概述
云計(jì)算被稱為是繼個(gè)人PC、互聯(lián)網(wǎng)之后的第三次信息化革命，不僅實(shí)現(xiàn)了IT技術(shù)的革新，更是IT商業(yè)模式和服務(wù)模式的一次重大變革。越來越多的商業(yè)活動(dòng)幾乎都采用云計(jì)算技術(shù)作為后臺支撐，實(shí)現(xiàn)按需服務(wù)，按需計(jì)費(fèi)。
我國對云計(jì)算的產(chǎn)業(yè)高度重視，已把云計(jì)算產(chǎn)業(yè)的發(fā)展提到了國家戰(zhàn)略的高度，在十二五規(guī)劃中將云計(jì)算列入重點(diǎn)扶植的戰(zhàn)略新興產(chǎn)業(yè)。通過云計(jì)算技術(shù)縮小中小企業(yè)和大企業(yè)的IT應(yīng)用差距，讓每個(gè)人能以極低的成本獲得頂尖的信息技術(shù)和服務(wù)。
隨著云計(jì)算市場規(guī)模的不斷擴(kuò)大，應(yīng)用場景涉及到個(gè)人數(shù)據(jù)存儲(chǔ)、企業(yè)數(shù)據(jù)及應(yīng)用支撐、國家公共基礎(chǔ)設(shè)施支撐等多個(gè)領(lǐng)域，云安全自然已成為業(yè)界關(guān)注的焦點(diǎn)。
云計(jì)算從部署場景分為公有云、私有云和混合云，本文將重點(diǎn)介紹在企業(yè)私有云建設(shè)過程中，云安全該如何考慮？什么時(shí)候考慮？
什么是信息安全？
對于什么是信息安全的概念，不同的人可能解釋也不同。ISO/IEC、美國國家安全系統(tǒng)委員會(huì)和國際信息系統(tǒng)審計(jì)協(xié)會(huì)三家對信息安全的定義大同小異，其目標(biāo)一致，都指出保障信息安全的最重要目的是保護(hù)信息的機(jī)密性、完整性和可用性。
定義概述為“為了保障機(jī)密性、完整性和可用性而保護(hù)信息和信息系統(tǒng)，以防止授權(quán)的訪問、使用、泄露、中斷、修改或者破壞”。
機(jī)密性：
簡而言之，信息僅能夠被授權(quán)的個(gè)人、組織、系統(tǒng)或流程訪問，不應(yīng)該被任何其他非授權(quán)行為獲取。例如銀行賬戶的交易流水和余額的信息，除賬戶持有人或經(jīng)賬戶持有人授權(quán)的主體可以看到以外，其他人或組織不得查詢或獲取。
完整性：
簡而言之，就是確保信息的一致性、準(zhǔn)確性和可信賴性，不允許信息被篡改。例如用戶通過銀行網(wǎng)頁提交個(gè)人信息為開通賬戶。數(shù)據(jù)是通過網(wǎng)頁形式提交的，銀行要通過某種措施，進(jìn)行數(shù)據(jù)的校驗(yàn)，確保用戶提交的信息和最終存儲(chǔ)的信息的準(zhǔn)確性。
可用性：
簡而言之，就是業(yè)務(wù)連續(xù)性的體現(xiàn)，確保用戶可以隨時(shí)獲得已授權(quán)的信息。例如銀行要隨時(shí)確保用戶可以通過ATM、網(wǎng)銀、柜臺、移動(dòng)終端等多種方式進(jìn)行金融服務(wù)。
在考慮信息安全的時(shí)候，一定要把保障信息安全的三大屬性作為重要的目標(biāo)，從而建立完善和有效的保護(hù)措施，確保業(yè)務(wù)的可持續(xù)性和數(shù)據(jù)的安全性，更多信息安全方面的概念及介紹可以參考《淺談企業(yè)信息安全架構(gòu)之縱深防御模型》。
私有云前世今生
云計(jì)算可不像西游記中的孫猴子一樣，從石頭縫中一下子蹦出來。它是經(jīng)過了16年的技術(shù)發(fā)展與業(yè)務(wù)需求而形成的。16年前，那個(gè)時(shí)期的計(jì)算機(jī)又笨重又昂貴，根本談不上普及。之后隨著芯片技術(shù)和軟件計(jì)算的發(fā)展，體型越來越小，速度越來越快，價(jià)格逐漸親民。各個(gè)企業(yè)可以購買符合業(yè)務(wù)性能需求的物理機(jī)，放到數(shù)據(jù)中心進(jìn)行集中式的計(jì)算，這就形成了最原始的傳統(tǒng)數(shù)據(jù)中心模型。
隨著業(yè)務(wù)的快速增長，IT需求強(qiáng)烈，采購傳統(tǒng)物理機(jī)需求暴增，成本逐年提高。但從運(yùn)維角度發(fā)現(xiàn)，大量服務(wù)器的性能并未被全部使用，造成嚴(yán)重的資源浪費(fèi)。為解決此問題，雛形的云計(jì)算基礎(chǔ)形成，也就是虛擬化技術(shù)。將一臺物理機(jī)邏輯分隔成多個(gè)虛擬機(jī)，每個(gè)虛擬機(jī)相互隔離，提供不同的業(yè)務(wù)服務(wù)。
虛擬化解決了資源浪費(fèi)的問題，但在服務(wù)的提供和使用上，與物理機(jī)類似，依然存在資源超配的現(xiàn)象。隨著需求精細(xì)化、資源可視化的需求，云計(jì)算誕生了。根據(jù)需要的計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)等資源實(shí)現(xiàn)按需付費(fèi)。人們使用資源時(shí)不再需要擁有自己的計(jì)算系統(tǒng)，就像使用水、電一樣，不需要自己建立發(fā)電站和水廠。
云計(jì)算從部署場景又分為公有云、私有云和混合云：
私有云：
顧名思義，是為一個(gè)個(gè)人、組織、公司提供專有資源的云計(jì)算平臺。自建基礎(chǔ)設(shè)施，并控制在此基礎(chǔ)設(shè)施上部署應(yīng)用程序的方式。提供對數(shù)據(jù)、安全性和服務(wù)質(zhì)量的最有效控制。私有云可部署在企業(yè)數(shù)據(jù)中心的防火墻內(nèi)，也可以部署在一個(gè)安全的主機(jī)托管場所，私有云的核心屬性是專有資源。
公有云：
一般是指第三方提供商，如AWS、阿里、騰訊等公有云廠商，為用戶提供服務(wù)的云。通過互聯(lián)網(wǎng)，提供免費(fèi)或成本低廉的服務(wù)，公有云的核心屬性是共享資源服務(wù)。
混合云：
就是融合了私有云和公有云服務(wù)模型，來提供云計(jì)算解決方案?；旌显品?wù)將內(nèi)部IT基礎(chǔ)架構(gòu)與其他公有云產(chǎn)品和服務(wù)集成在一起，以滿足企業(yè)的特定和獨(dú)特需求。
圖1-云計(jì)算發(fā)展進(jìn)程
云架構(gòu)與傳統(tǒng)架構(gòu)的區(qū)別？
云架構(gòu)和傳統(tǒng)架構(gòu)如果不說一下，很可能會(huì)讓讀者混淆。其實(shí)云計(jì)算最大的好處就是便利，用戶按需索取，服務(wù)商按需提供。
傳統(tǒng)IT架構(gòu)較為封閉，計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)相對集中，管理分化，各個(gè)資源相對獨(dú)立。
傳統(tǒng)架構(gòu)的特點(diǎn)：
物理資源相對獨(dú)立，如計(jì)算、網(wǎng)絡(luò)、存儲(chǔ)等設(shè)備；
存儲(chǔ)架構(gòu)集中，普遍采用集中式存儲(chǔ)；
數(shù)據(jù)集中存儲(chǔ)，可靠性問題明顯；
性能主要集中在單機(jī)處理能力，無聯(lián)動(dòng)機(jī)制；
資源彈性擴(kuò)展能力受限；
自動(dòng)化運(yùn)維方式欠缺，運(yùn)維人員多。
首先要了解，云計(jì)算架構(gòu)主要是為了解決業(yè)務(wù)擴(kuò)展性和高并發(fā)的需求。從架構(gòu)劃分，可以分為基礎(chǔ)設(shè)施層【IAAS】、平臺層【PAAS】和軟件服務(wù)【SAAS】三個(gè)層。
圖2-云計(jì)算服務(wù)模型
IAAS：
Infrastructure as a service【基礎(chǔ)設(shè)施即服務(wù)】，包括服務(wù)器、網(wǎng)絡(luò)、存儲(chǔ)等設(shè)備，池化計(jì)算、網(wǎng)絡(luò)和存儲(chǔ)等IT基礎(chǔ)設(shè)施資源，將基礎(chǔ)設(shè)施資源作為服務(wù)，按需提供給用戶。用戶無需購買任何硬件即可使用基礎(chǔ)設(shè)施資源。
PAAS:
Platform as a Service【平臺即服務(wù)】，是指將一個(gè)完整的軟件研發(fā)和部署平臺，包括應(yīng)用設(shè)計(jì)、應(yīng)用開發(fā)、應(yīng)用測試和應(yīng)用托管，都作為一種服務(wù)提供給客戶。在這種服務(wù)模式中，客戶不需要購買硬件和軟件，只需要利用PaaS平臺，按需索取，就能創(chuàng)建、測試和部署應(yīng)用和服務(wù)。
SAAS：
Software as a service【軟件即服務(wù)】，是一種通過互聯(lián)網(wǎng)提供軟件服務(wù)的軟件應(yīng)用模式。在這種模式下，用戶不需要再花費(fèi)大量投資用于硬件、軟件和開發(fā)團(tuán)隊(duì)的建設(shè)，只需要支付一定的租賃費(fèi)用，就可以通過互聯(lián)網(wǎng)享受到相應(yīng)的服務(wù)，而且整個(gè)系統(tǒng)的維護(hù)也由廠商負(fù)責(zé)，如Gmail、網(wǎng)盤、QQ郵箱等應(yīng)用。
云計(jì)算架構(gòu)的特點(diǎn)：
分布式架構(gòu)、靈活擴(kuò)展；
海量資源，按需分配；
資源動(dòng)態(tài)分布，無物理限制；
性能彈性，動(dòng)態(tài)調(diào)整；
分布式存儲(chǔ)，數(shù)據(jù)高可用；
運(yùn)維自動(dòng)化程度高。
圖3-云計(jì)算維護(hù)模型
私有云架構(gòu)面臨的安全挑戰(zhàn)與防御措施
隨著私有云在不同行業(yè)、企業(yè)普及率越來越高，規(guī)劃快速擴(kuò)大，已經(jīng)成為企業(yè)核心平臺之一。私有云上的系統(tǒng)的數(shù)據(jù)與信息安全將依賴于私有云計(jì)算平臺所提供的保密性和安全性。一旦云平臺安全受到威脅并被利用，無疑給云上應(yīng)用造成了重大威脅。
所以隨著云計(jì)算市場規(guī)模的擴(kuò)張，也給云計(jì)算平臺的安全帶來了前所未有的挑戰(zhàn)。
私有云架構(gòu)面臨的安全挑戰(zhàn)
本文主要從技術(shù)安全挑戰(zhàn)和管理安全挑戰(zhàn)兩個(gè)方面對私有云架構(gòu)面臨的風(fēng)險(xiǎn)進(jìn)行闡述。
技術(shù)安全挑戰(zhàn)：
網(wǎng)絡(luò)數(shù)據(jù)流在虛擬機(jī)之間傳輸時(shí)，IT人員對敏感信息、高級惡意軟件的監(jiān)視及控制能力被削弱；
私有云對傳統(tǒng)網(wǎng)絡(luò)架構(gòu)的靈活度和帶寬要求較高；
私有云存儲(chǔ)中的數(shù)據(jù)面臨資源隔離、加密保護(hù)、入侵檢測、數(shù)據(jù)銷毀等問題；
漏洞頻發(fā)，主機(jī)間遷移能力升級過程中對業(yè)務(wù)有影響。
管理安全挑戰(zhàn)：
私有云平臺管理無平臺化支撐，需要借助統(tǒng)一的管理平臺對計(jì)算、網(wǎng)絡(luò)、存儲(chǔ)等資源進(jìn)行實(shí)時(shí)查看；
私有云平臺自動(dòng)化管理能力亟待提高，使自服務(wù)基礎(chǔ)設(shè)施成為可能；
私有云平臺要集成供應(yīng)和編排引擎；
混合云作為未來的云趨勢，在私有云平臺建設(shè)過程中要考慮混合云模型過渡。
私有云架構(gòu)的安全防御措施
私有云從整個(gè)架構(gòu)來說與傳統(tǒng)環(huán)境沒有本質(zhì)性區(qū)別，所以從安全角度來說，面臨的安全問題和傳統(tǒng)環(huán)境面臨的安全問題無異。與以往操作系統(tǒng)面臨的七層安全問題一樣，在私有云情況下依然面臨同樣的安全問題。但由于私有云資源【計(jì)算、網(wǎng)絡(luò)、存儲(chǔ)】為集中管控，所以從安全角度來說容易管控，不像以往的分散管控。
繼承傳統(tǒng)安全問題的同時(shí)，私有云還有哪些新的防護(hù)模式要部署？同樣我們依然遵守微軟的STRIDE威脅分析模型進(jìn)行分析和出具防御措施。
STRIDE威脅分析模型是微軟提出的一套安全設(shè)計(jì)方法論，六個(gè)字母代表六種安全威脅，分別是：
身份假冒（Spoofing）：
身份假冒，即偽裝成某對象或某人。例如，通過偽裝成別人的身份進(jìn)行操作。
篡改（Tampering）：
篡改，即未經(jīng)授權(quán)的情況下，修改數(shù)據(jù)或者代碼。例如，非授權(quán)人員通過網(wǎng)絡(luò)抓包或者
某種途徑修改某個(gè)請求包，使得篡改的請求包提交成功。
抵賴（Repudiation）：
抵賴，即拒絕執(zhí)行他人無法證實(shí)也無法反對的行為而產(chǎn)生抵賴。例如，A攻擊了某個(gè)產(chǎn)品，產(chǎn)品方并不知道是A做的，沒有證據(jù)證明是A做的，A就可以進(jìn)行抵賴。
信息泄露（Information Disclosure）:
信息泄露，即將信息暴露給未授權(quán)用戶。例如，通過某種途徑獲取未經(jīng)加密的敏感信息。
拒絕服務(wù)（DenialofService）：
拒絕服務(wù)，即拒絕或降低有效用戶的服務(wù)級別。例如，通過拒絕服務(wù)攻擊，使得其他正常用戶無法使用產(chǎn)品的相關(guān)服務(wù)功能。
特權(quán)提升（Elevation of Privilege）：
特權(quán)提升，即通過非授權(quán)方式獲得更高權(quán)限。例如，試圖用管理員的權(quán)限進(jìn)行業(yè)務(wù)操作。
圖4-STRIDE威脅分析模型（摘自互聯(lián)網(wǎng)）
微軟的全系產(chǎn)品都是基于它進(jìn)行安全考慮與設(shè)計(jì)。STRIDE模型幾乎是可以涵蓋現(xiàn)在世界上絕大部分的安全問題。
但這些威脅根據(jù)其性質(zhì)，基本上可以歸結(jié)為以下幾個(gè)方面：
信息泄露：被保護(hù)的信息被無意或有意的泄露；
破壞信息的完整性：被保護(hù)的數(shù)據(jù)被非法篡改或破壞；
拒絕服務(wù)：非法阻止合法信息使用者對信息服務(wù)的訪問；
非授權(quán)訪問：受保護(hù)資源被非授權(quán)個(gè)人或組織進(jìn)行使用；
竊聽：利用用各種可能的非法的手段竊取系統(tǒng)中受保護(hù)的信息資源和敏感信息；
假冒：通過欺騙通信系統(tǒng)或用戶，達(dá)到非法用戶冒充成為合法用戶，或者特權(quán)小的用戶冒充成為特權(quán)大的用戶的目的。黑客攻擊往往采用此方式，偽裝欺騙用戶，達(dá)到目的；
漏洞攻擊：攻擊者利用系統(tǒng)的安全缺陷或漏洞獲得非法的權(quán)限；
內(nèi)部攻擊：被授權(quán)以某一目的使用某一系統(tǒng)或資源的某個(gè)人，卻將此權(quán)限用于其他非授權(quán)的目的；
抵賴：通常為內(nèi)部攻擊的分支，攻擊者否認(rèn)自己曾經(jīng)發(fā)布過的某條消息；
計(jì)算機(jī)病毒：一種在計(jì)算機(jī)系統(tǒng)運(yùn)行過程中能夠?qū)崿F(xiàn)傳染和侵害功能的程序；
法律法規(guī)不完善：由于信息安全法規(guī)法律方面的不完善，給信息竊取、信息破壞者以可趁之機(jī)。
私有云的安全方面，建議從以下幾個(gè)層次去考慮：
終端層（用戶層）
終端層也稱為用戶層，主要是要確保用戶訪問云資源時(shí)，處于一個(gè)安全的終端環(huán)境；
應(yīng)用層
為云平臺承載的發(fā)布業(yè)務(wù)，確保發(fā)布的應(yīng)用實(shí)現(xiàn)通信加密、數(shù)據(jù)脫敏及訪問控制等；
數(shù)據(jù)層
確保云上數(shù)據(jù)，包括用戶數(shù)據(jù)、系統(tǒng)數(shù)據(jù)及平臺數(shù)據(jù)【VM】，處于加密狀態(tài)，可用狀態(tài)；
系統(tǒng)層
確保云上系統(tǒng)，包括云平臺、云宿主和VM處于安全狀態(tài)，漏洞及時(shí)更新；
網(wǎng)絡(luò)層
網(wǎng)絡(luò)作為云平臺的血脈至關(guān)重要，要確保網(wǎng)絡(luò)通路的順暢及通信加密；
基礎(chǔ)設(shè)施層
高可用的基礎(chǔ)設(shè)施架構(gòu)，是確保業(yè)務(wù)連續(xù)性的前提條件；
運(yùn)維層
云平臺內(nèi)各種資源的訪問控制應(yīng)及時(shí)進(jìn)行安全審計(jì)，確保操作可控、運(yùn)維透明。
私有云架構(gòu)安全設(shè)計(jì)實(shí)踐
通過上文了解了什么是私有云以及信息安全的威脅源，本章主要介紹如何通過之前文章介紹的縱深防御模型（《淺談企業(yè)信息安全架構(gòu)之縱深防御模型》），分層次的精準(zhǔn)部署安全策略，做到有的放矢，對私有云進(jìn)行保護(hù)，提升云平臺安全威脅防御能力。
安全的原則
通過信息安全業(yè)界專家和學(xué)者的多年研究，總結(jié)出10個(gè)最關(guān)鍵且有效的安全原則，分別是：
縱深防御；
運(yùn)用戴明環(huán)模型；
最小權(quán)限；
白名單機(jī)制；
失敗安全；
避免通過隱藏功能實(shí)現(xiàn)安全；
入侵檢測；
不信任第三方系統(tǒng)；
默認(rèn)安全配置；
業(yè)務(wù)隔離
這10個(gè)基本原則，基本保證了業(yè)務(wù)的基本信息安全要求，每個(gè)原則具體的含義可以參考之前我在TWT發(fā)表的《淺談企業(yè)信息安全架構(gòu)之縱深防御模型》。
架構(gòu)設(shè)計(jì)
通過在各層級部署防御措施，實(shí)現(xiàn)系統(tǒng)多層次、多維度的安全防御，構(gòu)筑相對安全的防御模型，提升私有云平臺整體的防御能力。
圖5-安全防御示意圖
以下是各個(gè)層級常用的一些安全防御技術(shù)分享，通過每層的安全加固，實(shí)現(xiàn)云平臺整體的安全。
終端層（用戶層）：
用戶的桌面環(huán)境可能是Windows，也可能是Linux，但是無論哪種操作系統(tǒng)，都應(yīng)該至少做到以下幾點(diǎn)，盡可能確保終端環(huán)境的安裝：
1、安裝殺毒軟件，病毒庫更新到最新；
2、定期更新系統(tǒng)漏洞，確保系統(tǒng)自身相對安全；
3、避免安裝未授權(quán)軟件及禁止訪問未知網(wǎng)站；
4、禁止安裝不明插件。
應(yīng)用層：
1、應(yīng)用門戶應(yīng)部署SSL數(shù)字證書，實(shí)現(xiàn)通信加密，防止數(shù)據(jù)傳輸過程中被竊取；
2、租戶間進(jìn)行邏輯隔離，進(jìn)行訪問控制；
3、建立應(yīng)用審計(jì)機(jī)制，對應(yīng)用訪問進(jìn)行審計(jì)；
4、加固應(yīng)用自身架構(gòu)，減少應(yīng)用自身漏洞。
數(shù)據(jù)層：
1、建立數(shù)據(jù)庫審計(jì)機(jī)制，對關(guān)鍵行為進(jìn)行阻止與告警；
2、核心數(shù)據(jù)進(jìn)行加密存儲(chǔ)，私鑰異地保存；
3、建立系統(tǒng)備份機(jī)制，對核心數(shù)據(jù)進(jìn)行異地備份；
4、底層不同租戶數(shù)據(jù)邏輯隔離存儲(chǔ)，防止數(shù)據(jù)共享。
系統(tǒng)層：
1、統(tǒng)一身份認(rèn)證，授權(quán)訪問；
2、部署堡壘機(jī)，實(shí)現(xiàn)精準(zhǔn)授權(quán)運(yùn)維；
3、開啟系統(tǒng)防火墻，授權(quán)流量訪問；
4、部署補(bǔ)丁管理系統(tǒng)，針對安全和關(guān)鍵補(bǔ)丁進(jìn)行下發(fā)；
5、部署虛擬機(jī)微隔離機(jī)制，實(shí)現(xiàn)東西向VM隔離；
6、宿主機(jī)安裝殺毒軟件，防止發(fā)生虛機(jī)溢出。
網(wǎng)絡(luò)層：
1、互聯(lián)網(wǎng)區(qū)部署ADS【抗拒絕攻擊】WAF【應(yīng)用防火墻】IPS【入侵防御】IDS【入侵檢測】；
2、部署下一代防火墻，阻止南北流向的非法訪問及病毒流量；
3、建立負(fù)載均衡機(jī)制，對大流量進(jìn)行分流；
4、建立態(tài)勢感知平臺，對南北、東西威脅進(jìn)行預(yù)警、追蹤及分析。
基礎(chǔ)設(shè)施層：
1、租賃或自建符合國家數(shù)據(jù)中心機(jī)房建設(shè)B級標(biāo)準(zhǔn)或以上的機(jī)房，確保風(fēng)、火、水、電等基礎(chǔ)設(shè)施高可用；
2、計(jì)算資源、網(wǎng)絡(luò)資源及存儲(chǔ)資源均采用高可用部署機(jī)制；
3、建立訪問控制體系，拒絕非授權(quán)訪問；
4、有條件的企業(yè)可以建立多云災(zāi)備機(jī)制。
運(yùn)維層：
1、基于ITIL，建立運(yùn)維體系流程，如：變更流程、應(yīng)用上下線流程、VM生命周期管理管理等；
2、建立私有云安全風(fēng)險(xiǎn)應(yīng)急機(jī)制，應(yīng)對突發(fā)事件發(fā)生；
3、建立一支經(jīng)驗(yàn)豐富的云運(yùn)維團(tuán)隊(duì)，提供技術(shù)支持。
私有云安全運(yùn)營
一個(gè)完整的私有云防御離不開技術(shù)與管理，正所謂“三分技術(shù)，七分管理”。要保障云平臺安全，除了有必要的技術(shù)手段支持以外，還要考慮組織和管理的因素，也就是人、流程與制度的因素。
告警機(jī)制
做運(yùn)維的都知道，監(jiān)控系統(tǒng)就如一雙眼睛，可以7*24小時(shí)看護(hù)系統(tǒng)的運(yùn)行狀態(tài)，你累它不累，你困它不困，你休息它不休息。一個(gè)好的告警機(jī)制，可以在隱患發(fā)生前告訴管理員，化解風(fēng)險(xiǎn)。
私有云作為資源集中管控的一個(gè)平臺，告警機(jī)制的建立就尤為重要，監(jiān)控指標(biāo)更是多不勝數(shù)。涉及IT基礎(chǔ)設(shè)施層、資源層、平臺控制層、應(yīng)用層及網(wǎng)路鏈路。主要分為以下幾個(gè)維度：
系統(tǒng)資源監(jiān)控：
主要是對計(jì)算系統(tǒng)、存儲(chǔ)系統(tǒng)及網(wǎng)絡(luò)系統(tǒng)的CPUMEM硬盤等核心參數(shù)進(jìn)行監(jiān)控，避免因?yàn)楦哓?fù)載，造成VM的頻繁遷移甚至宕機(jī)。
平臺利用率監(jiān)控：
監(jiān)控私有云平臺內(nèi)VM的分布情況，對于分布不均勻的區(qū)塊進(jìn)行調(diào)整。
訪問控制監(jiān)控：
監(jiān)控未授權(quán)的訪問以及暴力破解事件，如平臺訪問、系統(tǒng)訪問等。
網(wǎng)絡(luò)質(zhì)量監(jiān)控：
監(jiān)控平臺虛擬機(jī)、宿主機(jī)間的網(wǎng)絡(luò)流量，避免大流量的產(chǎn)生。監(jiān)控用戶到平臺的鏈路狀態(tài)。
安全風(fēng)險(xiǎn)監(jiān)控：
監(jiān)控云平臺周邊安全設(shè)備的狀態(tài)和安全事件，如ADSWAFIPS產(chǎn)生的告警日志，及時(shí)收集與分析。
流程化管控
正所謂“制度管人，流程管事”?；诹鞒袒芾?，私有云運(yùn)營團(tuán)隊(duì)可以根據(jù)不同的安全事件、安全請求、系統(tǒng)變更進(jìn)行快速響應(yīng)和精確處理。量化安全事件和安全處理情況，為精細(xì)化運(yùn)營提供佐證。
自動(dòng)化
私有云平臺是各種資源的集中體現(xiàn)，無論計(jì)算節(jié)點(diǎn)、存儲(chǔ)節(jié)點(diǎn)還是網(wǎng)絡(luò)節(jié)點(diǎn)都會(huì)隨著業(yè)務(wù)的發(fā)展進(jìn)行不斷的擴(kuò)容。從初期的幾個(gè)節(jié)點(diǎn)發(fā)展到龐大的數(shù)據(jù)中心，單靠人工已經(jīng)無法滿足在技術(shù)、業(yè)務(wù)、管理等方面的要求。同時(shí)考慮運(yùn)維成本的增加，自動(dòng)化運(yùn)維是必經(jīng)之路。
提高運(yùn)維人員主動(dòng)意識、提高運(yùn)維手段；
形成一套高效的IT運(yùn)維機(jī)制；
利用高效的IT運(yùn)維技術(shù)工具，提高運(yùn)維效率。
結(jié)束語
信息安全防御措施必須滲透到系統(tǒng)的每個(gè)環(huán)節(jié)，通過信息安全管理以確保私有云平臺的系統(tǒng)安全。
私有云的安全與傳統(tǒng)架構(gòu)安全無異，只是需要投入更多的精力，更細(xì)化的安全策略。企業(yè)在規(guī)劃私有云平臺的架構(gòu)時(shí)，建議融入安全因素，參考信息安全縱深防御模型，從多個(gè)層次對私有云平臺進(jìn)行保駕護(hù)航，確保整體云平臺正常提供云服務(wù)。
【作者】張志強(qiáng)，多年的云計(jì)算、虛擬化架構(gòu)設(shè)計(jì)、企業(yè)信息化建設(shè)、自動(dòng)化運(yùn)維經(jīng)驗(yàn)。熟練掌握X86、Power、存儲(chǔ)、虛擬化等硬件設(shè)備調(diào)優(yōu)與配置。擁有豐富的混合云架構(gòu)及管理經(jīng)驗(yàn)，信息安全及網(wǎng)絡(luò)架構(gòu)的設(shè)計(jì)與運(yùn)維。
