Wel of geen anti-virus op Hyper-V host

[jimbo123]

Momenteel ben ik bezig met het overwegen of ik wel of niet een virusscanner op een Windows Server 2012 R2 Standaard Hyper-V host wil installeren.

Voor de host volg ik de best-practises van Microsoft: https://blogs.technet.mic...s-in-easy-checklist-form/

Voor de virusscanner heeft Microsoft ook enkele best-practises: http://social.technet.mic...ns-for-hyper-v-hosts.aspx

Bovenstaand artikel geeft echter niet aan of het verstandiger is om wel/niet een virusscanner op de host te draaien (natuurlijk wel binnen de Hyper-V Guest VM's)

Er blijkt wel wat voor te zeggen te zijn om geen virusscanner te installeren i.v.m. performance.
https://blogs.technet.mic...us-and-hyper-v-yes-or-no/

Zelf kan ik 2 redenen verzinnen waarom ik een virusscanner zou moeten installeren op de host:
1) Indien een systeembeheerder een menselijke fout (denkfout) maakt door op de host een programma te starten zoals een webbrowser en/of externe tooling
2) Indien ik fysieke toegang tot de server niet kan beperken en dus het risico loop dat iemand een USB stick o.i.d. aansluit met een "autorun virus".

Mijn vraag aan jullie:

- Indien ik de best-practises van Microsoft volg, zou het dan veel performance kosten om een virusscanner te installeren?
- Wat doen jullie? Wel of geen AV installeren op de host?

Het gaat overigens om een server incl. GUI en Sophos Endpoint Protection Standaard.

[Meekoh]

Wat wij (en MS) doen:
Geen AV op de hosts. (wel guests)
- Hosts zijn ontdaan van GUI. Dus alleen remote access met Powershell of RSAT tools. Windows Firewall staat ook zo dicht mogelijk.
- USB disabled via GPO.
Zijn jou redenen niet meer van toepassing

[ Voor 9% gewijzigd door Meekoh op 18-07-2016 16:17 ]

[KillerAce_NL]

Als je een server draait met GUI. Dan zeker AV. Zorg gewoon voor goede afstelling, excluions etc.

[Hero of Time]

Autorun van USB sticks heb je al sinds Windows 7 niet meer, dus daar hoef je geen zorgen om te maken. Tenzij het een cdrom drive emuleert, dan wel.

Maar volgens mij zijn er ook licentie implicaties als je een antivirus gaat installeren op de host. Houd hier rekening mee. En uiteraard exclude je de locatie van de VM images.

[Dennism]

Hero of Time schreef op maandag 18 juli 2016 @ 16:30:
Autorun van USB sticks heb je al sinds Windows 7 niet meer, dus daar hoef je geen zorgen om te maken. Tenzij het een cdrom drive emuleert, dan wel.

Maar volgens mij zijn er ook licentie implicaties als je een antivirus gaat installeren op de host. Houd hier rekening mee. En uiteraard exclude je de locatie van de VM images.

Licentie implicaties heb je als het goed is als je andere rollen dan de Hyper-V rol dan wel 3rd party services gaat installeren op een host.

Een AV client zou geen compliance issues mogen opleveren, ga je echter een AV management console installeren weer wel.

[F_J_K]

offtopic:
Alias gemaakt van SWS naar BV.

Edit: oeps, ik had het topic verplaatst ipv. er een alias van te maken

[ Voor 52% gewijzigd door F_J_K op 18-07-2016 19:51 ]

[Verwijderd]

Dennism schreef op maandag 18 juli 2016 @ 16:33:
[...]


Licentie implicaties heb je als het goed is als je andere rollen dan de Hyper-V rol dan wel 3rd party services gaat installeren op een host.

Een AV client zou geen compliance issues mogen opleveren, ga je echter een AV management console installeren weer wel.

Klopt helemaal.

[Hero of Time]

Dennism schreef op maandag 18 juli 2016 @ 16:33:
[...]


Licentie implicaties heb je als het goed is als je andere rollen dan de Hyper-V rol dan wel 3rd party services gaat installeren op een host.

Een AV client zou geen compliance issues mogen opleveren, ga je echter een AV management console installeren weer wel.

Ik heb een paar jaar geleden de hele licentiegeneuzel van MS al vaarwel gezegd, want het wordt er niet makkelijker op. Ik geef alleen aan wat ik op verschillende plekken heb gehoord en dat de TS even na moet gaan hoe dit zit, want echt duidelijk is het tenslotte niet (anders had ik het wel onthouden ).

Beter nagaan, dan straks met de gebakken peren zitten.

[CMD-Snake]

Een paar jaar geleden had een AV boer (ik geloof Symantec) een antivirus pakket gemaakt juist voor virtualisatie hosts. Het idee was dat dan alle guests zonder antivirus konden omdat dit vanuit de host werd afgedekt. Het was een interessant concept, maar geen idee of het ooit verder is uitgewerkt.

Indien je toch besluit antivirus op je Hyper-V host te installeren let heel goed op de exclusions en de instellingen. On access scans als een VM iets doet gaat niet bevorderlijk zijn voor de prestaties.

[buymeball]

Wij gebruiken kaspersky security center. Ik heb op alle host kaspersky sever staan. Maar alle functie staan uit. Mocht er iets mis gaan kan ik met 1 druk op de knop op afstand alles weer aanzetten. Alle guest draaien ook kaspersky maar deze staat wel aan.

[Dennism]

CMD-Snake schreef op maandag 18 juli 2016 @ 20:40:
Een paar jaar geleden had een AV boer (ik geloof Symantec) een antivirus pakket gemaakt juist voor virtualisatie hosts. Het idee was dat dan alle guests zonder antivirus konden omdat dit vanuit de host werd afgedekt. Het was een interessant concept, maar geen idee of het ooit verder is uitgewerkt.

Indien je toch besluit antivirus op je Hyper-V host te installeren let heel goed op de exclusions en de instellingen. On access scans als een VM iets doet gaat niet bevorderlijk zijn voor de prestaties.

Binnen vSphere heeft bijna iedere AV boer hier wel een oplossing voor inderdaad via vShield dan wel NSX. Of dit voor Hyper-V ook bestaat weet ik eigenlijk niet, ik weet iig dat Trend Micro Deep Security op vSphere wel Agentless AV kan, maar niet op Hyper-V

[Hero of Time]

CMD-Snake schreef op maandag 18 juli 2016 @ 20:40:
Indien je toch besluit antivirus op je Hyper-V host te installeren let heel goed op de exclusions en de instellingen. On access scans als een VM iets doet gaat niet bevorderlijk zijn voor de prestaties.

Om nog maar te zwijgen over de staat van je VM als er iets 'verdachts' in gebeurt dat de Host AV wil voorkomen.