Citrix虛擬化數據中心反病毒最佳實踐

虛擬化巨頭Citrix最近在Citrix技術專區的“技術論文”部分發表了一篇深思熟慮的文章，標題為“端點安全和防病毒最佳實踐”，概述了與安全廠商合作以購買正確的反惡意軟件工具來保護虛擬機，應用程序和桌面的逐點入門知識。Citrix專注于四個具有挑戰性的領域。

一、代理注冊
二、簽名更新
三、性能優化
四、防病毒排除

該博客介紹了Bitdefender完全遵循Citrix最佳實踐準則的情況，涵蓋了GravityZone虛擬化安全，該功能可為下一代基礎架構提供安全性，包括軟件定義的數據中心，超融合基礎架構和混合云。

1.保護非持久性工作負載
“虛擬數據中心和VDI桌面上的反病毒是否與固定和持久VM端點上的反病毒 不同？”
保護非持久性工作負載（例如快速出現的VDI桌面）帶來了許多挑。在這些短暫的工作負載中，通常會通過在安全工具安裝過程中生成的GUID來唯一標識計算機，并且占用license，而機器銷毀 后仍然會在控制臺中留下記錄。
企業軟件需要集中管理，以進行實時粒度部署操作，安全策略配置和事件報告。GravityZone 專為虛擬化而生。它作為虛擬設備交付，與基礎架構管理工具集成，并利用虛擬化基礎架構進行無縫操作，因為虛擬化基礎架構是實時監控的。GravityZone 虛擬化安全 與基礎架構即服務（IaaS）管理工具（包括vCenter Server，Citrix Hypervisor，Nutanix Prism，AWS和Azure）集成在一起，從而可以實時復制庫存，并全面了解環境變化。每當從清單中創建，移動或刪除虛擬機時，Bitdefender GravityZone 虛擬化安全 都會立即更新，自動清理銷毀的虛擬機，自動回收授權。

2.舊版防病毒軟件的性能
“當我們的舊版反病毒軟件開始掃描時，基礎架構將非常卡”
虛擬化數據中心中的舊版防病毒解決方案面臨著長期的挑戰，AV簽名更新會大大降低性能，從而降低數據中心的效率并使用戶沮喪。未優化的安全解決方案使用分散式更新，通常使用大型簽名文件，這些簽名文件必須定期下載和更新（有時每小時一次）并進行連續掃描。在非持久性環境中，這可能導致安全挑戰（機會窗口）和大量網絡流量（啟動時重置簽名）。
GravityZone 虛擬化安全掃描卸載解決了這些問題。安全虛擬設備（SVA）處理所有更新，以便每個VDI客戶端需要較少的更新。將大量的CPU，內存和磁盤活動占用空間轉移到SVA，以便虛擬數據中心環境實現更高的VM到主機密度和出色的VDI性能。
如何正確構建Windows虛擬桌面（VDI）體驗備忘單

3.轉向“ 無代理防護”
“無代理防護能否解決我所有的虛擬數據中心性能和密度問題？”
不久之前，安全管理員（和安全供應商）對“無代理”安全性寄予了希望，以解決其虛擬數據中心的性能問題，其中性能和密度是主要問題。但是實際上，所有無代理的VM都依賴于一個安全設備，并且未知的文件會在每個VM和安全服務器之間完全傳輸，從而導致更高的延遲和更慢的性能。如下表所示，無代理防護和輕代理防護各有特色。
無代理防護 輕代理防護
每個主機需要1個 SVA 可跨主機，每200個VM需要1個SVA
通過平臺驅動程序導向到安全服務器掃描 由Bitdefender驅動程序處理導向到安全服務器掃描
完整文件傳輸到SVA進行分析 僅將文件特殊部分傳輸到SVA
無法實現高可用性 內置高可用和負載均衡

Bitdefender支持VMware，Citrix， KVM無代理防護，Bitdefender輕代理防護支持市場上所有的虛擬化平臺。

4.大規模部署的安全性優化
“我將擴大現有的AV解決方案，以適應虛擬數據中心部署的快速增長。”
在大型部署中，安全性優化仍然是一項持續的挑戰。傳統的安全代理不適用于單一鏡像管理，并且缺乏集中式掃描和智能共享功能會降低效率。
Bitdefender通過兩層緩存技術克服了這些規模問題。GravityZone 虛擬化安全緩存同時在VM和SVA上進行。緩存還具有兩個組成部分：預訓練的緩存和自學習緩存。通過這種高效的設計，即使文件出現在多個VM上，SVA也僅檢查一次，從而避免了冗余掃描，從而大大減少了數據中心或任何定義的VM群集中的CPU，RAM，IO和網絡負載。

5.解決性能問題
“如果沒有其他改變，并且用戶在抱怨性能，請先檢查防病毒軟件。”
在嘗試對性能問題進行故障排除并確定其根本原因時，虛擬數據中心的管理員面臨一個核心挑戰。由于活動部件如此之多，并且涉及多個供應商，因此很難定位。
GravityZone SVE為所有服務器，臺式機和云虛擬機提供單點集中配置。它實時推送安全策略到端點，并提供遠程故障排除界面。

6.缺少智能掃描排除
“我們的舊防病毒軟件會導致過多的延遲，因為它一直會掃描克隆 系統之間相同的文件。”
虛擬數據中心管理員面臨的最后一個挑戰是缺乏智能掃描排除，尤其是在VDI桌面和服務器“克隆”中，智能掃描排除在其中，數千個預安裝的操作系統和應用程序文件在VM實例之間是相同的。由于Windows 10的庫存安裝通常包含超過一百萬個不同的文件（甚至在尚未加載任何應用程序之前），為什么還要掃描“已知良好”的文件？
常規的AV工具使用兩種常見的方法來掃描虛擬數據中心中的排除項：根本沒有針對虛擬化環境的默認排除項，或者針對所有VM工作負載使用了一個排除策略。兩種解決方案都不理想。GravityZone SVE包括靈活的掃描排除模型和默認掃描排除，可在您的VM資產范圍內快速，可靠地提高性能，或者管理員可以根據其特定的虛擬化基礎架構提供商的建議實施自定義排除，Bitdefender內置的排除包括：
Citrix推薦的Citrix Virtual Apps 和Desktops排除項
VMware推薦的VMware Horizon排除項
Microsoft推薦的Windows服務器和臺式機排除項
Nutanix推薦的Acropolis 和 Prism排除項目

結論
分層的下一代安全性是必要的，尤其是在虛擬數據中心中，在虛擬數據中心中，安全保護不能以犧牲VM效率，密度或性能為代價。組織應選擇專門為虛擬化和云設計的安全解決方案，因為傳統的反惡意軟件安全性會引入過多的延遲，從而阻礙用戶使用占用主機資源，降低整合率并增加成本的“大量”代理的用戶體驗。實時安全性與基礎架構管理工具的集成對于便捷部署，維護實時VM清單，促進安全自動化以及確保在非持久環境中的合規性至關重要。