虚拟化应用:稳定第一,但不能放弃“性能” 虚拟化

2014-03-18    来源:天极网    编辑:佚名
作为提升信息化效率、降低成本的重要手段,虚拟化是每一个企业在信息化道路上所必需跨过的一道门槛。

  作为提升信息化效率、降低成本的重要手段,虚拟化是每一个企业在信息化道路上所必需跨过的一道门槛。为了全面推进虚拟化进程,避免安全失控的风险,中信证券股份有限公司(以下简称:中信证券)携手全球服务器安全、虚拟化及云计算安全领导厂商趋势科技,采用无代理特性的趋势科技Deep Security,全面化解虚拟机防毒扫描风暴(AV Storms)难题,在虚拟化安全统一管理平台上实现了更稳、更快的目标,让业务连续性管理(Business Continuity Management,简称BCM)水平不断提升。

  稳定第一,但不能放弃“性能”

  作为一家知名的全国性综合类证券公司,中信证券在统一营业部系统、开通网上交易、实现广域网连接、数据中心虚拟化等方面,都在我国证券行业处于“旗标”位置。随着中信证券对虚拟化技术的深入探究,信息技术中心对自身的IT基础架构进行了虚拟化改造,在北京、深圳、青岛三大数据中心搭建了虚拟化平台,并将测试网中大部分服务器迁移到了VMware虚拟化平台。

  在坚持守法合规经营、严格控制各类风险的规划目标下,中信证券对应用测试环境的部署效率,以及测试与生产环境一致性的要求变得越来越高。而在40多台VMware ESX 服务器上,既要实现1:50的虚拟机密度,又要同时保护千余台虚拟机的安全运行,这让运维部门工作压力越来越重。

  据中信证券信息技术中心的工程师介绍:稳定第一,但不是说我们会放弃性能。虚拟化系统在响应速度和性能方面的表现,将直接关系到最终用户在使用相关服务时的用户体验,这可以说是中信证券服务质量中最重要的一环。但由于传统防病毒软件不是针对虚拟化而设计,虚拟机上安装传统防病毒软件后,当所有的虚拟机进行预设扫描时,VMware虚拟化平台的CPU利用率、I/O读写等都变得非常高,访问延迟让人无法接受。因此,虚拟化安全已经变成了网络中的防护弱点,更是保障业务连续性不得不面对的挑战。

  聚焦“无代理”特性, Deep Security 屡立战功

  对中信证券来说,提前一步发现了虚拟化防毒可能带来的“性能锐减”问题,对全面推进、并最终在生产网络上实现虚拟化架构则是“一件好事”。这可以提前把虚拟化安全风险降至最低,让安全策略与防毒管理提前适应架构的变化。为此,中信证券对市场上所有防毒软件的功能进行了综合评估,同时也与VMware厂商的资深工程师对原有传统病毒防护软件“不适应性”进行了分析。最终,中信证券信息技术中心将目光锁定在基于无代理特性的趋势科技Deep Security身上。

  首先,趋势科技Deep Security的无代理防病毒解决方案集成了VMware的vShield Endpoint技术接口,使VMware虚拟化平台上的所有虚拟机无需安装任何软件就能对病毒、间谍软件、木马等威胁进行查杀;其次,Deep Security有效降低了虚拟机并发全盘扫描、病毒库更新时对VMware虚拟化平台产生的大量资源消耗,不存在防毒扫描风暴(AV Storms)的问题;最后,管理员不但可以利用Deep Security发现藏匿在虚拟网络中的恶意流量,同时还可以利用 VMware vShield技术来保护处于运行状态和休眠状态的虚拟机。

  据了解,中信证券为保障生产网万无一失,首先在测试网部署了Deep Security,并对Deep Security的防护效果、性能、稳定性及兼容性进行测试评估,为虚拟化推至生产网络做足了准备。从2012年底至今,Deep Security稳定运行并在测试网中屡次“杀毒立功”,而Deep Security进行杀毒时所占资源比使用传统防病毒软件有明显减低,随着虚拟机数量的增加,性能方面的优势则更加明显。

  正因如此,中信证券信息技术中心对Deep Security的防毒效果给出了极高的评价:“Deep Security为我们提供了防恶意软件、Web信誉、防火墙、入侵阻止、完整性监控和日志检查,在简化安全操作的同时,大幅提升了虚拟化项目的投资回报率。这些都让我们可以彻底走出虚拟化的尝试阶段,可以最大限度的设计虚拟机密度。未来,中信证券将采用Deep Security的虚拟补丁功能,来解决防护间隙(Instant-On Gap)的难题,让更多的业务、更多的应用汇聚于新一代的虚拟化数据中心。

1
3