企業(yè)加速上云的過程中，私有云亦會(huì)為構(gòu)建在高度虛擬化基礎(chǔ)設(shè)施上的工作負(fù)載提供服務(wù)，這種方案在大規(guī)模云部署的趨勢中仍有相當(dāng)?shù)姆蓊~，尤其是在大型組織內(nèi)部。當(dāng)網(wǎng)絡(luò)數(shù)據(jù)流在虛擬機(jī)之間傳輸，企業(yè)用戶對(duì)敏感信息和高級(jí)惡意軟件的監(jiān)視和控制能力會(huì)被削弱，此時(shí)就要借助關(guān)鍵安全控件或外部手段進(jìn)行干預(yù)。私有云，這個(gè)在外人看來相對(duì)安全的云方案，也有其自身的弱點(diǎn)。

 虛擬化讓資源邊界變得模糊，動(dòng)態(tài)擴(kuò)展了計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)資源，打破了傳統(tǒng)的物理隔離，使得原有的管理環(huán)境復(fù)雜起來。無論是基礎(chǔ)設(shè)施還是系統(tǒng)架構(gòu)，都有可能隨著業(yè)務(wù)需求的變化而加大不確定性，為運(yùn)維提出了新的挑戰(zhàn)。同時(shí)，私有云環(huán)境的設(shè)備和系統(tǒng)往往歸屬于不同的廠商，在對(duì)接整合時(shí)有著不少困難。

例如，當(dāng)兩家大型公司發(fā)生并購交易時(shí)，雙方此前要是擁有兩個(gè)或以上數(shù)量的私有云，合并后在IT架構(gòu)層面的整合可能長達(dá)數(shù)月。如果再考慮到不同地理位置、不同業(yè)務(wù)單元的對(duì)接，相互兼容的時(shí)間就會(huì)更久。通常，私有云環(huán)境的租用應(yīng)該是唯一的，并且由一個(gè)云服務(wù)商來接管，但實(shí)際情況并不總是這樣。

私有云對(duì)傳統(tǒng)網(wǎng)絡(luò)架構(gòu)的部署造成了挑戰(zhàn)，其原因主要在于流量承載和業(yè)務(wù)匹配。流量方面，服務(wù)器利用率的攀升使得端口流量對(duì)數(shù)據(jù)中心的網(wǎng)絡(luò)性能和可靠性提出了要求，而各類應(yīng)用在同一臺(tái)物理機(jī)上運(yùn)行時(shí)，各自對(duì)流量的需求模型也是動(dòng)態(tài)多變的。此外，業(yè)務(wù)虛擬化對(duì)虛擬機(jī)的遷移也是有要求的，這就導(dǎo)致原有的安全策略不再適用于新的環(huán)境，需要?jiǎng)討B(tài)的匹配機(jī)制。

私有云在桌面端的安全風(fēng)險(xiǎn)同樣不容忽視，除了由傳統(tǒng)終端漏洞帶來的潛在威脅，對(duì)虛擬化環(huán)境所產(chǎn)生的跨域訪問、多個(gè)虛擬機(jī)之間的資源調(diào)用和防護(hù)等仍有不足之處。以上只是VDI的終端風(fēng)險(xiǎn)，從系統(tǒng)的層面來看，從服務(wù)器架構(gòu)到傳輸通道，再到客戶訪問權(quán)限，漏洞可能存在于每個(gè)細(xì)節(jié)。以用戶層為例，密碼驗(yàn)證對(duì)企業(yè)管理未免過于簡單，常見的方案可以用Ukey與SSLVPN組合認(rèn)證，配合MAC地址的限定，防止非授權(quán)用戶闖入。

私有云的數(shù)據(jù)存儲(chǔ)雖不像公有云那么多變，但也要考慮資源隔離、加密保護(hù)、入侵檢測、數(shù)據(jù)銷毀等問題。對(duì)于部分企業(yè)來說，不會(huì)關(guān)心數(shù)據(jù)具體放在CSP的哪個(gè)虛擬卷或磁盤，這些一般是由后者自行分配的，導(dǎo)致可能出現(xiàn)的情況是，不同保密層級(jí)的資源會(huì)放在同一個(gè)存儲(chǔ)介質(zhì)內(nèi)，使得調(diào)用資源時(shí)安全級(jí)別低的負(fù)載可以“跨級(jí)”訪問到高敏感度的信息。

私有云環(huán)境有其特性所在，要依據(jù)實(shí)際情況來制定相應(yīng)的解決方案。首先在網(wǎng)絡(luò)架構(gòu)層面，多租戶和多業(yè)務(wù)之間不僅要考慮隔離方案的可行性，還要顧及到網(wǎng)絡(luò)的可擴(kuò)展性，像物理防火墻就不再適用于當(dāng)前資源池的需求。如果采用分布式虛擬化防火墻，就可以對(duì)東西向流量進(jìn)行隔離，而縱向流量則可以利用NFV來解決。

存儲(chǔ)方面，除了在數(shù)據(jù)防護(hù)時(shí)加強(qiáng)機(jī)密性、完整性、可用性的能力，還要考慮到不同應(yīng)用所采用的加密算法對(duì)防護(hù)強(qiáng)度的不一致。通常，數(shù)據(jù)保護(hù)會(huì)在主機(jī)系統(tǒng)上完成，再傳輸?shù)酱鎯?chǔ)網(wǎng)絡(luò)中。至于后端檢測，則要與主機(jī)獨(dú)立，即使后者被入侵也能對(duì)存儲(chǔ)介質(zhì)進(jìn)行保護(hù)。在企業(yè)內(nèi)部，一般會(huì)在關(guān)鍵路徑上部署檢測系統(tǒng)，對(duì)讀寫操作進(jìn)行抓取、統(tǒng)計(jì)、分析，并且建立全域的查錯(cuò)機(jī)制，對(duì)特征庫既要實(shí)時(shí)更新，也要及時(shí)告警。

總的來說，私有云環(huán)境的安全性要做到管理的平臺(tái)化和自動(dòng)化。構(gòu)建了彈性可擴(kuò)展的資源池之后，要借助統(tǒng)一的管理平臺(tái)對(duì)計(jì)算、網(wǎng)絡(luò)、存儲(chǔ)等資源進(jìn)行實(shí)時(shí)查看，設(shè)置到深入到業(yè)務(wù)邏輯的安全子域和關(guān)系鏈。此外，還要在實(shí)現(xiàn)運(yùn)維自動(dòng)化的同時(shí)，考慮到VMware、Xen、華為等平臺(tái)的兼容性。