Virenscan auf VMDKs

[Mabik]

Ich bin absoluter Anfänger mit VMWare und habe im Zuge eines Projektes folgende Aufgabenstellung:

Es soll eine Umgebung geschaffen werden, in der ich VMDKs die auf von Kunden auf USB-HDDs eingesandt werden auf Viren scannen kann bevor ich sie in bestehende Farmen aufnehme. Ich habe mit McAfee VCL wohl ein adäquates Tool gefunden und muss nun das mounten der VMDKs ermöglichen.
Das ganze soll auf einem SLES Host laufen.

Bei meiner bisherigen Recherche bin ich auf VMWare Disk Mount gestoßen, habe aber dabei das Problem erkannt, dass die fraglichen VMDKs verschiedenste Filesysteme beinhalten werden und man laut Guide mit Disk Mount entweder Windows oder Linux VMDKs mounten kann. Sogenanntes cross-mounting sei nicht möglich.

Daher nun meine Frage ob es eine Lösung gibt die mir das mounten aller VMDKs unabhängig vom Filesystem ermöglicht?
Kann ich mit dem VCL dann ebenso auf VMDK Arten scannen?
Oder ist der ganze Ansatz gar in die Tonne zu treten und gibt es eine bessere Alternative?

Quellen:

https://kc.mcafee.com/resources/sites/MCAFEE/content/live/PRODUCT_DOCUMENTATION/22000/PD22268/en_US/VCL_UNIX_6_0_Product_Guide.pdf Guide für McAfee VCL

http://www.vmware.com/support/developer/vddk/vddk12_diskmount.pdf VMware Disk Mount Guide

Vielen Dank für jeglichen Input und ich hoffe, das richtige Forum gewählt zu haben
Grüße
Leon

[Dayworker]

Weshalb sollte "Cross-Mounting" nicht funktionieren?
Eine VMDK wird ganz normal eingebunden und nur das die gemountete VMDK ausführende OS muß mit dem darin befindlichen Dateisystem klarkommen.
Wenn die VMDK ein Linux beinhaltet, sieht es unter Windows natürlich etwas schlecht aus. Mit Linux dagegen spielt das Dateisystem in der VMDK kaum noch eine Rolle. Das NTFS-Dateisystem können inzwischen eigentlich alle mir bekannten, aktuellen Linuxe schreiben.

Ob McAffe VCL das auch zu leisten im Stande ist, sollte sich in den Produktinfos finden lassen.

[irix]

Also als ich das gelesen habe musste ich eigentlich sofort an vShield Endpoint plus TrendMicro bzw. einen der anderen Verdaechtigen denken sofern die da mal in die Hufe gekommen sind.

Es gibt eine Dummy VM welcher bei Bedarf die VMDKs angehaengt werden, welche auf einem NFS Datastore liegen. Eine Security Appliance scant dann ueber vShield Endpoint die VM und die vDisks im ausgeschaltetem zustand. Fertig - Aus.

Da die vSphere Endpoint API nun nicht mehr extra lizenziert werden muss ab 5.1 eigentlich nur die Frage was die kleinste Einheit von Deep Security kostet.

Gruss
Joerg

[Mabik]

Danke für die raschen Antworten.

ich habe auch über vShield nachgedacht, da jedoch im Hause bereits McAfee eingesetzt wird, schien mir diese Lösung einfacher.
Bezüglich des "Cross-Mounting" muss ich einräumen, dass ich wohl die Angaben im Guide missinterpretiert habe. Auf einer Sles Maschine wird das mounten auch von ntfs ohne Umstände möglich sein. Insbesondere da ich lediglich read-only benötige, ist dieses Problem aus der Welt geschafft.

[irix]

Auch von McAfee gibts was fuer die vShield Endpoint Geschichte
http://www.mcafee.com/us/products/move-anti-virus.aspx

Gruss
Joerg

[Mabik]

Habe nun ein recht vielversprechendes Tool entdeckt. Der Command Line Scanner (kurz CLS) von McAfee.
Ich sehe den Vorteil darin, dass es eine schlanke Lösung und, sprich weniger Ressourcen benötigt und ich es auch bequem in ein ausführbares Script einbauen kann.
Da es nur darum geht, etwaigen Befall zu erkennen (deswegen auch read only), nicht zu reparieren, halte ich das für vollkommen ausreichend.

[irix]

Also Commandline Scanner haben sie eigentlich alle und die Linux Versionen im besonderen. Wenn du die VMDKs mit dem VDDK gemountet bekommst dann wuerde ich deine Loesung als Machbar und Sinnvoll erachten. Sollte sich dann ja auch leicht Scripten lassen.

Gruss
Joerg

[Dayworker]

Ob sich das am Ende wirklich sinnvoll scripten läßt, hängt auch davon ab, wie sich das Tool im Fundfall verhält.
Genaueres sollte sich aber in der Doku finden lassen.

[irix]

Da gibts Return Codes zum auswerten. Vor gefuehlten Ewigkeiten hab ich das mal in einer Webapp gemacht welche Dateien in Empfang genommen hat.

Gruss
Joerg

[Mabik]

Ich werde nun die o.G. Lösung testen.
Desweiteren teste ich auch die McAfee Virusscan for offline Images Umgebung, die mMn, wenn sie hält, was sie verspricht, mehrere Fliegen mit einer Klappe schlägt, da sie neben VMDKs auch VHDs und VDIs erkennt und zudem mounten und scannen in einem Schritt erledigt, eine Portion Skepsis ist aber noch vorhanden.

ich danke jedenfalls für den durchaus wertvollen Input und werde bei Interesse Ergebnisse der Tests hier mitteilen.

[Dayworker]

An Ergebnissen solcher Tests sind wir immer interessiert.
Manchmal muß man sich mit Sachen auseinander setzen, die man überhaupt nicht auf der Karte hatte und gewissermaßen als Überraschung trotzdem vorgesetzt bekommt...