在 Azure 虚拟机上部署反恶意软件解决方案
本博客文章由我和我的同事 Sung Hsueh 共同撰写，Sung Hsueh 是 Microsoft Azure 计算部负责安全事项的项目经理。
本博客文章为“虚拟机扩展程序”系列的续集，在本文中，我将针对北美 TechEd 大会上发布的三个全新安全扩展程序进行概述。这些安全解决方案 - Symantec Endpoint Protection（端点防护）、Trend Micro Deep Security as a Service（深度安全即服务）和 Microsoft Antimalware（反恶意软件）解决方案都已通过扩展技术嵌入到 Azure 门户中，可部署到虚拟机上。后续博文将分别介绍每个解决方案。
如已订阅 Trend 或 Symantec 软件并将它们用于内部部署，可将其用于保护 Azure 虚拟机。如果您是新客户，可以获得试用版，以便学习使用。以下为两款产品的许可信息：
Symantec：https://www.symantec.com/business/support/index?page=content&id=HOWTO98414
TrendMicro：https://www.trendmicro.com/us/business/saas/deep-security-as-a-service/index.html
Microsoft Antimalware：Microsoft Antimalware 的预览版免费提供。
这三款安全扩展程序都可以在创建 VM 时启用，如下所示。
通过 Azure PowerShell cmdlet，可以将这些安全解决方案添加在现有 VM 上，如以下部分所述。
使用 PowerShell cmdlet 运行启用扩展程序的先决条件：
- 从此处安装 Azure PowerShell Cmdlet V0.8.2 或更高版本。
- 如果脚本将在现有的 VM 上运行，请确保 VM 上已启用 VM Agent，如果没有，请按照此博客文章中的说明进行安装。
Trend Micro Deep Security as a Service ：
Trend Micro Deep Security as a Service 提供了物理机和虚拟机所需的全套安全功能。Deep Security Service 提供以下功能 - 反恶意软件保护、入侵检测、防火墙、Web 信誉和完整性监控。您可以在此处查看更多信息，开始使用免费试用版。订阅 Trend Micro 后，您可以运行以下程序以在现有虚拟机上安装代理：
1. 在创建新的 VM 时，可通过 Azure 门户在 Azure 虚拟机上启用 Trend Micro Deep Security Agent。还可以通过使用以下 PowerShell cmdlet，在现有或新的 VM 上启用。
# 获取 VM $vm = Get-AzureVM –ServiceName $servicename –Name $name
# 将 Deep Security 代理添加到虚拟机
Set-AzureVMExtension -Publisher TrendMicro.DeepSecurity -ExtensionName TrendMicroDSA -Version 9.* -VM $vm.VM
# 更新要安装 DSA 代理的 VM
Update-AzureVM -Name $servicename -ServiceName $name -VM $vm.VM
2. 使用 Azure 的 CustomScript 扩展程序自动激活 Trend Micro Deep 代理
- 使用您的凭证登录到 Deep Security Service 门户，在 Trend Micro Deep Security 门户右侧选择 Help（帮助）-> Deployment Scripts（部署脚本）。
- 从此链接中，将激活命令复制到 PowerShell 文件，而后由 CustomScript 扩展程序执行此命令。
- 将激活命令粘贴到 PowerShell 文件：
& $Env:ProgramFiles”\Trend Micro\Deep Security Agent\dsa_control” -a dsm://agents.deepsecurity.trendmicro.com:443/
“tenantID:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx”
“tenantPassword:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx”
- 将该文件上载到 Azure Storage 容器，按照此处的指令，使用自定义脚本扩展程序将其部署到每个 VM 中。
# 获取 VM
$vm = Get-AzureVM –ServiceName $servicename –Name $name
# 配置脚本“ds-config_local.ps1”存储在默认存储帐户的容器中。
# CustomScript 扩展程序将脚本从存储帐户中提取出来，然后在 VM 上运行。
Set-AzureVMCustomScriptExtension -ContainerName DSAConfig -FileName 'ds-config_local.ps1' -VM $vm.VM
# 更新要安装 DSA 代理的 VM
Update-AzureVM -Name $servicename -ServiceName $name -VM $vm.VM
注意：安装 Deep Security 代理后，需要几分钟时间才开始运行。仅在其运行时，才可以执行激活。
Symantec Endpoint Protection
Symantec Endpoint Protection 可提供多层保护，涵盖了网络保护、文件保护、信誉保护、修复和补救等各个方面。有关 Symantec Endpoint Protection for Azure 的完整信息，可在此处查看。
从 Azure 门户创建新的 VM 时，可在虚拟机上启用 Symantec Endpoint Protection 代理。要在现有虚拟机上安装，必须运行以下 cmdlet：
# 获取 VM
$vm = Get-AzureVM –ServiceName $servicename –Name $name
# 将 Symantec Endpoint Protection 代理添加到虚拟机
Set-AzureVMExtension -Publisher Symantec -ExtensionName SymantecEndpointProtection -Version 12.* -VM $vm.VM
# 更新要安装 Symantec Endpoint Protection 代理的 VM
Update-AzureVM -Name $servicename -ServiceName $name -VM $vm.VM
Microsoft Antimalware
Microsoft Antimalware for Azure Cloud Services and Virtual Machines 提供实时的保护功能，有助于识别和移除病毒、间谍软件及其他恶意软件，可在已知恶意或垃圾软件试图在系统上自动安装或运行时发出可配置的警报。有关 Microsoft Antimalware 解决方案的完整概述，请在此处查看。从 Azure 门户创建新的 VM 时，可启用 Microsoft Antimalware 解决方案。要在现有虚拟机上安装，必须运行以下 cmdlet：
# 获取 VM
$vm = Get-AzureVM –ServiceName $servicename –Name $name
# 将 Microsoft Antimalware 代理添加到虚拟机
Set-AzureVMExtension -Publisher Microsoft.Azure.Security -ExtensionName IaaSAntimalware -Version 1.* -VM $vm.VM
# 更新要安装反恶意软件代理的 VM
Update-AzureVM -Name $servicename -ServiceName $name -VM $vm.VM
卸载扩展程序：
可以使用以下 cmdlet 卸载上述添加的扩展程序。
# 获取 VM
$vm = Get-AzureVM –ServiceName $servicename –Name $name
# 从虚拟机卸载扩展程序
Set-AzureVMExtension -Publisher $publishername -ExtensionName $extensionname -Version $version -VM $vm.VM -Uninstall
# 更新要卸载扩展程序的 VM
Update-AzureVM -Name $servicename -ServiceName $name -VM $vm.VM
这种集成将 Azure 虚拟机和现有安全解决方案相结合，使其便于共同部署和管理。希望这些解决方案适用于您的云环境。请将您的评论/问题发布到此处。期待听到您的反馈！