ហេតុអ្វី​បាន​ជា​កំចាត់​មេរោគ​បែប​បុរាណ​មិន​ស័ក្តិសម​សម្រាប់​ពពក​សាធារណៈ។ ដូច្នេះតើខ្ញុំគួរធ្វើអ្វី?

អ្នកប្រើប្រាស់កាន់តែច្រើនឡើងកំពុងនាំយកហេដ្ឋារចនាសម្ព័ន្ធព័ត៌មានវិទ្យាទាំងមូលរបស់ពួកគេទៅកាន់ពពកសាធារណៈ។ ទោះយ៉ាងណាក៏ដោយ ប្រសិនបើការគ្រប់គ្រងប្រឆាំងមេរោគមិនគ្រប់គ្រាន់នៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធរបស់អតិថិជន ហានិភ័យលើអ៊ីនធឺណិតធ្ងន់ធ្ងរកើតឡើង។ ការអនុវត្តបង្ហាញថាមេរោគដែលមានស្រាប់រហូតដល់ 80% រស់នៅយ៉ាងល្អឥតខ្ចោះនៅក្នុងបរិយាកាសនិម្មិត។ នៅក្នុងការប្រកាសនេះ យើងនឹងនិយាយអំពីរបៀបការពារធនធាន IT នៅក្នុងពពកសាធារណៈ ហើយហេតុអ្វីបានជាកំចាត់មេរោគបែបប្រពៃណីមិនសមរម្យទាំងស្រុងសម្រាប់គោលបំណងទាំងនេះ។

ដើម្បីចាប់ផ្តើម យើងនឹងប្រាប់អ្នកពីរបៀបដែលយើងទទួលបានគំនិតដែលថាឧបករណ៍ការពារប្រឆាំងមេរោគធម្មតាមិនសមរម្យសម្រាប់ពពកសាធារណៈ ហើយថាវិធីសាស្រ្តផ្សេងទៀតដើម្បីការពារធនធានគឺត្រូវបានទាមទារ។

ទីមួយ អ្នកផ្តល់សេវាជាទូទៅផ្តល់នូវវិធានការចាំបាច់ដើម្បីធានាថាវេទិកាពពករបស់ពួកគេត្រូវបានការពារក្នុងកម្រិតខ្ពស់។ ឧទាហរណ៍ នៅ #CloudMTS យើងវិភាគចរាចរណ៍បណ្តាញទាំងអស់ តាមដានកំណត់ហេតុនៃប្រព័ន្ធសុវត្ថិភាពរបស់ពពករបស់យើង និងអនុវត្តការសាកល្បងជាប្រចាំ។ ផ្នែក Cloud ដែលត្រូវបានបម្រុងទុកសម្រាប់អតិថិជនម្នាក់ៗក៏ត្រូវតែត្រូវបានការពារដោយសុវត្ថិភាពផងដែរ។

ទីពីរ ជម្រើសបុរាណសម្រាប់ការប្រយុទ្ធប្រឆាំងនឹងហានិភ័យតាមអ៊ីនធឺណិតពាក់ព័ន្ធនឹងការដំឡើងឧបករណ៍កំចាត់មេរោគ និងកំចាត់មេរោគនៅលើម៉ាស៊ីននិម្មិតនីមួយៗ។ ទោះបីជាយ៉ាងណាក៏ដោយ ជាមួយនឹងម៉ាស៊ីននិម្មិតមួយចំនួនធំ ការអនុវត្តនេះអាចគ្មានប្រសិទ្ធភាព និងត្រូវការធនធានកុំព្យូទ័រយ៉ាងច្រើន ដូច្នេះហើយអាចផ្ទុកហេដ្ឋារចនាសម្ព័ន្ធរបស់អតិថិជនបន្ថែមទៀត និងកាត់បន្ថយដំណើរការទាំងមូលរបស់ពពក។ នេះបានក្លាយជាតម្រូវការជាមុនដ៏សំខាន់សម្រាប់ការស្វែងរកវិធីសាស្រ្តថ្មីក្នុងការកសាងការការពារប្រឆាំងមេរោគប្រកបដោយប្រសិទ្ធភាពសម្រាប់ម៉ាស៊ីននិម្មិតរបស់អតិថិជន។

លើសពីនេះ ដំណោះស្រាយកំចាត់មេរោគភាគច្រើននៅលើទីផ្សារមិនត្រូវបានកែសម្រួលដើម្បីដោះស្រាយបញ្ហានៃការការពារធនធាន IT នៅក្នុងបរិយាកាសពពកសាធារណៈនោះទេ។ តាមក្បួនមួយ ពួកគេគឺជាដំណោះស្រាយ EPP ដែលមានទម្ងន់ធ្ងន់ (វេទិកាការពារចំណុចបញ្ចប់) ដែលលើសពីនេះទៅទៀត វាមិនផ្តល់នូវការប្ដូរតាមបំណងចាំបាច់នៅលើផ្នែកអតិថិជនរបស់អ្នកផ្តល់សេវាពពកនោះទេ។

វាច្បាស់ណាស់ថាដំណោះស្រាយកំចាត់មេរោគតាមបែបប្រពៃណីគឺស័ក្តិសមយ៉ាងលំបាកសម្រាប់ដំណើរការក្នុងពពក ដោយសារពួកវាផ្ទុកហេដ្ឋារចនាសម្ព័ន្ធនិម្មិតយ៉ាងធ្ងន់ធ្ងរកំឡុងពេលអាប់ដេត និងស្កែន ហើយក៏មិនមានកម្រិតចាំបាច់នៃការគ្រប់គ្រង និងការកំណត់ផ្អែកលើតួនាទីផងដែរ។ បន្ទាប់ យើងនឹងវិភាគលម្អិតអំពីមូលហេតុដែលពពកត្រូវការវិធីសាស្រ្តថ្មីក្នុងការការពារប្រឆាំងនឹងមេរោគ។

អ្វីដែលកំចាត់មេរោគនៅក្នុងពពកសាធារណៈគួរតែអាចធ្វើបាន

ដូច្នេះ ចូរយើងយកចិត្តទុកដាក់លើភាពជាក់លាក់នៃការធ្វើការនៅក្នុងបរិយាកាសនិម្មិត៖

ប្រសិទ្ធភាពនៃការធ្វើបច្ចុប្បន្នភាព និងការស្កេនទ្រង់ទ្រាយធំដែលបានកំណត់ពេល។ ប្រសិនបើម៉ាស៊ីននិម្មិតមួយចំនួនធំដែលប្រើកំចាត់មេរោគបែបប្រពៃណីចាប់ផ្តើមអាប់ដេតក្នុងពេលតែមួយ អ្វីដែលគេហៅថា "ព្យុះ" នៃការអាប់ដេតនឹងកើតឡើងនៅក្នុងពពក។ ថាមពលរបស់ម៉ាស៊ីន ESXi ដែលផ្ទុកម៉ាស៊ីននិម្មិតជាច្រើនប្រហែលជាមិនគ្រប់គ្រាន់ដើម្បីគ្រប់គ្រងរបាំងនៃកិច្ចការស្រដៀងគ្នាដែលកំពុងដំណើរការតាមលំនាំដើមនោះទេ។ តាមទស្សនៈរបស់អ្នកផ្តល់សេវាពពក បញ្ហាបែបនេះអាចនាំឱ្យមានបន្ទុកបន្ថែមលើម៉ាស៊ីន ESXi មួយចំនួន ដែលនៅទីបំផុតនឹងនាំឱ្យមានការធ្លាក់ចុះនៃដំណើរការនៃហេដ្ឋារចនាសម្ព័ន្ធនិម្មិតលើពពក។ ក្នុងចំណោមរបស់ផ្សេងទៀត វាអាចប៉ះពាល់ដល់ដំណើរការនៃម៉ាស៊ីននិម្មិតរបស់ម៉ាស៊ីនភ្ញៀវពពកផ្សេងទៀត។ ស្ថានភាពស្រដៀងគ្នាអាចកើតឡើងនៅពេលចាប់ផ្តើមការស្កេនទ្រង់ទ្រាយធំ៖ ដំណើរការដំណាលគ្នាដោយប្រព័ន្ធឌីសនៃសំណើស្រដៀងគ្នាជាច្រើនពីអ្នកប្រើប្រាស់ផ្សេងៗគ្នានឹងជះឥទ្ធិពលអវិជ្ជមានដល់ដំណើរការនៃពពកទាំងមូល។ ជាមួយនឹងកម្រិតខ្ពស់នៃប្រូបាប៊ីលីតេ ការថយចុះនៃដំណើរការប្រព័ន្ធផ្ទុកនឹងប៉ះពាល់ដល់អតិថិជនទាំងអស់។ ការផ្ទុកភ្លាមៗបែបនេះមិនផ្គាប់ចិត្តអ្នកផ្តល់សេវា ឬអតិថិជនរបស់គាត់ទេ ព្រោះវាប៉ះពាល់ដល់ "អ្នកជិតខាង" នៅក្នុងពពក។ តាមទស្សនៈនេះ កំចាត់មេរោគតាមបែបប្រពៃណីអាចបង្កបញ្ហាធំ។

ការដាក់ឱ្យនៅដាច់ពីគេដោយសុវត្ថិភាព។ ប្រសិនបើឯកសារ ឬឯកសារដែលអាចឆ្លងមេរោគត្រូវបានរកឃើញនៅលើប្រព័ន្ធ វាត្រូវបានបញ្ជូនទៅឱ្យនៅដាច់ដោយឡែក។ ជាការពិតណាស់ ឯកសារដែលមានមេរោគអាចត្រូវបានលុបភ្លាមៗ ប៉ុន្តែជារឿយៗវាមិនអាចទទួលយកបានសម្រាប់ក្រុមហ៊ុនភាគច្រើនទេ។ កំចាត់មេរោគសហគ្រាសសាជីវកម្មដែលមិនត្រូវបានសម្រួលដើម្បីធ្វើការនៅក្នុងពពករបស់អ្នកផ្តល់សេវា ជាក្បួនមានតំបន់ដាច់ដោយឡែកមួយ - វត្ថុដែលមានមេរោគទាំងអស់ធ្លាក់ចូលទៅក្នុងវា។ ជាឧទាហរណ៍ អ្នកដែលរកឃើញនៅលើកុំព្យូទ័ររបស់អ្នកប្រើប្រាស់ក្រុមហ៊ុន។ អតិថិជនរបស់អ្នកផ្តល់សេវាពពក "រស់នៅ" នៅក្នុងផ្នែកផ្ទាល់ខ្លួនរបស់ពួកគេ (ឬអ្នកជួល) ។ ផ្នែកទាំងនេះមានភាពស្រអាប់ និងដាច់ដោយឡែកពីគេ៖ អតិថិជនមិនដឹងអំពីគ្នាទៅវិញទៅមក ហើយជាការពិតណាស់ មិនឃើញអ្វីដែលអ្នកផ្សេងទៀតកំពុងបង្ហោះនៅក្នុងពពក។ ជាក់ស្តែង ការដាក់ឱ្យនៅដាច់ពីគេជាទូទៅ ដែលនឹងត្រូវបានចូលប្រើដោយអ្នកប្រើប្រាស់កំចាត់មេរោគទាំងអស់នៅក្នុងពពក អាចរួមបញ្ចូលឯកសារដែលមានព័ត៌មានសម្ងាត់ ឬអាថ៌កំបាំងពាណិជ្ជកម្ម។ នេះមិនអាចទទួលយកបានទេសម្រាប់អ្នកផ្តល់សេវា និងអតិថិជនរបស់ខ្លួន។ ដូច្នេះ មានតែដំណោះស្រាយមួយប៉ុណ្ណោះ ពោលគឺការដាក់ឱ្យនៅដាច់ពីគេផ្ទាល់ខ្លួនសម្រាប់អតិថិជននីមួយៗនៅក្នុងផ្នែករបស់គាត់ ដែលគ្មានអ្នកផ្តល់សេវា ឬអតិថិជនផ្សេងទៀតអាចចូលប្រើបានទេ។

គោលនយោបាយសន្តិសុខបុគ្គល។ អតិថិជននីមួយៗនៅក្នុង Cloud គឺជាក្រុមហ៊ុនដាច់ដោយឡែក ដែលនាយកដ្ឋាន IT កំណត់គោលការណ៍សុវត្ថិភាពផ្ទាល់ខ្លួន។ ឧទាហរណ៍ អ្នកគ្រប់គ្រងកំណត់ច្បាប់ស្កេន និងកំណត់ពេលស្កេនប្រឆាំងមេរោគ។ ដូច្នោះហើយ ស្ថាប័ននីមួយៗត្រូវតែមានមជ្ឈមណ្ឌលគ្រប់គ្រងរបស់ខ្លួនដើម្បីកំណត់រចនាសម្ព័ន្ធគោលការណ៍កំចាត់មេរោគ។ ទន្ទឹមនឹងនេះ ការកំណត់ដែលបានបញ្ជាក់មិនគួរប៉ះពាល់ដល់ម៉ាស៊ីនភ្ញៀវពពកផ្សេងទៀតទេ ហើយអ្នកផ្តល់សេវាគួរតែអាចផ្ទៀងផ្ទាត់ថា ការអាប់ដេតកំចាត់មេរោគត្រូវបានអនុវត្តជាធម្មតាសម្រាប់ម៉ាស៊ីននិម្មិតរបស់អតិថិជនទាំងអស់។

ការរៀបចំវិក្កយបត្រ និងអាជ្ញាប័ណ្ណ។ គំរូពពកត្រូវបានកំណត់លក្ខណៈដោយភាពបត់បែន និងពាក់ព័ន្ធនឹងការបង់ប្រាក់សម្រាប់តែបរិមាណនៃធនធានព័ត៌មានវិទ្យាដែលត្រូវបានប្រើប្រាស់ដោយអតិថិជនប៉ុណ្ណោះ។ ប្រសិនបើមានតម្រូវការ ជាឧទាហរណ៍ ដោយសាររដូវកាល នោះបរិមាណធនធានអាចត្រូវបានបង្កើន ឬកាត់បន្ថយយ៉ាងឆាប់រហ័ស - ទាំងអស់ផ្អែកលើតម្រូវការបច្ចុប្បន្នសម្រាប់ថាមពលកុំព្យូទ័រ។ កំចាត់មេរោគតាមបែបប្រពៃណីមិនមានភាពបត់បែនទេ - តាមក្បួនមួយ អតិថិជនទិញអាជ្ញាប័ណ្ណសម្រាប់រយៈពេលមួយឆ្នាំសម្រាប់ចំនួនម៉ាស៊ីនមេ ឬស្ថានីយការងារដែលបានកំណត់ទុកជាមុន។ អ្នកប្រើប្រាស់ពពកជាទៀងទាត់ផ្តាច់ និងភ្ជាប់ម៉ាស៊ីននិម្មិតបន្ថែម អាស្រ័យលើតម្រូវការបច្ចុប្បន្នរបស់ពួកគេ - អាស្រ័យហេតុនេះ អាជ្ញាប័ណ្ណកំចាត់មេរោគត្រូវតែគាំទ្រគំរូដូចគ្នា។

សំណួរ​ទី​ពីរ​គឺ​តើ​អាជ្ញាប័ណ្ណ​នឹង​រ៉ាប់រង​យ៉ាង​ណា? កំចាត់មេរោគបែបប្រពៃណីត្រូវបានផ្តល់អាជ្ញាប័ណ្ណដោយចំនួនម៉ាស៊ីនមេ ឬស្ថានីយការងារ។ អាជ្ញាប័ណ្ណផ្អែកលើចំនួនម៉ាស៊ីននិម្មិតដែលត្រូវបានការពារគឺមិនសមស្របទាំងស្រុងនៅក្នុងគំរូពពកទេ។ ម៉ាស៊ីនភ្ញៀវអាចបង្កើតម៉ាស៊ីននិម្មិតមួយចំនួនដែលងាយស្រួលសម្រាប់គាត់ពីធនធានដែលមានឧទាហរណ៍ ម៉ាស៊ីនប្រាំ ឬដប់។ ចំនួននេះមិនស្ថិតស្ថេរសម្រាប់អតិថិជនភាគច្រើនទេ ក្នុងនាមជាអ្នកផ្តល់សេវា មិនអាចតាមដានការផ្លាស់ប្តូររបស់វាបានទេ។ មិន​មាន​លទ្ធភាព​បច្ចេកទេស​ក្នុង​ការ​ផ្តល់​អាជ្ញាប័ណ្ណ​ដោយ CPU ទេ៖ អតិថិជន​ទទួល​បាន​ virtual processors (vCPUs) ដែល​គួរ​តែ​ត្រូវ​បាន​ប្រើ​សម្រាប់​ការ​ផ្តល់​អាជ្ញាប័ណ្ណ។ ដូច្នេះ គំរូការពារប្រឆាំងមេរោគថ្មីគួរតែរួមបញ្ចូលសមត្ថភាពសម្រាប់អតិថិជនក្នុងការកំណត់ចំនួន vCPU ដែលត្រូវការ ដែលគាត់នឹងទទួលបានអាជ្ញាប័ណ្ណប្រឆាំងមេរោគ។

ការអនុលោមតាមច្បាប់។ ចំណុចសំខាន់មួយ ដោយសារដំណោះស្រាយដែលបានប្រើត្រូវតែធានាបាននូវការអនុលោមតាមតម្រូវការរបស់និយតករ។ ឧទាហរណ៍ "អ្នករស់នៅ" ពពកជារឿយៗធ្វើការជាមួយទិន្នន័យផ្ទាល់ខ្លួន។ ក្នុងករណីនេះ អ្នកផ្តល់សេវាត្រូវតែមានផ្នែកពពកដែលមានការបញ្ជាក់ដាច់ដោយឡែក ដែលអនុលោមតាមតម្រូវការនៃច្បាប់ទិន្នន័យផ្ទាល់ខ្លួនយ៉ាងពេញលេញ។ បន្ទាប់មកក្រុមហ៊ុនមិនចាំបាច់ឯករាជ្យ "បង្កើត" ប្រព័ន្ធទាំងមូលសម្រាប់ធ្វើការជាមួយទិន្នន័យផ្ទាល់ខ្លួន៖ ទិញឧបករណ៍ដែលមានការបញ្ជាក់ ភ្ជាប់ និងកំណត់រចនាសម្ព័ន្ធវា និងឆ្លងកាត់ការបញ្ជាក់។ សម្រាប់ការការពារតាមអ៊ីនធឺណិតរបស់ ISPD នៃអតិថិជនបែបនេះ កំចាត់មេរោគក៏ត្រូវតែគោរពតាមតម្រូវការនៃច្បាប់របស់រុស្ស៊ី និងមានវិញ្ញាបនបត្រ FSTEC ផងដែរ។

យើងបានពិនិត្យមើលលក្ខណៈវិនិច្ឆ័យចាំបាច់ដែលការការពារកំចាត់មេរោគនៅក្នុងពពកសាធារណៈត្រូវតែបំពេញ។ បន្ទាប់មក យើងនឹងចែករំលែកបទពិសោធន៍ផ្ទាល់ខ្លួនរបស់យើងក្នុងការកែសម្រួលដំណោះស្រាយកំចាត់មេរោគ ដើម្បីដំណើរការនៅក្នុងពពករបស់អ្នកផ្តល់សេវា។

តើអ្នកអាចបង្កើតមិត្តរវាងកំចាត់មេរោគ និងពពកដោយរបៀបណា?

ដូចដែលបទពិសោធន៍របស់យើងបានបង្ហាញ ការជ្រើសរើសដំណោះស្រាយដោយផ្អែកលើការពិពណ៌នា និងឯកសារគឺជារឿងមួយ ប៉ុន្តែការអនុវត្តវានៅក្នុងការអនុវត្តនៅក្នុងបរិយាកាសពពកដែលកំពុងដំណើរការរួចហើយគឺជាកិច្ចការខុសគ្នាទាំងស្រុងទាក់ទងនឹងភាពស្មុគស្មាញ។ យើង​នឹង​ប្រាប់​អ្នក​ពី​អ្វី​ដែល​យើង​បាន​ធ្វើ​ក្នុង​ការអនុវត្ត និង​របៀប​ដែល​យើង​សម្រប​កំចាត់មេរោគ​ឱ្យ​ដំណើរការ​ក្នុង​ពពក​សាធារណៈ​របស់​អ្នកផ្តល់សេវា។ អ្នកលក់ដំណោះស្រាយប្រឆាំងមេរោគគឺ Kaspersky ដែលផលប័ត្ររបស់វារួមមានដំណោះស្រាយការពារប្រឆាំងមេរោគសម្រាប់បរិស្ថានពពក។ យើងបានដោះស្រាយលើ " Kaspersky Security for Virtualization" (ភ្នាក់ងារពន្លឺ) ។

វារួមបញ្ចូលកុងសូល Kaspersky Security Center តែមួយ។ ភ្នាក់ងារពន្លឺ និងម៉ាស៊ីននិម្មិតសុវត្ថិភាព (SVM, Security Virtual Machine) និងម៉ាស៊ីនមេរួមបញ្ចូល KSC ។

បន្ទាប់ពីយើងបានសិក្សាពីស្ថាបត្យកម្មនៃដំណោះស្រាយ Kaspersky និងធ្វើការសាកល្បងដំបូងរួមគ្នាជាមួយវិស្វកររបស់អ្នកលក់ សំណួរបានកើតឡើងអំពីការរួមបញ្ចូលសេវាកម្មទៅក្នុងពពក។ ការអនុវត្តដំបូងត្រូវបានអនុវត្តរួមគ្នានៅគេហទំព័រពពកម៉ូស្គូ។ ហើយនោះជាអ្វីដែលយើងបានដឹង។

ដើម្បីកាត់បន្ថយចរាចរណ៍បណ្តាញ វាត្រូវបានសម្រេចចិត្តដាក់ SVM នៅលើម៉ាស៊ីន ESXi នីមួយៗ ហើយ "ចង" SVM ទៅម៉ាស៊ីន ESXi ។ ក្នុងករណីនេះ ភ្នាក់ងារពន្លឺនៃម៉ាស៊ីននិម្មិតដែលត្រូវបានការពារចូលដំណើរការ SVM នៃម៉ាស៊ីន ESXi ពិតប្រាកដដែលពួកគេកំពុងដំណើរការ។ អ្នកជួលផ្នែករដ្ឋបាលដាច់ដោយឡែកត្រូវបានជ្រើសរើសសម្រាប់ KSC ចម្បង។ ជាលទ្ធផល KSCs ក្រោមបង្គាប់មានទីតាំងនៅក្នុងភតិកៈរបស់អតិថិជនម្នាក់ៗ ហើយដោះស្រាយជូន KSC ជាន់ខ្ពស់ដែលស្ថិតនៅក្នុងផ្នែកគ្រប់គ្រង។ គ្រោងការណ៍នេះអនុញ្ញាតឱ្យអ្នកដោះស្រាយបញ្ហាដែលកើតឡើងចំពោះអ្នកជួលអតិថិជនយ៉ាងឆាប់រហ័ស។

បន្ថែមពីលើបញ្ហាជាមួយនឹងការបង្កើនសមាសធាតុនៃដំណោះស្រាយប្រឆាំងមេរោគខ្លួនវា យើងត្រូវប្រឈមមុខនឹងភារកិច្ចនៃការរៀបចំអន្តរកម្មបណ្តាញតាមរយៈការបង្កើត VxLANs បន្ថែម។ ហើយទោះបីជាដំណោះស្រាយត្រូវបានបម្រុងទុកដំបូងសម្រាប់អតិថិជនសហគ្រាសដែលមានពពកឯកជនក៏ដោយ ដោយមានជំនួយពីវិស្វកម្ម និងភាពបត់បែននៃបច្ចេកវិទ្យារបស់ NSX Edge យើងអាចដោះស្រាយបញ្ហាទាំងអស់ដែលទាក់ទងនឹងការបំបែកអ្នកជួល និងការផ្តល់អាជ្ញាប័ណ្ណ។

យើងបានធ្វើការយ៉ាងជិតស្និទ្ធជាមួយវិស្វករ Kaspersky ។ ដូច្នេះនៅក្នុងដំណើរការនៃការវិភាគស្ថាបត្យកម្មដំណោះស្រាយទាក់ទងនឹងអន្តរកម្មបណ្តាញរវាងសមាសធាតុប្រព័ន្ធវាបានរកឃើញថាបន្ថែមពីលើការចូលប្រើពីភ្នាក់ងារពន្លឺទៅ SVM មតិត្រឡប់ក៏ចាំបាច់ផងដែរ - ពី SVM ទៅភ្នាក់ងារពន្លឺ។ ការភ្ជាប់បណ្តាញនេះមិនអាចធ្វើទៅបានទេនៅក្នុងបរិយាកាសពហុជួល ដោយសារលទ្ធភាពនៃការកំណត់បណ្តាញដូចគ្នាបេះបិទរបស់ម៉ាស៊ីននិម្មិតនៅក្នុង cloud tenants ផ្សេងៗគ្នា។ ដូច្នេះតាមសំណើរបស់យើង សហការីពីអ្នកលក់បានដំណើរការឡើងវិញនូវយន្តការនៃអន្តរកម្មបណ្តាញរវាងភ្នាក់ងារពន្លឺ និង SVM ក្នុងលក្ខខណ្ឌនៃការលុបបំបាត់តម្រូវការសម្រាប់ការតភ្ជាប់បណ្តាញពី SVM ទៅភ្នាក់ងារពន្លឺ។

បន្ទាប់ពីដំណោះស្រាយត្រូវបានដាក់ពង្រាយ និងសាកល្បងនៅលើគេហទំព័រពពកទីក្រុងម៉ូស្គូ យើងបានចម្លងវាទៅគេហទំព័រផ្សេងទៀត រួមទាំងផ្នែកពពកដែលបានបញ្ជាក់ផងដែរ។ ឥឡូវនេះសេវាកម្មនេះមាននៅគ្រប់តំបន់នៃប្រទេស។

ស្ថាបត្យកម្មនៃដំណោះស្រាយសន្តិសុខព័ត៌មាននៅក្នុងក្របខ័ណ្ឌនៃវិធីសាស្រ្តថ្មីមួយ

គ្រោងការណ៍ទូទៅនៃប្រតិបត្តិការនៃដំណោះស្រាយកំចាត់មេរោគនៅក្នុងបរិស្ថានពពកសាធារណៈមានដូចខាងក្រោម៖

គ្រោងការណ៍នៃប្រតិបត្តិការនៃដំណោះស្រាយកំចាត់មេរោគនៅក្នុងបរិយាកាសពពកសាធារណៈ #CloudMTS

ចូរយើងពិពណ៌នាអំពីលក្ខណៈពិសេសនៃប្រតិបត្តិការនៃធាតុនីមួយៗនៃដំណោះស្រាយនៅក្នុងពពក៖

• កុងសូលតែមួយដែលអនុញ្ញាតឱ្យអតិថិជនគ្រប់គ្រងប្រព័ន្ធការពារកណ្តាល៖ ដំណើរការស្កេន គ្រប់គ្រងបច្ចុប្បន្នភាព និងតាមដានតំបន់ដាច់ពីគេ។ វាអាចទៅរួចក្នុងការកំណត់គោលការណ៍សុវត្ថិភាពបុគ្គលនៅក្នុងផ្នែករបស់អ្នក។

វាគួរតែត្រូវបានកត់សម្គាល់ថាទោះបីជាយើងជាអ្នកផ្តល់សេវាក៏ដោយក៏យើងមិនជ្រៀតជ្រែកជាមួយការកំណត់ដែលកំណត់ដោយអតិថិជនដែរ។ រឿងតែមួយគត់ដែលយើងអាចធ្វើបានគឺកំណត់គោលការណ៍សុវត្ថិភាពឡើងវិញទៅជាស្តង់ដារ ប្រសិនបើចាំបាច់ត្រូវកំណត់រចនាសម្ព័ន្ធឡើងវិញ។ ឧទាហរណ៍ នេះអាចជាការចាំបាច់ ប្រសិនបើអតិថិជនបានរឹតបន្តឹងពួកគេដោយចៃដន្យ ឬធ្វើឱ្យពួកគេចុះខ្សោយយ៉ាងខ្លាំង។ ក្រុមហ៊ុនតែងតែអាចទទួលបានមជ្ឈមណ្ឌលត្រួតពិនិត្យជាមួយនឹងគោលការណ៍លំនាំដើម ដែលបន្ទាប់មកវាអាចកំណត់រចនាសម្ព័ន្ធដោយឯករាជ្យ។ គុណវិបត្តិរបស់ Kaspersky Security Center គឺថា វេទិកានេះអាចប្រើបានសម្រាប់តែប្រព័ន្ធប្រតិបត្តិការ Microsoft ប៉ុណ្ណោះ។ ទោះបីជាភ្នាក់ងារស្រាលអាចដំណើរការជាមួយម៉ាស៊ីនទាំង Windows និង Linux ក៏ដោយ។ ទោះយ៉ាងណាក៏ដោយ Kaspersky Lab សន្យាថានាពេលអនាគតដ៏ខ្លី KSC នឹងដំណើរការក្រោម Linux OS ។ មុខងារសំខាន់មួយរបស់ KSC គឺសមត្ថភាពក្នុងការគ្រប់គ្រងការដាក់ឱ្យនៅដាច់ពីគេ។ ក្រុមហ៊ុនអតិថិជននីមួយៗនៅក្នុងពពករបស់យើងមានក្រុមហ៊ុនផ្ទាល់ខ្លួន។ វិធីសាស្រ្តនេះលុបបំបាត់ស្ថានភាពដែលឯកសារដែលឆ្លងមេរោគដោយចៃដន្យអាចមើលឃើញជាសាធារណៈ ដូចជាអាចកើតឡើងក្នុងករណីកំចាត់មេរោគសាជីវកម្មបុរាណជាមួយនឹងការដាក់ឱ្យនៅដាច់ដោយឡែក។

• ភ្នាក់ងារពន្លឺ។ ជាផ្នែកមួយនៃម៉ូដែលថ្មី ភ្នាក់ងារសុវត្ថិភាព Kaspersky ទម្ងន់ស្រាលត្រូវបានដំឡើងនៅលើម៉ាស៊ីននិម្មិតនីមួយៗ។ នេះលុបបំបាត់តម្រូវការក្នុងការរក្សាទុកមូលដ្ឋានទិន្នន័យប្រឆាំងមេរោគនៅលើ VM នីមួយៗ ដែលកាត់បន្ថយទំហំថាសដែលត្រូវការ។ សេវាកម្មនេះត្រូវបានរួមបញ្ចូលជាមួយហេដ្ឋារចនាសម្ព័ន្ធពពក ហើយដំណើរការតាមរយៈ SVM ដែលបង្កើនដង់ស៊ីតេនៃម៉ាស៊ីននិម្មិតនៅលើម៉ាស៊ីន ESXi និងដំណើរការនៃប្រព័ន្ធពពកទាំងមូល។ ភ្នាក់ងារពន្លឺបង្កើតជួរនៃកិច្ចការសម្រាប់ម៉ាស៊ីននិម្មិតនីមួយៗ៖ ពិនិត្យប្រព័ន្ធឯកសារ អង្គចងចាំ។ល។ ប៉ុន្តែ SVM ទទួលខុសត្រូវក្នុងការអនុវត្តប្រតិបត្តិការទាំងនេះ ដែលយើងនឹងនិយាយនៅពេលក្រោយ។ ភ្នាក់ងារក៏អនុវត្តមុខងាររបស់ជញ្ជាំងភ្លើង គ្រប់គ្រងគោលការណ៍សុវត្ថិភាព បញ្ជូនឯកសារឆ្លងមេរោគទៅឱ្យនៅដាច់ដោយឡែក និងតាមដាន "សុខភាព" ទាំងមូលនៃប្រព័ន្ធប្រតិបត្តិការដែលវាត្រូវបានដំឡើង។ ទាំងអស់នេះអាចត្រូវបានគ្រប់គ្រងដោយប្រើកុងសូលតែមួយដែលបានរៀបរាប់រួចហើយ។

• សុវត្ថិភាពម៉ាស៊ីននិម្មិត។ កិច្ចការដែលពឹងផ្អែកលើធនធានទាំងអស់ (ការធ្វើបច្ចុប្បន្នភាពមូលដ្ឋានទិន្នន័យប្រឆាំងមេរោគ ការស្កេនតាមកាលវិភាគ) ត្រូវបានគ្រប់គ្រងដោយម៉ាស៊ីននិម្មិតសុវត្ថិភាពដាច់ដោយឡែក (SVM) ។ នាងទទួលខុសត្រូវចំពោះប្រតិបត្តិការនៃម៉ាស៊ីនប្រឆាំងមេរោគពេញលេញ និងមូលដ្ឋានទិន្នន័យសម្រាប់វា។ ហេដ្ឋារចនាសម្ព័ន្ធ IT របស់ក្រុមហ៊ុនអាចរួមបញ្ចូល SVMs ជាច្រើន។ វិធីសាស្រ្តនេះបង្កើនភាពជឿជាក់នៃប្រព័ន្ធ - ប្រសិនបើម៉ាស៊ីនមួយបរាជ័យ និងមិនឆ្លើយតបរយៈពេលសាមសិបវិនាទី ភ្នាក់ងារចាប់ផ្តើមស្វែងរកម៉ាស៊ីនមួយទៀតដោយស្វ័យប្រវត្តិ។

• ម៉ាស៊ីនមេរួមបញ្ចូល KSC ។ ធាតុផ្សំមួយនៃ KSC សំខាន់ៗដែលកំណត់ SVMs របស់វាទៅភ្នាក់ងារពន្លឺដោយអនុលោមតាមក្បួនដោះស្រាយដែលបានបញ្ជាក់នៅក្នុងការកំណត់របស់វា ហើយក៏គ្រប់គ្រងភាពអាចរកបាននៃ SVMs ផងដែរ។ ដូច្នេះ ម៉ូឌុលកម្មវិធីនេះផ្តល់នូវតុល្យភាពបន្ទុកនៅទូទាំង SVMs ទាំងអស់នៃហេដ្ឋារចនាសម្ព័ន្ធពពក។

ក្បួនដោះស្រាយសម្រាប់ធ្វើការលើពពក៖ កាត់បន្ថយបន្ទុកលើហេដ្ឋារចនាសម្ព័ន្ធ

ជាទូទៅក្បួនដោះស្រាយកំចាត់មេរោគអាចត្រូវបានតំណាងដូចខាងក្រោម។ ភ្នាក់ងារចូលប្រើឯកសារនៅលើម៉ាស៊ីននិម្មិត ហើយពិនិត្យវា។ លទ្ធផលនៃការផ្ទៀងផ្ទាត់ត្រូវបានរក្សាទុកនៅក្នុងមូលដ្ឋានទិន្នន័យសាលក្រម SVM កណ្តាលទូទៅ (ហៅថាឃ្លាំងសម្ងាត់ចែករំលែក) ធាតុនីមួយៗដែលកំណត់គំរូឯកសារតែមួយគត់។ វិធីសាស្រ្តនេះអនុញ្ញាតឱ្យអ្នកធានាថាឯកសារដូចគ្នាមិនត្រូវបានស្កេនច្រើនដងក្នុងមួយជួរ (ឧទាហរណ៍ប្រសិនបើវាត្រូវបានបើកនៅលើម៉ាស៊ីននិម្មិតផ្សេងគ្នា)។ ឯកសារ​ត្រូវ​បាន​ស្កេន​ឡើង​វិញ​លុះត្រា​តែ​មាន​ការ​ផ្លាស់​ប្តូរ​ត្រូវ​បាន​ធ្វើ​ឡើង​លើ​វា ឬ​ការ​ស្កេន​ត្រូវ​បាន​ចាប់​ផ្តើម​ដោយ​ដៃ។

ការអនុវត្តដំណោះស្រាយកំចាត់មេរោគនៅក្នុងពពករបស់អ្នកផ្តល់សេវា

រូបភាពបង្ហាញពីដ្យាក្រាមទូទៅនៃការអនុវត្តដំណោះស្រាយនៅក្នុងពពក។ មជ្ឈមណ្ឌលសុវត្ថិភាព Kaspersky សំខាន់ត្រូវបានដាក់ពង្រាយនៅក្នុងតំបន់ត្រួតពិនិត្យនៃពពក ហើយ SVM នីមួយៗត្រូវបានដាក់ពង្រាយនៅលើម៉ាស៊ីន ESXi នីមួយៗដោយប្រើម៉ាស៊ីនមេរួមបញ្ចូល KSC (ម៉ាស៊ីន ESXi នីមួយៗមាន SVM ផ្ទាល់ខ្លួនភ្ជាប់ជាមួយការកំណត់ពិសេសនៅលើ VMware vCenter Server) ។ អតិថិជនធ្វើការនៅក្នុងផ្នែកពពកផ្ទាល់ខ្លួនរបស់ពួកគេ ដែលម៉ាស៊ីននិម្មិតដែលមានភ្នាក់ងារមានទីតាំងនៅ។ ពួកគេត្រូវបានគ្រប់គ្រងតាមរយៈម៉ាស៊ីនមេ KSC នីមួយៗដែលស្ថិតនៅក្រោមការគ្រប់គ្រងរបស់ KSC ចម្បង។ ប្រសិនបើវាចាំបាច់ដើម្បីការពារម៉ាស៊ីននិម្មិតមួយចំនួនតូច (រហូតដល់ 5) ម៉ាស៊ីនភ្ញៀវអាចត្រូវបានផ្តល់ឱ្យនូវការចូលប្រើកុងសូលនិម្មិតនៃម៉ាស៊ីនមេ KSC ពិសេស។ អន្តរកម្មបណ្តាញរវាងអតិថិជន KSCs និង KSC ចម្បង ក៏ដូចជាភ្នាក់ងារពន្លឺ និង SVMs ត្រូវបានអនុវត្តដោយប្រើ NAT តាមរយៈរ៉ោតទ័រនិម្មិតអតិថិជន EdgeGW ។

យោងតាមការប៉ាន់ប្រមាណរបស់យើង និងលទ្ធផលនៃការធ្វើតេស្តរបស់សហសេវិកនៅអ្នកលក់ ភ្នាក់ងារពន្លឺកាត់បន្ថយបន្ទុកលើហេដ្ឋារចនាសម្ព័ន្ធនិម្មិតរបស់អតិថិជនប្រមាណ 25% (បើប្រៀបធៀបជាមួយប្រព័ន្ធដែលប្រើកម្មវិធីកំចាត់មេរោគប្រពៃណី)។ ជាពិសេស កំចាត់មេរោគ Kaspersky Endpoint Security (KES) ស្តង់ដារសម្រាប់បរិស្ថានរាងកាយប្រើប្រាស់ពេលវេលាស៊ីភីយូរបស់ម៉ាស៊ីនមេស្ទើរតែពីរដង (2,95%) ជាដំណោះស្រាយនិម្មិតផ្អែកលើភ្នាក់ងារទម្ងន់ស្រាល (1,67%) ។

តារាងប្រៀបធៀបការផ្ទុកស៊ីភីយូ

ស្ថានភាពស្រដៀងគ្នានេះត្រូវបានគេសង្កេតឃើញជាមួយនឹងភាពញឹកញាប់នៃការចូលប្រើថាស៖ សម្រាប់កំចាត់មេរោគបុរាណវាគឺ 1011 IOPS សម្រាប់កំចាត់មេរោគលើពពកវាគឺ 671 IOPS ។

ក្រាហ្វប្រៀបធៀបអត្រាចូលប្រើថាស

អត្ថប្រយោជន៍នៃការអនុវត្តអនុញ្ញាតឱ្យអ្នករក្សាស្ថិរភាពហេដ្ឋារចនាសម្ព័ន្ធ និងប្រើប្រាស់ថាមពលកុំព្យូទ័រឱ្យកាន់តែមានប្រសិទ្ធភាព។ តាមរយៈការសម្របខ្លួនទៅនឹងការងារនៅក្នុងបរិយាកាសពពកសាធារណៈ ដំណោះស្រាយមិនកាត់បន្ថយដំណើរការលើពពកទេ៖ វាត្រួតពិនិត្យឯកសារ និងទាញយកបច្ចុប្បន្នភាពដោយកណ្តាល ការចែកចាយបន្ទុក។ នេះមានន័យថា ម៉្យាងវិញទៀត ការគំរាមកំហែងដែលទាក់ទងនឹងហេដ្ឋារចនាសម្ព័ន្ធពពកនឹងមិនត្រូវបានខកខានឡើយ ផ្ទុយទៅវិញ តម្រូវការធនធានសម្រាប់ម៉ាស៊ីននិម្មិតនឹងត្រូវបានកាត់បន្ថយជាមធ្យម 25% បើប្រៀបធៀបទៅនឹងកំចាត់មេរោគបែបប្រពៃណី។

នៅក្នុងលក្ខខណ្ឌនៃមុខងារដំណោះស្រាយទាំងពីរគឺស្រដៀងគ្នាទៅនឹងគ្នាទៅវិញទៅមក: ខាងក្រោមគឺជាតារាងប្រៀបធៀប។ ទោះយ៉ាងណាក៏ដោយ នៅក្នុងពពក ដូចដែលលទ្ធផលតេស្តខាងលើបង្ហាញ វានៅតែជាការប្រសើរក្នុងការប្រើដំណោះស្រាយសម្រាប់បរិស្ថាននិម្មិត។

អំពីពន្ធគយក្នុងក្របខ័ណ្ឌនៃវិធីសាស្រ្តថ្មី។ យើងបានសម្រេចចិត្តប្រើគំរូដែលអនុញ្ញាតឱ្យយើងទទួលបានអាជ្ញាប័ណ្ណដោយផ្អែកលើចំនួន vCPUs ។ នេះមានន័យថាចំនួនអាជ្ញាប័ណ្ណនឹងស្មើនឹងចំនួន vCPUs ។ អ្នកអាចសាកល្បងកំចាត់មេរោគរបស់អ្នកដោយទុកសំណើ លើបណ្តាញ.

នៅក្នុងអត្ថបទបន្ទាប់លើប្រធានបទពពក យើងនឹងនិយាយអំពីការវិវត្តន៍នៃ cloud WAFs និងអ្វីដែលប្រសើរជាងក្នុងការជ្រើសរើស៖ ផ្នែករឹង កម្មវិធី ឬពពក។

អត្ថបទត្រូវបានរៀបចំដោយនិយោជិតនៃក្រុមហ៊ុនផ្តល់សេវាពពក #CloudMTS៖ Denis Myagkov ស្ថាបត្យករឈានមុខគេ និង Alexey Afanasyev អ្នកគ្រប់គ្រងអភិវឌ្ឍន៍ផលិតផលសុវត្ថិភាពព័ត៌មាន។

ប្រភព: www.habr.com