Ein Virenscanner gehört zur absoluten Grundausstattung jedes Systems. In in den meisten Firmen ist dieser auch durch Unternehmensrichtlinien absolute Pflicht. Viele fragen sich trotzdem warum man auf einem Hyper-V Server trotzdem ein Anti-Virus benötigt. Ganz einfach: Weil auch dieser einer Attacke zum Opfer fallen kann.

In den meisten Firmen die ich kenne ist die integrierte Windows Firewall auf allen Servern ausgeschaltet. Frei nach dem Motto "intern passiert ja nichts", "dann kann ich die Maschine nicht mehr anpingen" oder "dann muss ich die ersten noch stundenlang konfigurieren, dafür habe ich keine Zeit!". Dabei haben sich viele noch garnicht mit der Konfiguration beschäftigt. Dadurch das man alle Einstellungen auch per Gruppenrichtlinie vorgeben kann, muss man nicht mal jeden Server einzeln konfigurieren. Man kann zum Beispiel eine Grundkonfiguration über die Gruppenrichtlinien vorgeben, und der Serveradministrator muss dann nur noch Ausnahmen für die Applikationen auf dem Server hinzufügen.

Zurück zum Thema: Eben weil die meisten Server intern offen sind wie ein Scheunentor, bieten sie eine große Angriffsfläche. Jeder weiss das immer mal wieder Sicherheitslücken auftauchen die schon seit einigen Jahren existieren und bisher einfach noch nicht entdeckt wurden. Und auch darüber können sich Viren oder anderer schädlicher Code verteilen!

"Aber ich hab doch den Server Core installiert, da passiert doch nix!"

Der Server Core bietet durch seine stark abgespeckte Installation zwar wesentlich geringere Angriffsfläche als eine Vollinstallation, aber Sicherheitslücken die sich im Basissystem befinden existieren auch auf dem Server Core! Die meisten Enterprise Virenscanner funktionieren auch unter Server Core. Am einfachsten ist die Installation natürlich per Remote. Für mehr Informationen dazu lesen Sie bitte die Dokumentation Ihrer Anti-Virus Lösung.

Anti-Virus Konfiguration für Hyper-V Server

Ein Virenscanner auf auf einem Server mit der Hyper-V Rolle benötigt eine angepasste Konfiguration. Sonst kann es ganz schnell vorkommen das Ihre virtuellen Maschinen nicht mehr starten (Fehler 0x800704C8", "0x80070037" oder "0x800703E3", siehe http://support.microsoft.com/kb/961804).

Schließen Sie deshalb folgende Verzeichnisse von den Aktivitäten des Virenscanners aus:

• Alle Verzeichnisse in denen Virtuelle Maschinen-Konfigurationen enthalten sind
  Standard: C:\ProgramData\Microsoft\Windows\Hyper-V
• Alle Verzeichnisse in denen Virtuelle Festplatten enthalten sind
  Standard: C:\Users\Public\Documents\Hyper-V\Virtual Hard Disks
• Snapshotverzeichnisse
  Standard: "%SystemDrive%\ProgramData\Microsoft\Windows\Hyper-V\Snapshots
• Vmms.exe
• Vmwp.exe

Anti-Virus in den virtuellen Maschinen

Wenn Sie den oberen Teil gelesen haben, werden Sie es schon bemerkt haben: Schließt man die Verzeichnisse für die virtuellen Maschinen von der Prüfung aus, kann logischerweise auch kein Virenschutz für virtuelle Maschinen existieren!

Installieren Sie deshalb in Ihren virtuellen Maschinen einen Virenscanner. Genauso wie es auch auf jeder anderen physikalischen Maschine machen würden!

Im Unterschied zum Hyper-V müssen Sie dort aber keine Verzeichnisse ausschließen. Die virtuelle Maschine weiss ja schließlich nicht das sie virtuell ist...

Links

http://blogs.msdn.com/virtual_pc_guy/archive/2009/03/17/antivirus-and-hyper-v-or-why-can-t-i-start-my-virtual-machine.aspx

http://www.server-talk.eu/2009/10/10/hyper-v-und-anti-virus-software/