- 建设内容
在主、备机房各新增一套存储，并且配置支持存储双活的存储网关设备，用于搭建存储层面双活方案。
- 业务系统备份规划
生产系统在运行过程中可能出现的故障和危险主要存在以下几类：
- 业务主机部分数据受损
- 业务主机全部数据受损
- 业务主存储受损
针对主机系统的故障，如果存储系统出现故障，业务系统将会完全失效。因此，存储高可用体系建设中，能够防范存储系统的故障以及将故障的处理和恢复尽量局限在小范围内进行而且恢复快捷，存储系统的作用就发挥的好。存储网关虚拟化方案，就能够做到针对存储设备的致命故障确保业务立即运行，而且往往利用本地的存储网关技术就能够完成业务的恢复，使系统具有了对于存储系统故障的免疫能力。
一言以蔽之，当你面临以上所述的系统危险的任何种类时，存储网关的存储方案均能够轻松化解。本节将详细说明各种故障发生时，存储网关如何对用户环境中的业务主机进行接管和恢复。
- 业务系统部分数据受损
由于误操作或病毒入侵等原因，业务系统出现部分数据丢失的情况，业务系统本身还在远行中。面对这种灾难，可以通过存储网关挂载快照的功能，由系统管理员确定某一数据库完好的那个时刻点的数据快照，然后通过管理选择此快照并将此挂载至此主机平台，此过程可在分钟级完成；在业务主机中会多一个存储设备，将此设备中的数据打开，将对应的数据回拷到原生产业务系统对应的磁盘中，恢复生产即可。
- 业务系统全部数据受损
当业务系统发生所有数据逻辑受损时，以致于业务主机无法正常工作。这种事件发生时，通过存储网关能够快速恢复业务应用，具体操作步骤有：首先可通过系统管理员确定在存储网关中保留的某一时间点数据完好（此过程也可采用将历史快照点，挂载至其它虚拟机或虚拟平台验证测试），当业务主机某一快照点的数据验证正确后，将此业务主机关机，确保无任何数据访问；然后在在存储网关管理器中使用Rollback的机制将快照数据回滚到当前的磁盘状态；再将回滚后的磁盘重新分配给此主机，并在主机上验证分配无误后；最后将在业务主机开启所有业务，恢复此主机上所有业务主机的生产。
- 生产存储发生故障
由于生产存储与新购存储通过存储网关管理器设定为镜像关系。当生产存储出现故障时，镜像存储会自动接管业务，不会影响业务的正常运行。待生产存储修复后，存储网关管理器会自动将将数据再镜像回到生产存储中。因此，主存储发生故障，不影响业务生产，确保业务生产的连续性。
- 建设内容
新增一套备份软件，部署统一管理、自动化策略的备份平台，用于保护业务系统数据安全。
- 云安全防护规划概述
目前，信息化发展迅猛，云计算和虚拟化是国家近年发展之重点。伴随地方医院城市云规划逐步到位，开始项目实施，工信部、科技部也逐步完善了在“十二五”期间对我国公共云计算市场的整体规划和指导意见。中国医院云计算市场政策规划日益完善。根据计世资讯统计显示，2012年中国云计算市场规模为181.6亿元，比同期增长44.4%；2013年市场规划规模达到266.2亿元，增长率达到46.6%。云计算市场规模持续扩大，并逐步进入成熟期。
然而，虚拟化技术实际上是一把双刃剑，尤其在信息安全方面。这要从虚拟化平台的特点说起，虚拟化技术具有各种令人惊叹的优势，这些优势无不是依仗虚拟化的一个特性——资源高度集中。数据存储的集中，使医院得以安全管理重要机密文件；服务的集中，使医院办公系统和网站运营系统能够更加高效稳定；IT资源的集中，使医院的运维管理成本更加低廉。然而，集中也带来致命的弊端，一旦承载虚拟化平台的电脑系统出现问题，医院办公将受到牵连，严重时还可能使整个系统瘫痪。
当前，国内的互联网环境越来越复杂，医院遭遇到病毒入侵、钓鱼诈骗以及APT攻击愈加频繁，要保证医院核心数据、主要业务及办公系统的安全，部署一套信息安全系统已是业内的普遍共识。然而虚拟化系统区别于普通的办公、运营系统，资源集中使虚拟化平台在部署安全系统方面与普通系统有着本质的区别，所以，我们要在建设云平台的同时也要考虑云安全的建设。
- 云安全规划
（1）总体概述
本方案的虚拟化系统安全软件采用了基于ESXi层的无代理模式，能够从最底层保护虚拟化系统的信息安全，从而大大降低了安全系统对虚拟化平台的影响，避免了安全风暴的产生。
有代理模式就是在每台虚拟机中安装独立的*毒软件，当进行全网扫描时，整个虚拟化网络很有可能出现大量资源被占用的情况，系统速度将严重降低甚至出现宕机，这种情况在信息安全领域称为安全风暴。所谓无代理模式，就是在虚拟化平台的最底层部署安全系统，从“根部”保护整个平台的安全。相对于无代理模式，传统的有代理模式是在平台中的每一台虚拟机上安装*毒软件终端，这种模式虽然能够一定程度上保护虚拟机的安全，但是却无法规避安全风暴。一旦碰到同一平台内的多台虚拟机需要同时进行安全扫描，虚拟平台就将面临运行效率骤降、虚拟网络拥堵，甚至整个平台崩溃等风险。无代理模式的虚拟化系统解决方案就没有上述问题，因为安全系统安装在最底层，安全扫描也在最底层进行，这不但避免了*毒软件庞大的病毒库在不同的虚拟机内重复安装，同时还能规避*毒时引起的安全风暴。可以说，只有采用无代理模式，才能真正解决虚拟化平台的信息安全问题。
（2）详细规划
本方案的虚拟化系统安全软件采用分布式的体系结构，整个防病毒体系是由五个相互关联的子系统组成：管理中心、安全虚拟设备、日志中心、升级中心、查*协作。各个子系统协同工作，共同完成对整个虚拟化平台的病毒防护工作，为用户的虚拟化系统提供全方位防病毒解决方案
图：总体架构
本方案的虚拟化系统安全软件采用分布式体系，结构清晰明了，管理维护方便。管理员只要拥有管理员账号和口令，就能在任何一台安装有浏览器的终端登录管理控制台，实现对整个网络上所有客户端的集中管理。
管理中心
一个强大的基于 Web 的集中式管理系统，管理员可以通过它来创建和管理全面的安全策略，跟踪威胁并记录针对这些威胁所采取的预防处理措施。管理中心提供管理控制台，管理员可轻松、快速的通过Web方式登录、导航至特定信息并进行详细分析。
安全虚拟设备
安全防护的核心组件，集成了瑞星防病毒的查*引擎，对与其在同一台物理主机（ESXi）上的其它所有虚拟机（GVM）执行安全防护。它支持在访问文件时监控并进行扫描，以及主动扫描各虚拟机的文件。安全防护虚拟设备以OVA文件的形式由瑞星提供，管理员可通过管理中心直接部署到物理主机，每台物理主机只部署一个安全虚拟设备，安全虚拟设备不支持vMontion，即不可被迁移。
日志中心
虚拟化系统安全软件各个组件提供日志上报的接口。各系统组件通过它将警报、事件、查*日志等上报到管理中心。日志中心可以单独部署，也可以与管理中心部署在同一台服务器。瑞星虚拟化系统安全软件支持部署多个日志中心，以实现负载均衡应对大数据量日志的上报存储。
升级中心
通过http协议向瑞星虚拟化系统安全软件其它组件提供升级服务，升级中心定时检查瑞星官网升级网站是否有版本更新，若有则执行更新并下载更新文件。其它子系统不能直接从瑞星官网升级，而是通过升级中心获取最新版本的文件。升级中心可与管理中心部署在同一台服务器，也可以单独部署。升级中心接受管理中心的控制，执行管理中心下发的升级命令、策略，并向管理中心上报升级日志。升级中心可以实现级联，即升级中心可以通过瑞星官网更新文件，也可以通过其它的升级中心获取最新版本的文件。
查*协作
轻量化高性能软件组件，可选安装在被保护的虚拟机上，配合安全虚拟设备实现查毒后的隔离及后处理操作。
- 建设内容
新增一套趋势科技针对虚拟环境提供全新的信息安全防护方案——DeepSecurity，通过病毒防护、访问控制、入侵检测/入侵防护、虚拟补丁、主机完整性监控、日志审计等功能实现虚拟主机和虚拟系统的全面防护，并满足信息系统合规性审计要求。针对银行证券的服务器虚拟化面临的风险，建议采用趋势科技的虚拟化解决方案，构建虚拟化平台的基础架构多层次的综合防护。
- 病毒防护防护
传统的病毒针防护解决方案都是通过安装Agent代理程序到虚拟主机的操作系统中，在整合服务器虚拟化后，要实现针对病毒的实时防护，同样需要在虚拟主机的操作系统中安装防病毒Agent程序，但是服务器虚拟化的目的是整合资源，最大化的发挥服务器资源的利用率，而传统的防病毒技术需要在每个虚拟主机中安装程序，例如：一台服务器虚拟6台主机，传统方法将Agent需要安装6套，并且在制定扫描任务就需要消耗虚拟主机的计算资源，这种方式并没有达到节约计算资源的效果，反而增加了计算资源的消耗，并且在病毒库更新是带来更多的网络资源消耗。
趋势科技针对虚拟化环境提供创新的方法解决防病毒程序带来的资源消耗问题，通过使用虚拟化层相关的API接口实现全面的病毒防护。由于XXX医院为VMware虚拟化环境所以将针对这个系统进行描述，具体如下：
- 针对VMware虚拟系统，实现底层无代理病毒防护
趋势科技针对VMware虚拟系统中通过VMshield接口实现针对虚拟系统和虚拟主机之间的全面防护，无需在虚拟主机的操作系统中安装Agent程序，即虚拟主机系统无代理方式实现实时的病毒防护，这样无需消耗分配给虚拟主机的计算资源和更多的网络资源消耗，最大化利用计算资源的同时提供全面病毒的实时防护。
- 访问控制
传统技术的防火墙技术常常以硬件形式存在，用于通过访问控制和安全区域间的划分，计算资源虚拟化后导致边界模糊，很多的信息交换在虚拟系统内部就实现了，而传统防火墙在物理网络层提供访问控制，如何在虚拟系统内部实现访问控制和病毒传播抑制是虚拟系统面临的最基本安全问题。
趋势科技DeepSecurity 防火墙提供全面基于状态检测细粒度的访问控制功能，可以实现针对虚拟交换机基于网口的访问控制和虚拟系统之间的区域逻辑隔离。DeepSecurity的防火墙同时支持各种泛洪攻击的识别和拦截。
- 入侵检测/防护
同时在主机和网络层面进行入侵监测和预防，是当今信息安全基础设施建设的主要内容。然而，随着虚拟化技术的出现，许多安全专家意识到，传统的入侵监测工具可能没法融入或运行在虚拟化的网络或系统中，像它们在传统企业网络系统中所做的那样。
例如，由于虚拟交换机不支持建立SPAN或镜像端口、禁止将数据流拷贝至IDS传感器，网络入侵监测可能会变得更加困难。类似地，内联在传统物理网区域中的IPS系统可能也没办法轻易地集成到虚拟环境中，尤其是面对虚拟网络内部流量的时候。基于主机的IDS系统也许仍能在虚拟机中正常运行，但是会消耗共享的资源，使得安装安全代理软件变得不那么理想。
趋势科技DeepSecurity在 VMware的VMsafe接口可以对虚拟交换机允许交换机或端口组运行在“混杂模式”，这时虚拟的IDS传感器能够感知在同一虚拟段上的网络流量。DeepSecurity除了提供传统IDS/IPS系统功能外，还提供虚拟环境中基于政策的（policy-based）监控和分析工具，使DeepSecurity更精确的流量监控、分析和访问控制，还能分析网络行为，为虚拟网络提供更高的安全性。
趋势科技DeepSecurity同时虚拟系统中占用更少的资源，避免过度消耗宿主机的硬件能力。
- 虚拟补丁防护
随着新的漏洞不断出现，许多公司在为系统打补丁上疲于应付，等待安装重要安全补丁的维护时段可能是一段艰难的时期。另外，操作系统及应用厂商针对一些版本不提供漏洞的补丁，或者发布补丁的时间严重滞后，还有最重要的是，如果IT人员的配备不足，时间又不充裕，那么系统在审查、测试和安装官方补丁更新期间很容易陷入风险。
趋势科技DeepSecurity通过虚拟补丁技术完全可以解决由于补丁导致的问题，通过在虚拟系统的接口对虚拟主机系统进行评估，并可以自动对每个虚拟主机提供全面的漏洞修补功能，在操作系统在没有安装补丁程序之前，提供针对漏洞攻击的拦截。趋势科技DeepSecurity的虚拟补丁功能既不需要停机安装，也不需要进行广泛的应用程序测试。虽然此集成包可以为IT人员节省大量时间。
- 完整性审计
趋势科技DeepSecurity产品可以针对系统支持依据基线的文件、目录、注册表等关键文件监控和审计功能，当这些关键位置为恶意篡改或感染病毒时，可以提供为管理员提供告警和记录功能，从而提供系统的安全性。
- 日志审计和报表功能
每发生一次重大的数据泄密事件（譬如英国零售商TK Maxx和美国农业部的泄密事件）或者每出台一部新的法规，安全重点似乎都要从“阻挡坏人”的传统办法转向全面的安全机制，以进一步分析IT活动。
现在，服务器系统日志和应用程序日志正以惊人的速度生成，这就可以详细记录下来IT活动。如果某位满腹牢*的员工企图窃取数据，访问了含有机密信息的数据库，日志就有可能记录下他的一举一动，那样别人只要检查日志，就能确定是谁在什么时候从事了什么活动。日志提供了线索，企业利用这些线索就能追查所有用户（不管是否不怀好意）的行踪。
由此可见，对日志进行管理会给组织带来许多好处。它们让组织意识到面临的情况，并帮助组织开展行之有效的调查，例行的日志检查及深入分析保存日志不但可以立即识别出现不久的安全事件、违反政策情况、欺诈活动以及运作问题，还有助于提供有用的信息，从而解决问题。
趋势科技DeepSecurity提供全面的系统日志和详尽的报告功能，除了记录自身的各功能日志外，还可以将虚拟主机操作系统日志结合DeepSecurity自身日志进行统一的统计和分析，日志系统还可以生成符合国际相关安全规范的报表。DeepSecurity通过对日志进行分析可以让管理员跟踪IT基础设施的活动，评估服务器数据泄密事件是否发生、如何发生、何时发生、在何处发生的有效方法。
- DeepSecurity适用于物理、虚拟和云服务器的全方位安全平台
虚拟化和云计算使当今的数据中心改换了面貌。但随着各组织纷纷从物理环境迁移至集物理、虚拟以及私有云和公共云于一体的综合环境，许多组织仍然 沿用之前的多种传统安全解决方案来应对当前流行的威胁形势。在虚拟环境中，这会增加操作复杂性、降低主机性能和虚拟机密度。在云环境中，传统安全解决方案 会造成安全空白，从而影响将关键业务应用转移至灵活的低成本云环境的信心。不幸的是，这将导致无法充分利用虚拟化和云计算技术，从而难以实现投资回报率最 大化。
趋势科技服务器深度安全防护系统Deep Security 提供了一种全方位服务器安全平台，旨在保护您的数据中心和云平台免遭数据泄露和业务中断，并降低运营成本。可以以多种方式组合使用的模块包括防恶意软件、 Web信誉、防火墙、入侵阻止、完整性监控和日志检查，以确保物理、虚拟和云环境中服务器的应用程序以及数据的安全。这是业内首个适用于VMware 的无代理安全解决方案，也可在所有平台上作为多功能安全客户端使用。无论是以上哪种用途，Deep Security 都可以简化安全操作，同时提升虚拟化和云环境的投资回报率。
