H3C CAS云计算管理平台

虚拟机防病毒配置指导

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W107-20220816

 

 

目  录

1 简介··· 1

1.1 概述·· 1

1.2 功能介绍·· 1

2 兼容列表··· 2

3 配置前提··· 2

4 配置环境··· 3

4.1 服务器·· 3

4.2 软件·· 3

4.3 组网拓扑·· 4

5 亚信安全防病毒配置指导··· 4

5.1 安装数据库·· 4

5.1.1 准备虚拟机·· 4

5.1.2 本地安装PostgreSQL数据库·· 5

5.1.3 本地安装MSSQL数据库·· 11

5.2 安装亚信安全管理中心软件·· 25

5.2.1 在Windows虚拟机上安装DSM·· 25

5.2.2 在Linux虚拟机上安装DSM·· 43

5.3 安装虚拟化主机安全组件·· 45

5.4 管理H3C CAS CVK虚拟化主机·· 47

5.5 虚拟机启用防病毒功能·· 49

5.6 激活虚拟机安全防护功能·· 50

5.7 验证·· 54

5.7.1 执行病毒防护验证·· 54

5.7.2 执行DPI验证·· 54

5.7.3 执行防火墙验证·· 58

5.8 CVK主机防病毒功能·· 62

5.8.1 安装主机防病毒软件·· 62

5.8.2 使用主机防病毒功能·· 67

5.8.3 卸载主机防病毒软件·· 73

5.9 License获取方法·· 76

6 亚信安全防病毒升级指导··· 76

6.1 离线升级（中断业务）·· 77

6.1.1 亚信安全管理中心删除H3C CAS CVK虚拟化主机·· 77

6.1.2 关闭虚拟机防病毒功能·· 79

6.1.3 卸载虚拟化主机安全组件·· 81

6.1.4 升级CAS版本·· 82

6.1.5 升级亚信防病毒虚拟化主机安全组件·· 82

6.1.6 升级虚拟机CAStools· 82

6.1.7 虚拟机启用防病毒功能·· 83

6.2 在线升级1（不中断业务）·· 83

6.2.1 升级CAS版本·· 83

6.2.2 亚信安全管理中心重新激活虚拟机安全防护功能·· 84

6.2.3 执行病毒防护验证·· 85

6.3 在线升级2（不中断业务）·· 85

6.3.1 升级CAS版本·· 85

6.3.2 升级亚信安全防病毒主机安全组件·· 86

6.3.3 升级亚信安全防病毒前端驱动·· 86

6.3.4 升级亚信安全管理中心·· 87

6.3.5 执行病毒防护验证·· 93

7 注意事项··· 93

 

1 简介

1.1  概述

服务器虚拟化技术降低了数据中心IT投资和运维管理开支，但是，与传统物理环境一样，虚拟化环境也面临着内部网络病毒、蠕虫、木马程序和恶意软件的入侵。因此，在虚拟化环境下，我们需要考虑如何有效地为虚拟服务器和虚拟桌面防范内网可能的恶意程序攻击。

在传统物理环境中，往往需要给每个物理服务器安装防病毒软件，以实时防御可能的病毒入侵，而且，需要配置在非工作时间或非业务高峰期按需扫描病毒，从而最大限度地减少病毒防范操作对正常业务的干扰。当这些业务被迁移到虚拟化环境中后，同一个物理服务器上的众多虚拟机同时更新病毒特征库或按需全盘扫描时，可能导致物理服务器CPU、内存和磁盘I/O出现峰值，从而使得虚拟机在这段时间内无法正常提供服务，这种情况通常称之为“防病毒风暴（AV Storming）”。

H3C CAS云计算管理平台与知名安全软件厂商亚信安全合作，推出了无代理防病毒解决方案，用户无需在每个虚拟机中安装防病毒客户端程序，而是让其中一台虚拟机承担安全虚拟机的角色，用这台安全虚拟机去管理虚拟化环境下的其他所有虚拟机的防护策略。用户只需要安装一次安全防护设备，对这台安全虚拟机进行升级和维护，就能够让其他所有虚拟机得到最新的安全防护。无代理安全防病毒方案降低了虚拟化主机CPU、内存和磁盘I/O负载，避免了“防病毒风暴”。

H3C CAS云计算管理平台从CAS-E0303版本开始支持亚信安全防病毒解决方案。缺省配置下，H3C CAS云计算管理平台没有开启防病毒功能。

本文档介绍亚信安全安装和配置防病毒解决方案的步骤。

1.2  功能介绍

英文简称	英文全称	中文名	说明
DSM	Deep Security Manger	亚信安全服务器深度防护系统控制台	功能强大的、 集中式深度防护系统管理端，是为了使管理员能够创建安全设定档与将它们应用于服务器、 显示器警报和威胁采取的预防措施、 分布服务器，安全更新和生成报告。
DSHA	Deep Security Hosted Application	宿主机安全托管程序	在虚拟化宿主机上提供对虚拟机的无代理的病毒查杀，IDS/IPS、网络应用程序保护、应用程序控管及防火墙保护，透明化地加强安全策略
DSR	Deep Security Relay	亚信安全深度防护系统中继（客户端）	每个服务器深度安全防护系统环境中至少需要一个服务器深度安全防护系统中继。将服务器深度安全防护系统客户端程序包放置在与服务器深度安全防护系统管理中心安装程序相同的文件夹中时，可以将服务器深度安全防护系统中继部署到服务器深度安全防护系统管理中心的相同节点
DSA	Deep Security Agent	亚信安全深度防护系统客户端	是一个非常轻小的代理软件组件，部署于服务器及被保护的物理服务器器上，能有效协助执行控制中心下发的安全政策，提供有代理模式的防护功能。
(Agentless）AV/AM	(Agentless）Anti-virus/anti-malware	（无代理）防病毒/恶意程序	（集成CVK技术接口，使虚拟机无需代理客户端程序安装）对病毒、间谍软件、木马等威胁进行查杀。
(Agentless）FW	(Agentless）Firewall	(无代理）防火墙	（集成CVK技术接口，使虚拟机无需代理客户端程序安装）分析网络通信历史记录上下文中的每个数据包、TCP 和 IP 标头值的正确性，以及 TCP 连接状态转换。定义规则来阻止或允许数据包。防火墙规则直接分配到计算机，或分配到策略再转而分配到计算机或计算机组。
(Agentless）IPS/IDS	(Agentless）Intrusion Prevention System /Intrusion Detection System	(无代理）入侵防御/入侵检测	（集成CVK技术接口，使虚拟机无需代理客户端程序安装）保护计算机免遭已知和零时差漏洞攻击、SQL 注入攻击、跨站点脚本攻击和其他 Web 应用程序漏洞利用。屏蔽漏洞直到代码修复完成。它可识别访问网络的恶意软件，并增加对访问网络的应用程序的可见性，或者增加对其的控制。只检测模式下，仍可触发规则，但不影响流量。
(Agentless）DPI	(Agentless）Deep Packet Inspection	深度包检测模块	包含防火墙(FW)和入侵防御/检测(IPS/IDS)功能，针对网络流，检测出入站流量并保护操作系统和应用程序免受攻击。

 

2 兼容列表

虚拟机操作系统兼容性列表由亚信安全提供，并对防病毒功能与操作系统的兼容性保留解释权。

亚信支持的虚拟机操作系统兼容列表请参考《DS 无代理杀毒支持操作系统列表》，未在兼容性列表中的操作系统不支持防病毒功能。

3 配置前提

·     本文档中的配置均是在实验室环境下进行的配置和验证，配置前服务器和软件的所有参数均采用出厂时的缺省配置。如果您已经对被测试对象进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

·     在项目实施之前，请根据防病毒解决方案的不同，联系亚信安全在当地的售后人员，以获取防病毒软件版本。

4 配置环境

4.1  服务器

本文档不严格与具体硬件服务器型号对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。本文档使用的服务器型号与配置如下表所示，该环境不作为实际部署时的强制环境或推荐环境，只需要服务器能够兼容H3C CAS云计算管理平台即可完成本配置。

表4-1 服务器

配置项	说明
服务器 #1 （H3C CAS CVM虚拟化管理平台）	HP ProLiant BL460c Gen8 ·     CPU：2路8核，Intel Xeon E5-2670 @ 2.60GHz ·     内存：32 GB
服务器 #2 （H3C CAS CVK虚拟化内核系统）	HP ProLiant BL460c Gen8 ·     CPU：2路8核，Intel Xeon E5-2670 @ 2.60GHz ·     内存：32 GB

 

4.2  软件

表4-2 软件

软件	版本
服务器虚拟化管理软件	H3C CAS-E0710P06（KVM Kernel 4.14.131）
虚拟机操作系统	安全虚拟机（用于安装防病毒安全管理中心组件） ·     Windows Server 2008 R2数据中心版SP1（64位） 被防护虚拟机 ·     Windows Server 2012 R2数据中心版（64位） ·     Windows Server 2012 R2标准版（64位） ·     Windows Server 2008 R2数据中心版SP1（64位） ·     Windows Server 2008 R2企业版SP1（64位） ·     Windows Server 2008 R2标准版SP1（64位） ·     Windows 10企业版（64位） ·     Windows 8.1专业版（64位） ·     Windows 8企业版（64位） ·     Windows 7中文旗舰版SP1（64位） ·     Red Hat Enterprise Linux 7（64 位） ·     Red Hat Enterprise Linux 6（64 位） ·     Red Hat Enterprise Linux 5（64 位） 注：详细的支持列表请参考《DS 无代理杀毒支持操作系统列表》
亚信安全防病毒软件	防病毒安全管理中心组件 ·     AsiaInfo Deep Security Manager 20.0.235（Windows 64位版本） 虚拟化主机安全组件 ·     Deep Security Virtual Appliance 10.5.0-6225 64位

 

4.3  组网拓扑

图4-1 H3C CAS虚拟机防病毒解决方案测试逻辑拓扑图

 

5 亚信安全防病毒配置指导

5.1  安装数据库

5.1.1  准备虚拟机

(1)     登录H3C CAS CVM虚拟化管理平台，创建一个新的虚拟机用于安装数据库。

¡     数据库所需磁盘空间受以下因素影响：

-     计算机数量

-     每秒记录的事件（日志）数量

-     事件的保留期

当使用缺省设置时，每台开启防病毒功能的虚拟机平均每天产生的日志消耗约50MB的数据库磁盘空间。1000台虚拟机需要50GB，2000台虚拟机需要100GB，依此类推。

¡     为获得最佳性能，数据库应具有双核CPU，8~16GB的RAM。

¡     数据库需与DSM位于同一网络中，网络连接速度为1GB LAN。不建议使用WAN连接。

(2)     为虚拟机安装所选数据库支持的操作系统。

DSM支持的数据库：

¡     PostgreSQL 9.6.x

¡     Microsoft SQL Server 2016

¡     Microsoft SQL Server 2014

¡     Microsoft SQL Server 2012

¡     Microsoft SQL Server 2008

¡     Microsoft SQL Server 2008 R2

¡     Microsoft SQL RDS or Oracle RDS

¡     Oracle 11g, 12c, 18c

(3)     安装完操作系统后需安装CAStools工具。

(4)     数据库时间必须与安装DSM的计算机时间同步。

5.1.2  本地安装PostgreSQL数据库

1. Windows环境安装postgresql数据库

在虚拟机操作系统内，安装亚信安全提供的防病毒安全管理中心组件DSM 10.5.5220（Windows 64位版本）。

(1)     管理员权限运行PostgreSQL9.6.18版本安装包。

图5-1 运行安装包

 

(2)     设置安装目录。

图5-2 设置安装目录

 

(3)     设置默认账号postgres高强度密码。

图5-3 设置密码

 

(4)     设置默认服务端口5432。

图5-4 设置端口号

 

(5)     完成安装。

图5-5 完成安装

 

2. Linux环境安装postgresql数据库

(1)     赋予权限运行PostgreSQL9.6.18版本安装包。

图5-6 赋予执行权限

 

(2)     设置安装目录并回车确认。

图5-7 设置安装目录

 

(3)     设置默认账号postgres密码。

图5-8 设置账号密码

 

(4)     设置默认服务端口5432。

图5-9 设置端口号

 

(5)     选择语言为中文，后续回车和y同意安装。

图5-10 选择语言

 

(6)     完成安装。

图5-11 完成安装

 

5.1.3  本地安装MSSQL数据库

此处使用MSSQL 2016版本进行操作演示。

1. Windows环境安装SQLSERVER

(1)     系统加载安装镜像或安装包，选择[安装]菜单项，选择“全新SQL server独立安装或向现有安装添加功能”。

图5-12 加载安装包并选择安装方式

 

(2)     输入数据库产品密钥并单击<下一步>按钮，等待依赖规则检查。

图5-13 输入秘钥

 

图5-14 等待依赖规则检查

 

(3)     去勾选“产品更新”，选择后续进行补丁升级。

图5-15 去掉更新，升级补丁

 

(4)     勾选安装数据库引擎服务，其他默认无需勾选（重要）。

图5-16 勾选安装数据库引擎

 

(5)     使用默认实例名。

图5-17 默认实例名

 

(6)     修改服务启动模式为自动。

图5-18 服务启动自动模式

 

(7)     使用混合模式，添加sa账号的密码，添加系统管理员账号为数据库管理员。

图5-19 数据库引擎配置

 

(8)     检查核对配置内容后单击<安装>按钮，等待安装完成，根据系统磁盘性能约5-20分钟左右。

图5-20 检查配置并安装

 

图5-21 安装完成

 

(9)     安装SSMS数据库管理程序。

图5-22 选择程序

 

图5-23 安装界面

 

(10)     安装完成后通过菜单栏进行访问，使用SSMS（SQL SERVER MANGERMENT STUDIO）程序通过sa账号登录数据库。

图5-24 访问数据库

 

图5-25 输入账号并登录

 

(11)     创建新的数据库dsm（可修改名称）用于后续控制台安装，后续使用该数据库。

图5-26 创建新的数据库

 

图5-27 设置新数据库

 

5.2  安装亚信安全管理中心软件

亚信安全管理中心是亚信安全公司发布的集中管控虚拟机深度安全策略的管理平台（Deep Security Manager，DSM），是一个安装在操作系统上的软件。该软件由亚信安全公司交付给客户，提供了对动态数据中心中的系统（范围遍及虚拟桌面到物理、虚拟或云服务器）的高级保护，包括：

·     防恶意软件

·     入侵检测和阻止（IDS/IPS）

·     防火墙

·     Web应用程序防护

·     应用程序控制

5.2.1  在Windows虚拟机上安装DSM

本章节介绍将亚信安全管理中心DSM安装在Windows虚拟机上的步骤。

1. 准备虚拟机

(1)     登录H3C CAS CVM虚拟化管理平台，创建一个新的虚拟机，建议的虚拟机资源配置如下表所示。

表5-1 亚信安全管理中心虚拟机资源配置推荐

CPU	内存	磁盘空间	适用场景
4	8~16GB	200GB	适用于少于10,000台虚拟机的场景。
8	24GB	200GB	适用于少于20,000台虚拟机的场景。
16	32GB	200GB	适用于多于20,000台虚拟机的场景。

 

(2)     为虚拟机安装DSM支持的操作系统（表4-2）和CAStools工具。

2. 准备中继组文件(可选)

中继是亚信安全服务器深度安全防护系统客户端内的一个模块，负责安全更新和软件更新的下载和发布。亚信安全建议将已启用中继的客户端安装在亚信安全服务器深度安全保护系统管理中心所在的计算机上，以保护计算机并充当本地中继。

将中继组文件Agent-XX和亚信防病毒安全管理中心组件Manager-Windows-XX放在同一目录下。

图5-28 文件准备

 

3. 安装防病毒安全管理中心组件

在虚拟机操作系统内，安装亚信安全提供的防病毒安全管理中心组件DSM 10.5.5220（Windows 64位版本）。

(1)     运行Manger安装程序，选择简体中文作为安装语言。

图5-29 选择安装语言

 

(2)     安装向导首页单击<下一步>按钮，许可协议页面选择我接受，而后选择安装路径。

图5-30 安装向导首页

 

图5-31 亚信安全许可协议

 

图5-32 选择安装路径

 

(3)     对于企业部署，亚信安全服务器深度安全防护系统需要Microsoft SQL Server 2008r2/2012/2014/2016、PostgreSQL9.6最新版本或者Oracle Database 11g/12c。建议在安装数据库时创建实例数据库DSM，如果用内置数据库可能会出现未知错误。

图5-33 选择数据库

 

 

(4)     启动亚信安全服务器深度安全防护系统管理中心就绪检查，检查完成选择安装。

图5-34 就绪检查

 

 

图5-35 启动安装管理中心

 

(5)     DSM是基于Web的集中式管理系统，如果网络中存在DNS，请在安装过程中配置管理中心主机名，否则，请指定管理中心所在的虚拟机IP地址。

图5-36 指定DSM安全管理中心IP地址

 

 

(6)     为登录DSM安全管理中心指定管理帐号和密码，单击<下一步>按钮继续安装。

图5-37 设置登录DSM安全管理中心的帐号和密码

 

(7)     配置安全更新。选择“创建预设任务以定期检查安全更新”选项将创建预设任务，自动从亚信安全检索最新的安全更新并将其分发至客户端和设备。（以后可以使用亚信安全服务器深度安全防护系统管理中心配置更新。）如果亚信安全服务器深度安全防护系统管理中心需要使用代理通过Internet连接至亚信安全更新服务器，请选择“连接到亚信安全以检查安全更新时使用代理服务器”并输入代理信息。

图5-38 配置安全更新

 

(8)     配置软件更新。软件更新的选项与上一步骤“安全更新”的选项相同。

图5-39 配置软件更新

 

(9)     共置的已启用中继的客户端。如果在本地文件夹或从亚信安全下载专区可以找到客户端安装包，则可以选择安装共置的已启用中继的客户端。任何亚信安全服务器深度安全防护系统安装均至少需要一个中继来下载和分发安全和软件更新。如果现在不安装已启用中继的客户端，则需要稍后进行安装。强烈建议安装共置的已启用中继的客户端。

图5-40 安装已启用中继的客户端

 

(10)     云安全智能防护网络。选择是否要启用“亚信安全智能反馈（推荐）”。可在以后通过亚信安全服务器深度安全防护系统管理中心启用或配置智能反馈。（可选）通过从下拉列表中进行选择来输入行业。

图5-41 云安全智能防护网络

 

(11)     安装结束后，通过Web浏览器访问DSM安全管理中心，键入上述设置的用户账号与密码，单击<登录>按钮。

图5-42 DSM安全管理中心登录界面

 

(12)     登录后的控制台界面如下图所示。

图5-43 DSM安全管理中心控制台界面

 

4. 计算机页签启用中继

 

(1)     安装中继。

a.     运行如下程序，安装中继。

图5-44 中继安装程序

 

b.     进入中继客户端安装首页。单击<下一步>按钮。

图5-45 中继客户端安装首页

 

c.     阅读并接受许可协议。

图5-46 接受许可

 

d.     设置安装路径，使用默认路径即可。

图5-47 选择安装路径

 

图5-48 开始安装

 

(2)     将安装中继的虚拟机添加到DSM。

图5-49 DSM中选择计算机页签

 

图5-50 新建计算机-1

 

图5-51 新建虚拟机-2

 

(3)     添加中继。

a.     在顶部菜单栏选择“管理”。

b.     在左侧导航树选择【更新/中继管理】。

c.     打开默认中继组，单击<添加中继>按钮。

图5-52 添加中继-1

 

d.     从可用的客户端中选择一个或多个，单击<启用中继并添加到组>按钮。

图5-53 添加中继-2

 

图5-54 添加中继-3

 

5. 使用授权

(1)     单击[管理/使用授权/<输入新的激活码>]，平台类型选择H3C_CAS，输入相应的激活码。

图5-55 使用授权

 

6. 更新病毒库

·     如果DSM能访问公网，DSM会自动更新病毒库。

·     如果DSM不能访问公网，请参考《H3C CAS-亚信防病毒常见问题》的“DS for H3C离线更新”章节进行离线更新。

建议DSM上公网，因为在平时使用过程中要更新病毒库。

5.2.2  在Linux虚拟机上安装DSM

本章节介绍将亚信安全管理中心DSM安装在Linux虚拟机上的步骤。

1. Linux虚拟机桌面上安装DSM

Linux安装默认X桌面安装，步骤与windows安装一致，具体步骤可参考5.2.1章节。

2. Linux虚拟机命令行安装DSM

(1)     创建修改DSM静默安装配置文件。

无图形界面安装需要使用配置文件Properties.txt

配置文件内容如下：

AddressAndPortsScreen.ManagerAddress=192.168.****//修改为DSM IP地址

AddressAndPortsScreen.NewNode=True

UpgradeVerificationScreen.Overwrite=False

DatabaseScreen.Hostname=192.168.*** //修改为数据库 IP地址

DatabaseScreen.DatabaseType=PostgreSQL

#DatabaseScreen.Transport=TCP

DatabaseScreen.DatabaseName=dsmDB//修改为实际数据库名

DatabaseScreen.Username=postgres   //PostgreSQL数据库用户名

DatabaseScreen.Password=123456     //PostgreSQL数据库密码

AddressAndPortsScreen.ManagerPort=4119

AddressAndPortsScreen.HeartbeatPort=4120

CredentialsScreen.Administrator.Username=MasterAdmin //设置DSM管理员名

CredentialsScreen.Administrator.Password=P@ssw0rd  //设置DSM管理员密码

CredentialsScreen.UseStrongPasswords=False

SecurityUpdateScreen.UpdateComponents=True

SoftwareUpdateScreen.Proxy=False

SoftwareUpdateScreen.ProxyType=""

SoftwareUpdateScreen.ProxyAddress=""

SoftwareUpdateScreen.ProxyPort=""

SoftwareUpdateScreen.ProxyAuthentication="False"

SoftwareUpdateScreen.ProxyUsername=""

SoftwareUpdateScreen.ProxyPassword=""

SoftwareUpdateScreen.UpdateSoftware=True

RelayScreen.Install=False

SmartProtectionNetworkScreen.EnableFeedback=False

修改完成后重命名为properties1.txt传输至DSM主机中。

(2)     赋予权限并执行安装。

将Manager-Linux-10.5.5220.x64.sh和对应DSM操作系统的客户端安装程序拷贝入DSM主机中后，进入目录，赋予安装程序执行权限：

chmod +x Manager-Linux-10.5.5220.x64.sh

执行安装命令，选择中文安装，之后会自动安装完成：

./Manager-Linux-10.5.5220.x64.sh –q –console –Dinstall4j.language=zh_CN –varfile properties.txt

(3)     DSM控制台访问。

在任意可以访问DSM主机的机器上，在浏览器地址栏输入地址，即可访问DSM控制台：

https://<DSM主机IP>：4119

图5-56 DSM管理中心登录界面

 

图5-57 登录后的DSM控制台界面

 

(4)     DSM安全管理组件激活，参见5.2.1  5. 使用授权。

5.3  安装虚拟化主机安全组件

虚拟化主机安全组件是亚信安全公司专为H3C CAS云计算管理平台开发的，安装在H3C CAS CVK主机上的组件包，由亚信安全公司交付给客户。该组件软件的核心作用是接受DSM安全管理中心的统一管理，实时防护虚拟化主机上所有虚拟机的网络和文件系统，并将检测结果通知DSM安全管理中心。

(1)     登录H3C CAS CVM虚拟化管理平台，在导航栏中依次选择[云安全/防病毒配置]菜单项，在防病毒配置界面中，选择防病毒厂商为“亚信安全”。

图5-58 配置防病毒厂商

 

(2)     将亚信安全公司提供的虚拟化主机安全组件从本地目录拖拽到“上传补丁包”指定区域，并在“保存目录”输入框中输入该文件在H3C CAS CVM上的保存路径，单击<开始上传>按钮。

图5-59 上传虚拟化主机安全组件到H3C CAS CVM虚拟化管理平台

 

(3)     上传完成之后，H3C CAS CVM虚拟化管理平台自动将安全组件静默安装到所有的H3C CAS CVK虚拟化主机上。

图5-60 虚拟化主机安全组件上传并安装完毕

 

(4)     单击<检查>按钮，可以对虚拟化主机安全组件的安装结果进行确认。

图5-61 虚拟化主机安全组件安装检测结果

 

5.4  管理H3C CAS CVK虚拟化主机

只有在亚信DSM安全管理中心中添加H3C CAS云计算管理平台之后，亚信DSM安全管理中心才能对虚拟化主机和虚拟机进行安全防护及安全策略配置。

(1)     在亚信安全DSM安全管理中心界面导航菜单栏中，选择“计算机”，在工具栏中，单击<新建>按钮，选择“添加Virtual Center”菜单项。

图5-62 在亚信DSM安全管理中心中添加虚拟化管理平台

 

(2)     在弹出的“添加Virtual Center向导”对话框中，选择服务器类型为“H3C_CAS”，输入H3C CAS CVM虚拟化管理平台的访问地址、登录用户名和密码，单击<下一步>按钮。

图5-63 添加Virtual Center向导对话框

 

(3)     亚信DSM安全管理中心自动连接指定的H3C CAS CVM虚拟化管理平台，并获取主机与虚拟机列表。

图5-64 获取的H3C CAS CVM主机与虚拟机列表

 

5.5  虚拟机启用防病毒功能

如果需要对虚拟机进行病毒安全防护，需要手工为其开启防病毒功能（默认情况下，虚拟机不启用防病毒功能）。H3C CAS CVM虚拟化管理平台支持对单个虚拟机开启防病毒功能，也支持批量为多个虚拟机开启防病毒功能。

(1)     在H3C CAS CVM虚拟化管理平台中，为需要病毒安全防护的所有虚拟机安装CAStools工具。

(2)     在H3C CAS CVM虚拟化管理平台中，选择[云资源]或者[云资源/<资源池>]菜单项，选择“虚拟机”页签，勾选需要开启防病毒功能的虚拟机，单击右键，选择[修改虚拟机]选项。

图5-65 批量修改虚拟机

 

(3)     在弹出的“批量修改虚拟机”对话框中，勾选“修改防病毒配置”，选择“是”，单击<确定>按钮。

图5-66 批量开启虚拟机的防病毒功能

 

(4)     启动所有已开启防病毒功能且处于关闭状态的虚拟机。

 

5.6  激活虚拟机安全防护功能

1. 激活设备

(1)     在亚信DSM安全管理中心，右键单击虚拟化主机，选择[操作/激活设备]菜单项。

图5-67 激活设备

 

(2)     在激活设备配置向导中，“策略”默认为“无”，单击<下一步>按钮。

图5-68 激活设备配置向导

 

(3)     在虚拟机列表中，勾选需要激活的虚拟机，单击<完成>按钮。

图5-69 选择需要激活的虚拟机列表

 

(4)     亚信DSM安全管理中心开始激活指定的虚拟机。激活成功之后，虚拟化主机和虚拟机都呈现为“被管理”状态。但是，此时，因为没有为虚拟机指定合适的策略，虚拟机防恶意软件、防火墙和入侵防御等功能依然处于关闭状态。

图5-70 成功激活的虚拟化主机与虚拟机状态

 

2. 为虚拟机分配策略

(1)     右键单击需要指定安全配置文件的虚拟机，选择[操作/分配策略]菜单项。

图5-71 为虚拟机指定安全配置文件

 

(2)     在弹出的“分配策略”页面中，根据虚拟机操作系统的不同，选择合适的策略。在实际工作中，一般是启用病毒防护策略即可。

图5-72 为虚拟机指定策略

(3)     单击<确定>按钮。

5.7  验证

5.7.1  执行病毒防护验证

(1)     从EICAR网站（http://www.eicar.org/）复制如下通用的病毒代码，并粘贴保存到一个文本文件中。

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

 

 

(2)     将上述文本文件复制到受保护的虚拟机操作系统内，目标目录中将看不到该文件，因为该文件已经被亚信DSM安全管理中心隔离。

(3)     在亚信DSM安全管理中心“防恶意软件事件”中，可以看到详细的恶意软件隔离记录。

有时候会看不到最近的事件记录，将“期间”修改为最近一周或更长时间就能看到。

图5-73 亚信安全事件监控

 

5.7.2  执行DPI验证

(1)     将软件PuTTY传入虚拟机内。

图5-74 putty ssh软件

 

(2)     不启用DPI规则putty ssh可以登录CVK主机。

图5-75 putty ssh软件应用

 

(3)     DSM中虚拟机详细信息页面单击[入侵防御]菜单项，单击分配，找到IPS规则“1002487 - Application Control For SSH Client”，去勾选“仅检测”项，单击<确定>按钮。然后在IPS规则页面勾选该规则并保存。

图5-76 配置DPI规则

 

(4)     在详细信息页面，入侵防御配置选择为“打开”，单击<保存>按钮。

图5-77 虚拟机应用DPI规则

 

(5)     虚拟机内再次使用putty ssh登录CVK主机，此时无法登录，页面报错，这样就说明DPI规则生效了。

图5-78 DPI规则生效，使用putty ssh无法登录主机

 

(6)     IPS规则生效后，在“入侵防御事件”页面可查看到相应事件记录。

图5-79 查看入侵防御事件

 

5.7.3  执行防火墙验证

(1)     不启用ICMP防火墙规则，虚拟机外部可以ping通该虚拟机。

(2)     DSM中虚拟机详细信息页面单击[防火墙规则]菜单项，单击取消分配规则。

图5-80 分配防火墙规则

 

(3)     找到防火墙ICMP规则，复制该规则将“操作”改为“拒绝”并应用。

图5-81 配置防火墙规则

 

(4)     然后在防火墙规则页面勾选该规则并保存。

图5-82 应用防火墙规则

 

(5)     在详细信息页面，防火墙配置选择为“打开”，单击<保存>按钮。

图5-83 虚拟机应用防火墙规则

 

(6)     再次在应用规则虚拟机外部ping该虚拟机，该虚拟机无法ping通，说明ICMP防火墙规则生效了。

图5-84 ICMP防火墙规则生效，外部无法ping通该虚拟机

 

(7)     防火墙规则生效后，在“防火墙事件”页面可查看到相应事件记录。

图5-85 查看防火墙事件

 

5.8  CVK主机防病毒功能

5.8.1  安装主机防病毒软件

1. 导入安装包

(1)     在亚信安全DSM安全管理中心界面顶部选择“管理”，在左侧导航树中选择[更新/软件/本地]菜单项，进入本地软件页面，单击<导入>按钮。

图5-86 导入安装包页面

 

(2)     在弹出的导入软件页面，单击<选择文件>按钮。

 

图5-87 选择安装包

 

(3)     导入成功后，即可在本地软件页面查看安装包。

图5-88 查看安装包

 

2. 部署脚本

(1)     在亚信安全DSM安全管理中心界面右上角选择[支持/部署脚本]菜单项。

图5-89 部署脚本

 

(2)     默认勾选“安装后自动激活客户端”；“安全策略”选择“H3C CAS”（请勿选择其他策略）。

 

图5-90 配置部署脚本

 

(3)     保存部署脚本。

¡     单击<保存至文件>按钮，将生成一个名为“AgentDeploymentScript.sh”的脚本文件，然后将该脚本文件上传到CVK主机。

¡     也可以单击<复制到剪贴板>按钮，复制脚本内容，然后在CVK主机上新建一个名为“AgentDeploymentScript.sh”的文件，并将复制的内容粘贴到新建的文件中。

图5-91 保存部署脚本

 

(4)     CVK主机防病毒功能默认使用“客户端激活”方式，请确保在[管理/系统设置/客户端]中已勾选“允许客户端启动的激活”。

图5-92 允许客户端激活

 

(5)     在CVK主机上执行命令chmod +x AgentDeploymentScript.sh为文件添加可执行权限，然后执行命令./AgentDeploymentScript.sh运行该脚本文件。

图5-93 执行脚本部署主机防病毒

 

(6)     等待约30秒，安装并激活CVK主机防病毒完成。此时在DSM的计算机页面，可以看到新增了一台“CVK主机防病毒”计算机。

图5-94 主机被管理

 

若在部署脚本页面取消勾选了“安装后自动激活客户端”。在CVK主机上运行了AgentDeploymentScript.sh脚本后，需要再执行以下步骤手动激活客户端。

a.     在DSM的计算机页面，单击[添加/添加宿主机]按钮，进入新建计算机向导页面。

图5-95 手动添加宿主机

 

b.     默认策略为“H3C CAS”（请勿修改默认策略）；选择合适的中继组。

图5-96 手动添加宿主机向导

 

5.8.2  使用主机防病毒功能

1. 增加扫描目录

CVK主机防病毒功能采用的“H3C CAS”策略，默认为“仅按需扫描”，扫描目录为“/home/”。若用户需要增加扫描的目录，请执行以下步骤。

(1)     双击之前成功添加的“CVK主机防病毒”计算机。防恶意软件页面“手动扫描”的“已继承”项保持勾选，在“恶意软件扫描配置”右侧单击<编辑>按钮。

图5-97 修改默认扫描策略

 

(2)     在“包含”页签的“扫描设置”区域中，“要扫描的目录”选择“目录列表”，在“cas_manual_scan_dir”右侧单击<编辑>按钮。

图5-98 修改扫描目录

 

(3)     在“常规”页签的“目录”区域中，增加需要扫描的目录。

图5-99 修改默认策略扫描目录

 

2. 实时扫描

开启实时扫描

(1)     双击之前成功添加的“CVK主机防病毒”计算机。在“防恶意软件”页面取消勾选“实时扫描”的“已继承”，“恶意软件扫描配置”选择“CAS Real-Time Scan Configuration”，设置时间表，设置完成后单击右下角的<保存>按钮。

图5-100 开启实时扫描

 

(2)     对于“CAS Real-Time Scan Configuration”配置，默认添加了推荐的白名单。

表5-2 默认推荐白名单

目录列表	文件扩展名列表	远程镜像文件列表
/var/lib/ /var/log/ /usr/local/cdap/ /mnt/	qcow2 raw iso	/usr/bin/kvm /usr/sbin/libvirtd

 

若此推荐设置与用户的需求不符，可在“CAS Real-Time Scan Configuration”的配置项右侧单击<编辑>按钮，然后在弹出窗口的“例外”页签中，单击对应列表项的<编辑>按钮进行修改。

图5-101 配置扫描白名单

 

关闭实时扫描

(1)     若用户需要关闭实时扫描功能，请在“防恶意软件”界面的“实时扫描”勾选“已继承”，并单击右下角的<保存>按钮。

图5-102 关闭实时扫描

 

3. 病毒查杀测试

(1)     进入CVK主机的“/home”目录，新建一个名为“test”的文件。从EICAR网站（http://www.eicar.org/）复制如下的通用病毒代码，并粘贴保存到“test”文件中。

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

(2)     在DSM上单击<完整扫描恶意软件>按钮，执行手动扫描。

图5-103 执行手动扫描

 

(3)     待扫描完成后，在[防恶意软件/防恶意软件事件]页面，单击<获取事件>按钮，将得到扫描结果。

图5-104 查看防恶意软件事件

 

5.8.3  卸载主机防病毒软件

若用户希望卸载CVK主机防病毒软件，请执行如下步骤进行卸载。

(1)     在DSM管理中心对应的计算机上单击鼠标右键，选择[操作/停用]菜单项。

图5-105 停用宿主机防护

 

(2)     停用成功后，右键选择[操作/删除]菜单项，删除对应的计算机。

图5-106 删除宿主机

 

(3)     在CVK主机上卸载主机防病毒功能。

¡     CentOS系统的CVK

请在CVK主机上执行命令rpm -e dsa_host，执行结果如下：

图5-107 CentOS主机卸载防护软件

 

¡     Ubuntu系统的CVK

请在CVK主机上执行命令dpkg -P dsa-host，执行结果如下：

图5-108 Ubuntu主机卸载防护软件

 

5.9  License获取方法

亚信安全产品的授权交付件是EK（Exchange Key）交换码，EK交换码有效期为6个月，请在有效期内尽快在亚信安全官网（http://esupport.asiainfo-sec.com/H3C_regsec.com/H3C_reg）进行登记注册取得正式的产品激活码。

 

6 亚信安全防病毒升级指导

CAS CVM云计算管理平台版本升级时，根据CAS版本适配的亚信安全组件DSVA版本是否升级，可将虚拟机防病毒升级分为两种场景，包括离线升级和在线升级。

·     亚信DSVA版本升级到DSHA 10.5.0-6224前的版本：根据离线升级场景进行虚拟机防病毒的升级。（执行6.1  离线升级（中断业务））

·     从DSVA 8.0.0.6009 升级到 DSHA 10.5.0-6224及以后版本：根据在线升级场景进行虚拟机防病毒的升级。（执行6.3  在线升级2（不中断业务））

·     亚信DSVA版本没有升级：根据在线升级场景进行虚拟机防病毒的升级。（执行6.2  在线升级1（不中断业务））

 

升级是否需要中断业务，具体请参考下表：

目标 版本 起始 版本	E0306H02-E0306H25 (DSVA:7.5.0.2055）	E0511-E0513H08 (DSVA:7.5.0.2055)	E0513H09 (DSVA:7.5.0.2057)	E0523-E0530H17 (DSVA:8.0.0.2066)	E0535H03-E0708HX (DSHA:8.0.0.6009/6209）	E0709-最新 (DSHA:10.5.0.6224)
E0306H02-E0306H25 (DSVA:7.5.0.2055）	执行6.2  在线升级1（不中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）
E0511-E0513H08 (DSVA:7.5.0.2055)	-	执行6.2  在线升级1（不中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）
E0513H09 (DSVA:7.5.0.2057)	-	-	-	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）
E0523-E0530H17 (DSVA:8.0.0.2066)	-	-	-	执行6.2  在线升级1（不中断业务）	执行6.1  离线升级（中断业务）	执行6.1  离线升级（中断业务）
E0535H03-E0708HX (DSHA:8.0.0.6009/6209）	-	-	-	-	执行6.2  在线升级1（不中断业务）	执行6.3  在线升级2（不中断业务）
E0709-最新 (DSHA:10.5.0.6224)	-	-	-	-	-	执行6.3  在线升级2（不中断业务）

 

CAS版本升级后，适配的亚信安全防病毒软件版本是否升级请参考《H3C CAS服务器虚拟化产品软硬件兼容性列表》。

6.1  离线升级（中断业务）

6.1.1  亚信安全管理中心删除H3C CAS CVK虚拟化主机

(1)     在亚信安全DSM安全管理中心界面导航菜单栏中，选择需要停用的虚拟机，单击鼠标右键，选择[操作/停用]菜单项。

图6-1 停用虚拟机

 

(2)     在亚信安全DSM安全管理中心界面导航菜单栏中，选择需要停用的主机，单击鼠标右键，选择[操作/停用]菜单项。

图6-2 停用DSVA

 

(3)     在亚信安全DSM安全管理中心界面导航菜单栏中，选择[计算机]菜单项，在工具栏中，单击右键，选择[Central Management]，单击“移除Central Management…”。

图6-3 亚信安全管理中心删除H3C CAS CVK虚拟化主机

 

 

(4)     移除Central Management，选择“从DSM移除Central Management和所有从属计算机/组”。

图6-4 亚信安全管理中心删除H3C CAS CVK虚拟化主机

 

6.1.2  关闭虚拟机防病毒功能

(1)     在H3C CAS CVM虚拟化管理平台中，选择[云资源]或者[云资源/<资源池>]菜单项，选择“虚拟机”页签，勾选需要关闭防病毒功能的虚拟机，单击右键，选择[关闭]，关闭虚拟机。

(2)     待虚拟机安全关闭后，勾选需要关闭防病毒功能的虚拟机，单击右键，选择[修改虚拟机]。

(3)     在弹出的批量修改虚拟机对话框中，勾选“修改启用防病毒”，选择“否”，单击<确定>按钮。

图6-5 批量关闭虚拟机的防病毒功能

 

6.1.3  卸载虚拟化主机安全组件

(1)     登录H3C CAS CVM虚拟化管理平台，在导航菜单中依次选择[系统管理/安全管理/防病毒配置]菜单项，在防病毒配置界面中，单击<检查>按钮。

图6-6 卸载虚拟化主机安全组件

 

(2)     在弹出的检测主机防病毒补丁安装情况的对话框中，单击<一键卸载>按钮，卸载主机已安装的防病毒补丁包（即虚拟化主机安全组件）。

图6-7 卸载虚拟化主机安全组件

 

 

6.1.4  升级CAS版本

根据升级的目标版本对应的《H3C CAS-E05XX版本使用指导书》中的升级步骤对CAS进行升级（包括升级过程中所有操作，重启主机等）。

6.1.5  升级亚信防病毒虚拟化主机安全组件

(1)     为主机安装新版本的亚信安全组件（dsva-agent_8.0.0.6009_amd64.tar.gz），操作步骤请参考5.3  安装虚拟化主机安全组件。

6.1.6  升级虚拟机CAStools

 

(1)     登录H3C CAS CVM虚拟化管理平台，选择[云资源]或者[云资源/<资源池>]菜单项，选择“虚拟机”页签。勾选处于关闭状态的虚拟机，单击右键，选择<启动>，启动处于关闭状态的虚拟机。

图6-8 批量升级虚拟机的CAStools

 

(2)     勾选处于运行状态的虚拟机，单击右键，选择<升级CAStools>，升级虚拟机的CAStools。

(3)     升级完成后，关闭虚拟机。

6.1.7  虚拟机启用防病毒功能

(1)     重启DSM虚拟机（安装亚信安全管理中心软件的虚拟机），使能虚拟机的防病毒功能，具体步骤请参见5.4  管理H3C CAS CVK虚拟化主机～5.6  激活虚拟机安全防护功能。

(2)     进行虚拟机病毒防护验证，具体步骤请参见5.7.1  执行病毒防护验证。

6.2  在线升级1（不中断业务）

CAS CVM虚拟化管理平台版本升级前后，CAS版本适配的亚信虚拟化主机安全组件版本没有变化的情况下，无需卸载和重新安装亚信虚拟化主机安全组件，可以实现不中断业务的在线升级。

 

6.2.1  升级CAS版本

 

(1)     将升级包拷贝到CVM主机上。

(2)     登录CVM虚拟化管理平台，关闭集群的HA功能。

(3)     升级前，将一台CVK主机上的所有虚拟机迁移到其他CVK主机上，使其中一台CVK主机上无虚拟机。

(4)     使用SSH连接CVM主机，使用tar –xvf 命令解压缩升级包，执行命令./upgrade.sh进行CAS版本的升级。

(5)     重启无虚拟机的CVK主机，将另一台CVK1主机上的所有虚拟机迁移至该CVK主机，然后重启CVK1主机。

 

(6)     其它CVK主机请重复(5)。

(7)     重启CVM主机。

 

(8)     登录CVM虚拟化管理平台，开启集群的HA功能。

6.2.2  亚信安全管理中心重新激活虚拟机安全防护功能

(1)     重启DSM。

(2)     在亚信安全DSM安全管理中心界面导航菜单栏中，选择[计算机]菜单项，在工具栏中，右键单击添加的Virtual Center名称，选择[立即同步]。

图6-9 同步数据

 

(3)     同步完成后查看主机和虚拟机的管理状态。重新激活管理主机，具体步骤请参考5.4  管理H3C CAS CVK虚拟化主机，重新为虚拟机分配策略，具体步骤请参考5.6  激活虚拟机安全防护功能。确保主机和虚拟机均被正常管理、病毒防护正常。

 

6.2.3  执行病毒防护验证

病毒防护验证的具体步骤请参考5.7.1  执行病毒防护验证。

6.3  在线升级2（不中断业务）

从CAS E0709版本开始集成的是亚信DSHA 10.5.0-6224及以上版本，支持对DSVA从8.0.0.6009起的在线升级。

6.3.1  升级CAS版本

 

(1)     将升级包拷贝到CVM主机上。

(2)     登录CVM虚拟化管理平台，关闭集群的HA功能。

(3)     升级前，将一台CVK主机上的所有虚拟机迁移到其他CVK主机上，使其中一台CVK主机上无虚拟机。

(4)     使用SSH连接CVM主机，使用tar –xvf 命令解压缩升级包，执行命令./upgrade.sh进行CAS版本的升级。

(5)     重启无虚拟机的CVK主机，将另一台CVK1主机上的所有虚拟机迁移至该CVK主机，然后重启CVK1主机。

 

(6)     其它CVK主机请重复6.2.1  (5)。

(7)     重启CVM主机。

 

(8)     登录CVM虚拟化管理平台，开启集群的HA功能。

6.3.2  升级亚信安全防病毒主机安全组件

升级亚信安全防病毒主机安全组件的方法和安装亚信安全防病毒主机安全组件方法一致。在安装亚信安全防病毒组件时会检查CAS主机上是否已经安装亚信安全防病毒组件，如果已安装则会先卸载再安装亚信安全防病毒组件。具体操作步骤请参考5.3  安装虚拟化主机安全组件。

升级完亚信安全防病毒主机安全组件之后需要到DSM上重新激活安全虚拟机，详细步骤请参考5.6  激活虚拟机安全防护功能。

 

6.3.3  升级亚信安全防病毒前端驱动

亚信安全防病毒前端驱动集成在CAStools中，因此，升级亚信安全防病毒前端驱动的过程和升级虚拟机CAStools的过程一致。若虚拟机开启了“CAStools自动升级”功能，则亚信安全防病毒前端驱动会自动升级到最新版本，否则需要手动升级。

登录H3C CAS CVM虚拟化管理平台，单击“云资源 > 虚拟机”。勾选目标虚拟机，单击<批量操作>按钮，选择“启动”，待所有目标虚拟机启动完成后，升级虚拟机的CAStools。

图6-10 批量升级虚拟机的CAStools

 

升级完前端驱动后应进行虚拟机病毒防护功能验证，具体步骤请参见5.7.1执行病毒防护验证。

6.3.4  升级亚信安全管理中心

亚信安全管理中心不要求总是保持最新版本，但是为了最佳使用体验，请将亚信安全管理中心升级到和CAS管理平台版本匹配的最新版本。

升级亚信安全管理中心的过程中不影响CAS管理平台上的虚拟机的防护功能。

亚信安全管理中心升级过程如下：

(1)     下载亚信安全管理中心安装包（以10.5.5220版本为例）。

图6-11 亚信安全管理中心安装包

 

(2)     双击安装包，运行安装程序。

图6-12 运行安装包

 

(3)     选择要安装的语言版本，然后单击<确定>按钮。

图6-13 选择语言

 

(4)     欢迎界面单击<下一步>按钮。

图6-14 欢迎界面

 

(5)     许可协议界面选择“我接受亚信安全许可协议的条款”，单击<下一步>按钮。

图6-15 许可协议

 

(6)     升级验证界面选择修复“现有的安装版本（保留当前配置）”，单击<下一步>按钮。

图6-16 升级验证

 

(7)     查看安装信息页面，确保信息无误后单击<安装>按钮，开始安装，安装过程会持续几分钟。

图6-17 安装信息

 

(8)     单击<完成>按钮，亚信安全管理中心升级成功。

图6-18 安装完成

 

6.3.5  执行病毒防护验证

病毒防护验证的具体步骤请参考5.7.1  执行病毒防护验证。

7 注意事项

·     在亚信官网注册时确保注册信息的准确性，请务必注意以下两点。

a.     最终用户公司全称和地址：用户需提供完整的公司全称（企查查官网：https://www.qcc.com必须可以查询到该公司）和地址，否则无法注册。

b.     最终用户技术联络人手机：用户需填写实际最终技术联络人手机号，系统将做唯一性验证，如果手机号已绑定其他用户将无法注册。

·     在亚信安全管理中心激活设备时，请务必选择“安全配置文件”为“无”，否则可能造成无法正常访问H3C CAS CVM虚拟化管理平台的问题。

·     在亚信安全管理中心建议不要为安装了DSM的虚拟机分配包含DPI规则和防火墙规则的安全配置文件，否则会造成亚信安全中心无法正常管理H3C CAS CVM虚拟化主机和虚机等问题。

·     DSM中收集CVK数据诊断包时请勿勾选"系统信息参数"，否则会引起CVK主机挂死。

·     E0535之前CAS版本，在线迁移虚拟机（已启用防病毒）会概率出现CAStools命令执行失败、卸载亚信前端驱动失败。建议关闭虚拟机（中断业务）、关闭防病毒后再迁移虚拟机，迁移完成后再启动虚拟机、开启防病毒。

·     启用防病毒后在线热添加CPU，虚拟机会出现严重卡顿或者蓝屏重启。建议关闭虚拟机后再调整CPU个数。

·     在较新CAS版本上使用较低内核CAS版本的开启防病毒的虚拟机（可以是通过模板部署，导入虚拟机，虚拟机还原等），需要重新开启防病毒。

·     通过桌面池部署的虚拟机，防病毒状态没有开启（模板开启了防病毒），请手动开启。

·     当新部署的虚拟机完成castools升级后，此时批量开启防病毒配置，第一次大概率会出现报错全部自动安装防病毒失败，但实际已开启成功----不影响功能使用，受tools超时时间限制。

·     开启防病毒的虚拟机不支持在线带内存快照/还原，不支持休眠/启动。不支持虚拟机暂停状态下迁移，否则虚拟机可能出现严重卡顿，可通过重启虚拟机恢复。

·     目前不支持在线关闭防病毒配置，如虚拟机不想使用防病毒功能了，需将虚拟机关闭后再去关闭其防病毒配置。

·     开启防病毒的虚拟机导出OVF模板后再导入，虚拟机防病毒功能是关闭的。

·     当CAS版本升级后为虚拟机启用防病毒时，请务必将虚拟机的castools升级后再等待一段时间后再开启防病毒。

·     现场环境使用linux虚拟机启用防病毒时，请基于标准linux系统内核启用防病毒。若客户基于标准linux系统做过内核升级加固，防病毒功能将不可用。

·     对启用防病毒功能的虚拟机，进行备份/创建还原点后，对防病毒状态进行过变更后再进行还原，需要重新使能一次防病毒的配置才能生效。因为虚拟机备份/创建还原点后，如果做过防病毒状态的变更，再还原，虚拟机前台防病毒的状态和后台xml中的状态可能出现不一致。需要还原后重新去使能一下防病毒的配置。

·     虚拟机启用防病毒且已被亚信DSM管理，HA批量迁移10台虚拟机至另一主机，迁移完成5分钟以上，对端主机相应目录下才能查看到虚拟机uuid，DSM相应功能才生效，此时DSM上有虚拟机迁移的告警信息但不影响正常杀毒等功能。在此期间对虚拟机进行杀毒/dpi/防火墙测试，功能均不会生效，整个处理过程有点慢。

·     E0513H09，E0530H08之前的版本，请勿在CAS前台界面为win2003启用防病毒功能。

·     虚拟机已开启过防病毒配置且已查询到相应服务，关闭虚拟机，关闭防病毒配置，当再次开启虚拟机，仍可查看到亚信相关服务，不过已不能杀毒，不影响功能使用。

·     关于如何规避亚信安全1007596规则？

当安装DS后，一般会给虚拟机下发策略，例如：2008、XP等等。但这些策略里面都包含了1007596这条规则。而目前这条规则存在问题。所以必须要取消该策略。否则下发后会报错。

取消方法如下，以下以2008安全配置文件为例。其他的安全配置文件修改方法类似。

c.     打开以下界面，鼠标右键单击“Windows server 2008”，选择“详细信息”。

 

d.     选择“入侵防御”，点击分配/取消分配规则，在搜索栏输入1007596，会出现该策略。取消勾选该策略，单击<确定>按钮。

 

·     双机热备环境，建议将防病毒软件保存到共享目录或者模板存储中（确保主备CVM都能访问模板存储），若保存在本地目录，则双机热备切换后需要重新上传防病毒软件包。

·     E0535H03及以上版本虚拟机冻结恢复后，虚拟机会概率出现病毒防护失效。

·     当虚拟机迁移失败，原因：internal error: connection closed due to keepalive timeout，可能会造成虚拟机防病毒不生效。

·     快速克隆后的虚拟机，防病毒标签未开启，需要重新开启防病毒标签。

·     CAS版本升级后，更新防病毒升级包后小概率出现单台CVK服务器上linux虚拟机防病毒不生效，windows虚拟机生效。环境中其余CVK上linux杀毒正常。规避方法：重新上传亚信防病毒升级包恢复环境正常杀毒。

·     概率出现主机进入维护模式，虚拟机自动迁移至其他主机，亚信管理界面上虚拟机的状态从管理变成了未管理，一直未恢复。规避方法：从DSM一侧重新激活未管理的虚拟机，并分配安全配置文件。