Антивирус на виртуальной машине

Файловый Антивирус. Защита виртуальных машин

Под SVM в этом разделе понимается SVM с установленным компонентом Файловый Антивирус.

SVM с установленным компонентом Файловый Антивирус обеспечивает защиту виртуальных машин на гипервизоре VMware ESXi. Kaspersky Security начинает защищать виртуальные машины только после того, как вы настроили параметры работы программы с помощью политики. Kaspersky Security защищает виртуальные машины с теми параметрами, которые указаны в назначенных им профилях защиты.

Если на SVM программа не активирована или отсутствуют антивирусные базы, Kaspersky Security не защищает виртуальные машины.

Kaspersky Security защищает виртуальные машины, которые соответствуют следующим требованиям:

Kaspersky Security может проверять выключенные виртуальные машины при выполнении задач проверки.

Если хотя бы одно из перечисленных условий не выполняется, Kaspersky Security не защищает виртуальную машину.

Когда пользователь или программа обращается к файлу виртуальной машины, Kaspersky Security проверяет этот файл.

После этого Kaspersky Security выполняет над файлом то действие, которое указано в профиле защиты этой виртуальной машины, например, лечит или блокирует файл.

Если на виртуальной машине установлена программа, выполняющая сбор и отправку информации на обработку, Kaspersky Security может классифицировать такую программу как вредоносную. Чтобы избежать этого, вы можете исключить программу из защиты. Список исключений настраивается в параметрах профилей защиты.

Во время защиты виртуальных машин используются сигнатурный и эвристический анализ. При сигнатурном анализе используются базы Kaspersky Security, содержащие информацию об известных угрозах и о методах их устранения. Защита с использованием сигнатурного анализа обеспечивает минимально допустимый уровень безопасности. В соответствии с рекомендациями специалистов «Лаборатории Касперского» этот метод анализа всегда включен.

Эвристический анализ – это технология обнаружения угроз, которые невозможно определить с помощью баз программ «Лаборатории Касперского». Эвристический анализ позволяет находить файлы, которые, возможно, содержат вредоносную программу, не указанную в базах, или новую модификацию известного вируса. Файлам, в которых во время эвристического анализа обнаружена угроза, присваивается статус Зараженный.

Уровень эвристического анализа зависит от выбранного уровня безопасности:

Информация обо всех событиях, произошедших во время защиты виртуальных машин, записывается в отчет.

Рекомендуется периодически просматривать список файлов, заблокированных в результате защиты виртуальных машин, и выполнять действия с этими файлами. Например, вы можете сохранить копии файлов в недоступном для пользователя виртуальной машины месте и удалить файлы. Информацию о заблокированных файлах вы можете просмотреть в отчете о вирусах или в выборке событий по событию Файл заблокирован (см. в документации Kaspersky Security Center).

Чтобы получить доступ к файлам, заблокированным в результате защиты виртуальных машин, требуется временно выключить защиту этих виртуальных машин.

Источник

Kaspersky Security для виртуальных сред | Защита без агента

Решение Kaspersky Security для виртуальных сред | Защита без агента создано специально для защиты программно-определяемых центров обработки данных на базе платформы VMware vSphere с поддержкой технологии NSX. Решение позволяет сохранить высокий уровень консолидации ВМ и обеспечивает надежную защиту без влияния на производительность системы.

Создано специально для защиты VMware

Полная интеграция с VMware NSX

Решение Kaspersky Security для виртуальных сред | Защита без агента полностью интегрировано с платформами VMware vSphere и NSX. Согласованная работа уровней инфраструктуры и безопасности расширяют возможности защиты для программно-определяемых центров обработки данных (ЦОД). Антивирусная проверка, сигнатурный и эвристический анализ, а также защита от сетевых атак выполняются на виртуальных устройствах безопасности (SVM) и становятся доступны в момент включения виртуальной машины.

Автоматизация развертывания для VMware NSX

Тесная интеграция с VMware NSX позволяет полностью автоматизировать процесс развертывания устройств защиты (виртуальных устройств безопасности или средств обнаружения сетевых атак). Эти автоматические средства запускаются на гипервизоре в соответствии с политиками безопасности каждой виртуальной машины.

Интеграция с политиками безопасности

Тесная интеграция с VMware NSX означает, что защита каждой виртуальной машины обеспечивается в точном соответствии с корпоративными политиками безопасности.

В условиях динамично меняющегося IT-ландшафта важно обеспечить, чтобы ваша политика безопасности была привязана к определенной функции виртуальной машины, а не к точному местоположению, чтобы отдельные возможности безопасности передавались с каждой виртуальной машиной от хоста к хосту. Платформа VMware NSX и ее политики безопасности обеспечивают эту функцию, объединяя все параметры безопасности (сеть, AV и т.д.) в одну политику. Мы дополнительно повышаем эффективность управления безопасностью платформы VMware NSX, внедряя политики защиты от вредоносных программ и сетевых атак, доступные в нашем решении без агента.

Эта функция полностью поддерживает создание и масштабирование хорошо сбалансированных программно-определяемых ЦОД.

Интеграция с тегами безопасности

Kaspersky Security для виртуальных сред | Защита без агента и платформа VMware NSX теперь обмениваются тегами безопасности, которые могут изменяться по специальным правилам (например, при обнаружении вредоносного ПО в виртуальной машине). Постоянное взаимодействие между инфраструктурой и средствами защиты означает, что ЦОД может в режиме реального времени реагировать на любой инцидент безопасности, а при необходимости – автоматически запустить изменение конфигурации всей виртуальной инфраструктуры.

Автоматизированная защита и мониторинг

Полная проверка инфраструктуры, в том числе выключенных ВМ

Традиционные решения не проводят проверку на наличие вредоносного ПО без установки агента на виртуальную машину, если она выключена. В Kaspersky Security для виртуальных сред появился расширенный набор функций. С его помощью можно проверять виртуальные машины под управлением Windows или Linux с файловыми системами NTFS, FAT32, EXT2, EXT3, EXT4, XFS и BTRFS – как в активном, так и в неактивном состоянии. Сюда входят шаблоны ВМ, используемые для клонирования ВМ по требованию. В результате проверка по требованию становится эффективнее и лучше, а вся инфраструктура — безопаснее.

Расширенный мониторинг на базе SNMP

Kaspersky Security для виртуальных сред может быть установлен с SNMP-агентом, который осуществляет мониторинг и передает подробную информацию о статусе SVM сторонним инструментам мониторинга, таким как Zabbix и Nagios. Счетчики SNMP учитывают как общие (CPU, RAM и т.д.), так и специфические параметры SVM.

Плановые проверки в удобное время

Стандартная проверка всех виртуальных машин может выполняться в соответствии с заранее настроенным расписанием. При этом решение Kaspersky Security для виртуальных сред Защита без агента исключает одновременную проверку большого количества машин, чтобы не перегружать системы.

Полная поддержка VMware vMotion

Благодаря всесторонней поддержке VMware vMotion решение Kaspersky Security для виртуальных сред | Защита без агента обеспечивает бесперебойную защиту при переносе рабочих процессов с одного хоста ESXi на другой. Если на новом хосте имеются все необходимые лицензии, то защита при переносе виртуальной машины не прерывается, а все параметры и политики безопасности сохраняются.

Полная интеграция с сервером VMware vCenter

Решение Kaspersky Security для виртуальных сред | Защита без агента получает от сервера VMware vCenter информацию о виртуальных машинах, в том числе список всех машин и всех параметров. Столь тесная интеграция с сервером vCenter не только обеспечивает прозрачность инфраструктуры для IT-администраторов, но также гарантирует надежную защиту для каждой новой виртуальной машины.

Облачная защита от новейших угроз, включая угрозы нулевого дня

Облачная сеть Kaspersky Security Network (KSN) выявляет новые угрозы и предоставляет автоматические обновления для ваших IT-систем. А поскольку порой на обнаружение требуется всего 0,02 секунды, вам будет доступна и защита от угроз нулевого дня.

Идеальный баланс безопасности и производительности

Снижение нагрузки на системы для повышения консолидации и производительности

Kaspersky Security для виртуальных сред | Защита без агента обеспечивает эффективную защиту виртуальных серверов при минимальном влиянии на производительность гипервизора. Таким образом, вы защищаете серверы и хранящиеся на них конфиденциальные данные, сохраняя все преимущества виртуализации.

Избавление от таких ресурсоемких задач, как антивирусные проверки и хранение антивирусных баз, позволяет значительно снизить нагрузку на каждый хост, включая подсистему ввода-вывода гипервизора, процессор, память и хранилище.

[НОВОЕ] Обнаружение сетевых угроз

Компонент Защита от сетевых атак, разработанный «Лабораторией Касперского», контролирует трафик, выявляя признаки активности, характерной для сетевых атак. В случае обнаружения такой активности атакующий компьютер блокируется. Решение также обнаруживает подозрительную активность, которая может быть связана с вторжением в инфраструктуру. Можно настроить правила проверки и блокирования отдельных IP-адресов, а также выбрать способ обработки трафика для блокирования обнаруженных угроз. Kaspersky Security для виртуальных сред | Защита без агента предоставляет функции защиты сети с поддержкой VMware vCloud Networking and Security или VMware NSX.

Поддержка сложных инфраструктур

Для всех кластеров Kaspersky Security Center (KSC) могут быть заданы гибкие политики для обеспечения защиты всех ВМ в составе инфраструктуры каждого кластера KSC, то есть всех ВМ, управляемых всеми серверами VMware vCenter.

Отсутствие «шквальных» обновлений и проверок

Поскольку защиту всех ВМ на хосте обеспечивает лишь одно устройство безопасности, решение Kaspersky Security для виртуальных сред | Защита без агента позволяет избежать «шквальных» обновлений защитного ПО и антивирусных проверок.

Автоматическое отслеживание проверенных файлов

Kaspersky Security для виртуальных сред | Защита без агента автоматически проверяет файлы на ВМ при доступе, чтобы убедиться в их безопасности, а затем сохраняет вердикты в общем кэше (Shared Cache). Когда к тому же файлу обращаются на другой виртуальной машине того же виртуального хоста, решение знает, что новое сканирование не требуется. Файл будет повторно проверен, только если он был изменен, или если пользователь запустил проверку вручную. Это позволяет экономить ресурсы, особенно в средах виртуальных рабочих столов (VDI), где многие виртуальные машины используют идентичные наборы файлов ОС и приложений.

Технология Shared Cache помогает повысить производительность и снизить нагрузку на вашу IT-инфраструктуру, чтобы вы могли использовать освободившиеся ресурсы для выполнения других задач без ущерба для уровня безопасности.

Высокая надежность и эффективное управление

Единая консоль управления для виртуальных, физических и мобильных устройств

Приложение Kaspersky Security Center, входящее в состав Kaspersky Security для виртуальных сред | Защита без агента, представляет собой единую консоль управления широким спектром защитных технологий «Лаборатории Касперского». Вы можете управлять защитой виртуальных, физических и мобильных устройств, а также применять единые политики безопасности во всей IT-инфраструктуре из одной консоли.

Развертывание решения без простоя систем

В процессе развертывания решения администраторам не нужно перезагружать машины или переводить хост-сервер в режим обслуживания. Это позволяет не прерывать работу пользователей, что особенно важно для центров обработки данных, которые должны гарантировать работоспособность на уровне 99,999% и выше.

Повышенная прозрачность, удобное управление и подробные отчеты

Kaspersky Security для виртуальных сред | Защита без агента управляется с помощью той же консоли Kaspersky Security Center, которая управляет защитой конечных устройств. Kaspersky Security Center генерирует подробные отчеты, из которых администраторы узнают все необходимое о событиях и выполненных задачах. С помощью единой консоли вы сможете управлять широким спектром приложений безопасности, создавая отчеты для всех виртуальных, физических и мобильных устройств, которые работают под защитой технологий «Лаборатории Касперского».

Выбор варианта лицензирования

Kaspersky Security для виртуальных сред | Защита без агента лицензируется по числу виртуальных серверов или по числу ядер процессора, чтобы каждый клиент мог выбрать наиболее подходящий для своей инфраструктуры вариант. В крупных центрах обработки данных и у поставщиков инфраструктуры как услуги (IaaS) число виртуальных серверов постоянно меняется, и лицензирование по числу ядер может оказаться более выгодным.

Источник

Обзор средств защиты виртуальных сред VMware vSphere

В обзоре рассматриваются программные средства для защиты виртуальных инфраструктур предприятий на базе VMware vSphere. Существующие для этой цели средства защиты разделены на несколько классов: антивирусы, системы предотвращения вторжений (IPS), средства сетевой безопасности, защита от несанкционированного доступа и средства резервного копирования.

Введение

По оценкам компании Veeam, мировой рынок виртуализации продолжает набирать обороты, и к 2015 году может достигнуть 100-155 млрд. долларов. Мировой рост этого рынка будет составлять 20-40% в год, а для России прогноз роста составляет 80% в год. Объём российского рынка виртуализации может составить к 2015 году 0,5 млрд. долларов.

Рисунок 1. «Магический квадрант» для инфраструктуры виртуализации серверов архитектуры x86 (Gartner)

Кроме того, в качестве чёткой тенденции последних лет, можно отметить увеличивающуюся популярность виртуализации десктопов. На начало 2013 года, согласно опросу специалиста Gartner Криса Вульфа (Cris Wolf), среди наиболее желанных производителей средств виртуализации десктопных операционных систем были компании VMware и Citrix с небольшим перевесом в сторону VMware. При этом наблюдался постепенный рост интереса к продуктам Microsoft.

Рисунок 2. Предпочитаемые производители средств виртуализации десктопных ОС

Несмотря на преимущества, которые предлагает виртуализация, она также приводит к возникновению новых специфических типов угроз. К счастью, благодаря растущей популярности использования виртуальных инфраструктур, появляется всё больше средств защиты информации, расположенной в виртуальных средах. С другой стороны, при большом количестве защитных средств, важно чётко понимать возможности каждого из них и, хотя бы, базовые критерии сравнения для того, чтобы обеспечить оптимальную и полноценную защиту информационной системы предприятия.

Согласно отчёту Global Cloud Security Software Market. 2010-2014 компании TechNavio среднегодовой рост мирового рынка защиты облачных сред, куда входят частные (виртуальные среды) и публичные облака, в настоящее время составляет 41,4% и достигнет к 2014 году объёма 963,4 миллиона долларов. С 2010 по 2014 год доля мирового рынка защиты облачных сред в общем рынке программных защитных средств вырастет с 2 до 4%. В числе ключевых драйверов роста рынка защиты облачных сред называются:

В статье мы остановимся на программных продуктах, призванных защищать виртуальные инфраструктуры предприятий на базе VMware vSphere. Связано это с тем, что данная платформа на настоящий момент наиболее популярна и наиболее подготовлена для интеграции со сторонними защитными программными продуктами. В частности, VMware vSphere обладает открытым для сторонних производителей API к технологии vShield Endpoint, позволяющим организовать безагентную антивирусную защиту на уровне гипервизора ESXi.

Компания Microsoft в настоящее разрабатывает аналог технологии vShield для своей платформы Hyper-V, и появление этой технологии может существенно повлиять как на рынок виртуализации, так и на рынок информационной безопасности виртуальных сред.

Защитные программные продукты для виртуальных сред

Каждой из известных типов угроз, возникающих при использовании виртуальных сред, можно противопоставить средства защиты. Ассортимент защитных программных продуктов достаточно обширен, но составить их чёткую классификацию на данный момент сложно – любая классификация будет достаточно условной. Часть антивирусных продуктов содержат в себе функциональность систем защиты от вторжений. Системы защиты от вторжений содержат в себе средства мониторинга за действиями пользователей, а также иногда и антивирусную составляющую. Тем не менее, мы сделали попытку рассмотреть наиболее популярные продукты для защиты виртуальных инфраструктур предприятий на базе VMware vSphere, взглянуть на рынок этих продуктов в целом.

В данной обзорной статье мы рассмотрим наиболее заметные на рынке программные продукты для защиты виртуальных инфраструктур следующих классов:

Для удобства их сравнения расположим их в виде общей таблицы (см. таблицу 1).

Следует отметить, что только платформы VMware vSphere 5.5 позволяет защищать виртуальные машины с установленной Windows 8/2012 Server посредством технологии vShield Endpoint.

Таблица 1. Программные продукты для защиты виртуальных сред на базе VMware vSphere.

* Версия Kaspersky Security для виртуальных сред с поддержкой VMware vSphere 5.5 находится в разработке и будет доступна в ближайшее время.

** В настоящее время vShield 5.5 поддерживается через API версии 5.1. Нативная поддержка vShield 5.5, по сообщению от разработчиков, готовится к выпуску в ближайшее время.

*** Версия vGate, поддерживающая платформу VMware vSphere 5.5, находится на сертификации.

Далее рассмотрим основные преимущества каждого из отобранных нами продуктов.

Антивирусные продукты с интеграцией с vShield Endpoint

Общее преимущество всех продуктов данной категории заключается в использовании безагентной технологии vShield Endpoint, позволяющей сэкономить аппаратные ресурсы на гипервизорах.

Продукты, входящие в данную категорию, разработаны специально для защиты виртуальных машин, работающих на гипервизорах под управлением операционной системы ESXi. При помощи интеграции с vShield Endpoint антивирусная защита организуется на уровне гипервизора, без необходимости установки на каждой защищаемой виртуальной машине полноценного антивирусного агента. Десятки виртуальных машин защищаются ценой аппаратных ресурсов, необходимых для запуска виртуальной машины VMware vShield Manager и специальной виртуальной машины, разрабатываемой производителем специализированного антивируса. На защищаемых виртуальных машинах устанавливается лишь тонкий клиент VMware vShield Endpoint Thin Agent, необходимый для интеграции с интерфейсом vShield.

BitDefender GravityZone

Основные преимущества:

Kaspersky Security для виртуальных сред

Основные преимущества:

McAfee MOVE AntiVirus

Основные преимущества:

Sophos Antivirus for vShield

Основные преимущества:

Trend Micro Deep Security

Основные преимущества:

Антивирусные продукты без интеграции с vShield Endpoint

Производители этой категории антивирусов, несмотря на то, что не обеспечили интеграцию с технологией VMware vShield Endpoint, предлагают некоторые средства оптимизации антивирусной защиты объектов, расположенных в виртуальной среде.

Подчеркнём особо, что данные продукты серьёзно проигрывают по возможностям антивирусным продуктам, использующим интеграцию с технологией vShield, т.е. используемые оптимизации дают лишь незначительный прирост в производительности, что может серьёзно сказаться на неэффективном использовании аппаратных ресурсов гипервизоров при их использовании. При возможности необходимо использовать антивирусы из первой группы.

ESET Secure Enterprise

Разработчики ESET Secure Enterprise в документе под названием ESET Virtual Environment Optimization Guide предлагают оптимизировать защиту следующим образом:

Symantec Endpoint Protection

Разработчики Symantec Endpoint Protection в настоящее время разрабатывают антивирус, работающий через vShield Endpoint, при этом в текущей версии реализованы следующие методы оптимизации работы антивируса в условиях виртуальных сред:

Как видим, в целом предлагаемые в данных продуктах оптимизации и рекомендации по использованию для защиты виртуальных сред решают проблему оптимизации нагрузки на гипервизор лишь частично – средний уровень нагрузки на аппаратную часть от работы антивируса в этом случае значительно выше, чем в продуктах, работающих на уровне гипервизора (при использовании технологии vShield).

Системы предотвращения вторжений

К данной категории продуктов был отнесёт продукт компании IBM, позволяющий ограничивать доступ к объектам виртуальной инфраструктуры предприятия, сохранять их целостность, осуществлять мониторинг действий привилегированных пользователей и т.д.

IBM Security Virtual Server Protection for VMware

Основные преимущества:

Сетевая безопасность виртуальных сред

К этой категории отнесены продукты, обеспечивающие анализ и защиту сетевого трафика, проходящего между различными компонентами виртуальных сред.

Checkpoint Security Gateway Virtual Edition

Основные преимущества:

Cisco Virtual Security Gateway

Основные преимущества:

Защита от несанкционированного доступа

В данную категорию выделено два продукта, один из которых является отечественной разработкой. Данные подукты созданы для обсечения защиты от несанкционированного доступа к объектам виртуальной инфраструктуры.

vGate от компании Код безопасности

Основные преимущества:

Symantec Virtualization Security Manager

Основные преимущества:

Средства резервного копирования для виртуальных сред

Как и для любых других объектов информационной системы предприятия, для объектов, входящих в состав виртуальной инфраструктуры, рекомендуется создавать периодически резервные копии. При этом объекты виртуальной инфраструктуры могут достигать значительного объема, и в этом случае особенно остро возникает проблема скорости создания резервных копий, нагрузок на виртуальную среду при создании копий, а также время, которое требуется на восстановление объекта из резервной копии. Рассмотрим преимущества некоторых популярных продуктов, поддерживающих работу с виртуальными средами на базе VMware vSphere.

Acronis vmProtect

Основные преимущества:

Symantec Backup Exec

Основные преимущества:

Symantec NetBackup (в дополнении к функционалу BackupExec)

Основные преимущества:

Veeam Backup & Replication

Основные преимущества:

Выводы

Если в качестве основной платформы виртуальной среды предприятия используется VMware vSphere версии 5.х, а в качестве защищаемых объектов выступают виртуальные машины с установленным Windows, то рекомендуется устанавливать специализированный антивирусный продукт из набора антивирусов, поддерживающих интеграцию с VMware vShield. При использовании неподдерживаемых vShield версий Windows или при использовании других операционных систем, запускаемых на виртуальных машинах, рекомендуется использовать антивирусы класса Endpoint Protection, причём преимущество необходимо отдавать тем продуктам, которые оптимизированы для использования в виртуальных средах.

Следует обратить внимание, что оптимизация продуктов класса Endpoind Security для виртуальных сред может достигаться по-разному. Если компания ESET останавливается на нескольких несложных рекомендациях, то в продукте компании Symantec уже реализован общий кэш проверенных файлов и автоматическая рандомизация сканирований и обновлений. Наиболее перспективной в этом плане является технология так называемых лёгких агентов (Light Agents), которые лишь незначительно увеличивают нагрузку на аппаратную часть гипервизора (относительно полноценных антивирусных агентов), но позволяют реализовать в собственном агенте ту функциональность, которую невозможно реализовать в рамках технологии vShield и других предлагаемых VMware средств. Подобные лёгкие агенты уже присутствуют в продукте Trend Micro Deep Security и в ближайшее время появятся в новой версии Kaspersky Security для виртуальных сред.

Продукты других классов – системы предотвращения вторжений, сетевая защита виртуальных сред, защита от несанкционированного доступа, а также продукты для резервного копирования объектов виртуальных сред – могут использоваться при необходимости в дополнение к используемым антивирусным продуктам, т.к. их функциональность не пересекается, и продукты этих классов дополняют друг друга.

Можно заметить, что не все продукты поддерживают интеграцию с последней версией VMware vSphere 5.5. Особенно оперативное обеспечение поддержки для новых версий этой платформы критично для антивирусных продуктов, работающих через vShield Manager, ведь только версия 5.5 этой платформы обеспечивает поддержку защиты виртуальных машин, на которых установлены Windows 8 и Windows 2012 Server. Т.е. обратной стороной использования преимуществ vShield являются сразу два фактора задержки решения для защиты новых версий Windows – за счёт того, что поддержка новых версий Windows не сразу обеспечивается со стороны vShield, а новые версии vShield далеко не сразу начинают поддерживаться производителями антивирусов. Данный фактор может превратиться в сдерживающий для использования vShield в будущем, если его совместить с сократившимся циклом разработки новых версий Windows со стороны Microsoft. Вероятно, поэтому в будущем производители антивирусов сосредоточат больше усилий на использование технологий лёгкого агента и других средств оптимизации для защиты виртуальных машин с ещё не поддерживаемыми vShield версиями Windows.

Виртуальные среды также в последнее время часто соприкасаются с облачными технологиями, поэтому защитные продукты для виртуальных сред всё чаще содержат в себе поддержку и различных популярных облачных сервисов, по сути являющихся новым уровнем виртуализации. В частности, в последнее время производители программного обеспечения для защиты виртуализации проявляют большой интерес к технологии VMware NSX, позволяющей проводить виртуализацию локальных сетей по тем же принципам, как другие продукты VMware позволяют проводить виртуализацию рабочих станций и серверов. В частности, компания Symantec весной 2014 года планирует выпуск продукта с поддержкой данной технологии.

В целом, можно сказать, что спектр описанных в данном обзоре продуктов позволяет существенно повысить уровень информационной безопасности при использовании виртуальных сред и защититься от специфических для них типов угроз. А принятие стандартов по защите информации, расположенных в таких средах, позволит этот процесс упорядочить ещё больше.

Источник