Hyper-V üzerine Antivirüs yazılımı kurulmalı mı?

Ben Hosta kurmustum  test amacli , performansi gercekten cok dusurdu, Cunku   real time scan yapan AV  , calisan vhd dosyasini okumak istiyor, bazen okumaya calisinca sistemi durduyordu, vhd dosyasini bozabiliyor.  xml config dosyalarini da exclude ettim fakat nafile. 

Sana tavsiyem  hangi antivirus programi  olursa olsun sakin Host uzerine kurma, Guest uzerine kurabilirsin. Hic bir sorun cikmiyor.

Normalde tavsiye edilen VHD, VSV, ISO, AVHD, VFD, ve XML dosyaları ile VMMS.EXE, VMWP.EXE, VMSWP.EXE process'lerinin exclude edilmesi. Ama bunlar da işe yaramıyor, yine de problem çıkarıyor diyorsun.

her iki türlü de riske girilmiş oluyor. birinde virüs bulaşırsa tüm VM'lerinin tehlikeye girme riski, diğerinde AV programının vhd dosyalarını bozma riski.

AV kullanan veya kullanmayanlardan yorumlar rica ediyorum.

Merhaba,

Hyper-V sunucularınıza antivirüs kurmayabilirsiniz ancak gerekli önlemleri almış olmalısınız. Bu önlemlerden bazılarını aşağıda kısaca özetliyorum.

- Hyper-V Host olarak Windows Server 2008 R2 Full installation yerine Core installation yada Hyper-V Server 2008 R2 tercih edin. Bu disk footprint'in düşük olmasını yani disk üzerinde minimum code olmasını sağlayacak. Bir diğer avantajı da Host üzerine minimum hotfix geçilecek olması çünkü bahsettiğim sürümler üzerinde sanallaştırma tarafında ihtiyacınız olmayan bir çok role bulunmaz. Windows Server 2008 Core üzerine ilk 14 ayda, toplam boyutu 80mb ocivarı olan 19 hotfix geçilmişti. Yani minimum güvenlik açığı.

- Hardening uygulayın. Windows Server 2008 R2 Core installation yada Hyper-V Server 2008 R2 üzerinde hala ihtiyacınız olmadığını düşündüğünüz servisler varsa, bunları disable edin. Local yada domain tarafındaki grup üyeliklerini, kullanıcı erişim izinlerini ve yöntemlerini doğru konfigüre edin. Host'larınızın domain member olmasını tavsye ederim.

- Host'larınızın fiziksel güvenliğini sağlayın. Mutlaka bir power-on psswd kullanın. CD/DVD ve USB Disk gibi aygıtların otomatik çalışmasını mutlaka engelleyin.

- Host'lar üzerinde Windows Firewall'u disable etmeyin. Host management ve domain iletişimi için minimum gereksinimleri karşılayacak şekilde yapılandırın. Ör: herkes bu sunucuya dosya paylaşımı üzerinden yada RDP ile erişememeli.

- Networking tarafında mutlaka segmentasyon yapın ve Hyper-V Host management network'ünü diğer netowork'lerden ayırın. Bu yapı, network üzerinden gerçekleşebilecek worm yada benzeri zararlı yazılım ataklarından Host'larınızı korumanıza yardımcı olur.

Ama!, şirket politikaları yada farklı durumlardan ötürü host'larınız üzerine antivirüs kurmanız gerekiyor ise, AV üzernde aşağıdaki listeyi tarama dışı bırakın.

• Default virtual machine configuration directory (Normally this is C:\ProgramData\Microsoft\Windows\Hyper-V)


• Custom virtual machine configuration directories


• Default virtual hard disk directory (Normally this is C:\Users\Public\Documents\Hyper-V\Virtual Hard Disks)


• Custom virtual hard disk directories


• Snapshot directories


• Vmms.exe


• Vmwp.exe

Bu listeyi tarama dışı bırakmak çoğu senaryoda işe yarayacaktır ancak kullandığını AV'nin çalışma karakteristiğine göre perfomansa olan etki farklı olabilir.

İlerleyen günlerde "Antivirüs Olmadan Hyper-V Host Güvenliğini Sağlamak" konulu bir makale hazırlayacağım. Bilginiz olsun.

Çok teşekkürler. yerli-yabancı hiçbir sitede bu tarz bir yorum bulamamıştım.

O
zaman benim anladığım sizin de aslında şirket politikaları gibi
yaptırımlar olmasa sizin tercihiniz yukarıdaki önlemleri alarak Core
kurmak olurdu. Benim de kafama yatan Core kurulum yaparak antiviürs kurmamak şu an.

Serhat hocam ufak bir makale tadında olmuş bile verdiğiniz bilgiler; [:)]

Teşekkürler;

Başka bir yoruma gerek duymadan Hyper-V'leri Core olarak kurmaya başladım bile.

Teşekkürler yorumlarınız için.

Özür dilerim ancak bu konuyu hortlatmak zorundaydım. 🙂

Anladığım ve üzerinde sanal koşulan sistem performansı için doğru olan; 

1- Host olan sisteme Antivirus kurmuyoruz. 

2- Workstation sanallaştırması varsa yalnızca istemci üzerindeki işletim sistemi üzerine kuruyoruz. Outlook vb. veya internetten gelecek tehditlere karşı tedbir olması için.

Hern kadar şurada  http://www.cozumpark.com/forums/thread/117333.aspx  ucundan değinilse de tam cevaplanmamış bir sorum olacak. SQL Server ın kullanıldığ bir sunucuda antivirüs kullanmak doğru mudur?..

Bir vakit SQL Server ın direkt host üzerine kurulduğu durumda malesef Antivirus yazılımının azizliğine uğramıştım. Netsis e ait birçok exe ve dll dosyasına Truva atı muamelesi yaptı. Eminim ki o dosyalarda sonradan bulaşan bir virüs yoktu. Bu sebeple tam bilgi sahibi oluncaya dek SQL Server+ERP+CRM yazılımlarının tutulduğu gerçek veya sanal sunucularda virüs yazılımı kullanmamanızı tavsiye ederim. Kullanıyorsanız dahi SQL ve ERP yazılım dizinlerini tarama dışında tutun 🙂

İşletim sistemleri bir yana artık akıllı telefonlar için bile antivirus yazılımı geliştiriliyor. Son yıllarda artık virus programları kaynak tüketimi konusunda son derece geliştirildi bu nedenle bu platformlarda antivirus kullanmanızda yarar var. Bu kadar önemli ise performans v.s. hyper-v sisteminde sizde hyper-v yi core olarak kuraiblirsinizki, hyper-v hostu olacak makinada zaten adam akıllı makina olmak durumunda. 

Merhaba,

Konu hakkında oldukça başarılı yorumlar yapılmış aslında ve ben esasen SQL Server ile ilgili bilgimi paylaşmak istiyorum. SQL Server için Microsoft ürün ekibinin önerisi genellikle AV kurulmaması yönünde olur. Ancak güvenlik ile ilgili birimlerle görüştüğünüzde AV olmamasını bir güvenlik zaafiyeti olarak görürler. Hyper-V'de olduğu şekilde exclusion'lar eklenerek AV kullanılması doğru olur kanaatindeyim.

Aslında benzer bir durum Hyper-V için de geçerli denilebilir. Şahsen Hyper-V sunucularında AV kurulumu yapıyorum ancak ilk cevaplarda da belirtildiği şekilde mutlaka exclusion'ları ekliyorum ve şimdiye kadar bir sorun ile karşılaşmadım. Bu şekilde bir yöntem benimsememin en önemli sebebi bugünün şartlarında bir virüs sadece bulaştığı makine üzerinde iş yapmıyor, network üzerinde diğer sunuculara da bulaşmaya çalışıyor. En azından yönetim amacıyla da olsa Hyper-V host'larına kendi bilgisayarınızdan, DC'lerden, VMM server, SCOM server gibi yerlerden erişim olacak ve bu sunucuların temiz olmasını her zaman mümkün olmayabilir. O yüzden kurmak gerekir diye düşünüyorum.