私有云安全风险 不容忽视！

企业加速上云的过程中，私有云亦会为构建在高度虚拟化基础设施上的工作负载提供服务，这种方案在大规模云部署的趋势中仍有相当的份额，尤其是在大型组织内部。当网络数据流在虚拟机之间传输，企业用户对敏感信息和高级恶意软件的监视和控制能力会被削弱，此时就要借助关键安全控件或外部手段进行干预。私有云，这个在外人看来相对安全的云方案，也有其自身的弱点。

[[225181]]

虚拟化让资源边界变得模糊，动态扩展了计算、存储、网络资源，打破了传统的物理隔离，使得原有的管理环境复杂起来。无论是基础设施还是系统架构，都有可能随着业务需求的变化而加大不确定性，为运维提出了新的挑战。同时，私有云环境的设备和系统往往归属于不同的厂商，在对接整合时有着不少困难。

例如，当两家大型公司发生并购交易时，双方此前要是拥有两个或以上数量的私有云，合并后在IT架构层面的整合可能长达数月。如果再考虑到不同地理位置、不同业务单元的对接，相互兼容的时间就会更久。通常，私有云环境的租用应该是唯一的，并且由一个云服务商来接管，但实际情况并不总是这样。

私有云对传统网络架构的部署造成了挑战，其原因主要在于流量承载和业务匹配。流量方面，服务器利用率的攀升使得端口流量对数据中心的网络性能和可靠性提出了要求，而各类应用在同一台物理机上运行时，各自对流量的需求模型也是动态多变的。此外，业务虚拟化对虚拟机的迁移也是有要求的，这就导致原有的安全策略不再适用于新的环境，需要动态的匹配机制。

私有云在桌面端的安全风险同样不容忽视，除了由传统终端漏洞带来的潜在威胁，对虚拟化环境所产生的跨域访问、多个虚拟机之间的资源调用和防护等仍有不足之处。以上只是VDI的终端风险，从系统的层面来看，从服务器架构到传输通道，再到客户访问权限，漏洞可能存在于每个细节。以用户层为例，密码验证对企业管理未免过于简单，常见的方案可以用Ukey与SSL科学组合认证，配合MAC地址的限定，防止非授权用户闯入。

私有云的数据存储虽不像公有云那么多变，但也要考虑资源隔离、加密保护、入侵检测、数据销毁等问题。对于部分企业来说，不会关心数据具体放在CSP的哪个虚拟卷或磁盘，这些一般是由后者自行分配的，导致可能出现的情况是，不同保密层级的资源会放在同一个存储介质内，使得调用资源时安全级别低的负载可以“跨级”访问到高敏感度的信息。

私有云环境有其特性所在，要依据实际情况来制定相应的解决方案。首先在网络架构层面，多租户和多业务之间不仅要考虑隔离方案的可行性，还要顾及到网络的可扩展性，像物理防火墙就不再适用于当前资源池的需求。如果采用分布式虚拟化防火墙，就可以对东西向流量进行隔离，而纵向流量则可以利用NFV来解决。

存储方面，除了在数据防护时加强机密性、完整性、可用性的能力，还要考虑到不同应用所采用的加密算法对防护强度的不一致。通常，数据保护会在主机系统上完成，再传输到存储网络中。至于后端检测，则要与主机独立，即使后者被入侵也能对存储介质进行保护。在企业内部，一般会在关键路径上部署检测系统，对读写操作进行抓取、统计、分析，并且建立全域的查错机制，对特征库既要实时更新，也要及时告警。

总的来说，私有云环境的安全性要做到管理的平台化和自动化。构建了弹性可扩展的资源池之后，要借助统一的管理平台对计算、网络、存储等资源进行实时查看，设置到深入到业务逻辑的安全子域和关系链。此外，还要在实现运维自动化的同时，考虑到VMware、Xen、华为等平台的兼容性。