖然能夠保障業(yè)務(wù)不間斷運(yùn)行，但同時(shí)管理員也沒法掌握遷移到虛擬化平臺的虛擬機(jī)是否具備最新組件的防護(hù)，為整個虛擬化平臺的安全監(jiān)控帶來監(jiān)控難度。很顯然，面對以上在虛擬化推進(jìn)工作中存在不利因素，傳統(tǒng)的安全產(chǎn)品已經(jīng)不能再適用深圳電網(wǎng)的需求。

無代理+虛擬層安全網(wǎng)關(guān) “三大優(yōu)勢”得以驗(yàn)證

為了確保公司的業(yè)務(wù)連續(xù)性，避免病毒對數(shù)據(jù)、應(yīng)用和網(wǎng)絡(luò)帶來威脅，深圳電網(wǎng)協(xié)同多位外聘安全專家、VMWare原廠工程師對傳統(tǒng)防病毒軟件的問題進(jìn)行分析。專家皆都認(rèn)為在虛擬化平臺上，必須使用專為虛擬化環(huán)境設(shè)計(jì)的安全軟件，才能解決上述遇到的一系列問題。在后續(xù)通過VMWare官方網(wǎng)站的驗(yàn)證和第三方評測機(jī)構(gòu)的推薦，深圳電網(wǎng)將目光聚焦在趨勢科技的服務(wù)器深度安全防護(hù)系統(tǒng)上來。趨勢科技Deep Security是第一款能夠在VMWare ESXi平臺下提供無代理防護(hù)方案的產(chǎn)品，它能把安全防護(hù)組件以虛擬層安全網(wǎng)關(guān)的方式部署在ESXi上，有效地解決了用戶之前遇到的各種問題。

【趨勢科技Deep Security有效解決了“防毒掃描風(fēng)暴”等一系列虛擬化環(huán)境的安全問題】

為了驗(yàn)證趨勢科技Deep Security的技術(shù)可行性，深圳電網(wǎng)邀請趨勢科技參與了虛擬化平臺安全防護(hù)方案的測試。經(jīng)過深入細(xì)致的測試，深圳電網(wǎng)的IT部門對趨勢科技Deep Security給出了極高的評價(jià)，并對無代理功能的優(yōu)點(diǎn)進(jìn)行了總結(jié)，其中包括以下三個方面：

第一，通過Deep Security的虛擬安全網(wǎng)關(guān)，能夠在ESX底層即可對虛擬化環(huán)境的病毒進(jìn)行查殺，解決了傳統(tǒng)方案不能監(jiān)測虛擬交換機(jī)內(nèi)部風(fēng)險(xiǎn)的致命問題，并且查殺的效果更優(yōu)于傳統(tǒng)的客戶端方式;

第三，通過Deep Security的無代理虛擬補(bǔ)丁技術(shù)，能夠在ESX底層即可實(shí)現(xiàn)對所有虛擬機(jī)的補(bǔ)丁防護(hù)，并且通過非侵入式的部署方法，保障業(yè)務(wù)運(yùn)行的不間斷性;

第二，通過Deep Security的無代理殺毒技術(shù)，有效解決了ESX環(huán)境下定時(shí)全盤殺毒的資源風(fēng)暴問題，這完全符合了第三方機(jī)構(gòu)(Tolly)發(fā)布的測試結(jié)果。實(shí)際的測試結(jié)果是：采用趨勢的Deep Security進(jìn)行殺毒時(shí)所占資源，盡是傳統(tǒng)方案的10%(隨著虛擬機(jī)數(shù)量的增加，效果更加明顯)。

虛擬機(jī)密度提高2倍 綠色I(xiàn)T不再是夢

目前，深圳電網(wǎng)還處在虛擬化建設(shè)的嘗試階段，一旦突破技術(shù)和管理上的難關(guān)，虛擬服務(wù)器數(shù)量將會呈爆炸式增長趨勢，更多的業(yè)務(wù)、更多的應(yīng)用將直接匯聚于數(shù)據(jù)中心中。因此，安全與性能的平衡，是當(dāng)前深圳電網(wǎng)最為關(guān)注的要點(diǎn)。深圳電網(wǎng)在充分驗(yàn)證了趨勢科技Deep Security的先進(jìn)技術(shù)后，最終確定在現(xiàn)有虛擬化平臺上全面部署了Deep Security無代理防護(hù)解決方案。

深圳電網(wǎng)的黃工表示：“當(dāng)解決了安全系統(tǒng)對虛擬化平臺帶來的性能問題后，我們可以更加放心地把更多的業(yè)務(wù)系統(tǒng)遷移到虛擬化平臺上。相對于原有的傳統(tǒng)防病毒方案，采用趨勢科技的Deep Security可以把虛擬化密度提高2倍以上，使我們能夠更好地整合硬件資源，不再擔(dān)心機(jī)房因?yàn)闃I(yè)務(wù)膨脹而無限擴(kuò)張，極為符合國家對電網(wǎng)公司的綠色I(xiàn)T要求。”