云计算这两年谈的都很火，大家了解比较多的云计算是像谷歌、微软、亚马逊这些大型的“公有云”。在国内，云计算大家更切身体会是各地方大型企业、政府建立的云计算系统，也就是我们所说的企业“私有云”，这个时候我们会发现一个问题，在新的互联网时代里，安全问题非常突出，云计算改变网络环境，这种情况下，怎样保护“私有云”安全愈发重要。绿色云通过他自己的角度来讲解企业“私有云”都会面临哪些安全威胁，怎样防护。
什么样才算企业“私有云”，它具备哪些特征？
说到企业“私有云”，我们不得不谈到“公有云”，和以往网络环境相比，“公有云”主要有以下几个特性，首先是它的资源灵活性，不再像以往固定不变，在“公有云”的情况下，它所有的这些资源都成为可变量。很多人都知道，就像你家里的水、电想用多少就给多少。随着“公有云”在市场的接受程度越来越大，随之政府和企业都开始考虑安全问题，不愿意用“公有云”，这时候就出现了新的概念，企业“私有云”。“私有云”的概念和以往相比，可以说是在传统基础上借鉴“公有云”架构而发展起来的。
那么它和以往传统云有什么变化？“私有云”可以由以下几个方面组成：
第一个，像普通“公有云”一样，将资源进行集中管理，比如存储资源，传统方式都是分散的，管理起来做备份不方便，在“私有云”环境下，它可以把整个的存储资源都放在同一个环境里，备份、管理方便，这是它的特性，这里说的不仅仅是存储资源，还包括计算资源等。
另外一个和以往特性相比不同之处在于虚拟化，以往的是基于物理环境，在虚拟化环境下，为了更大限度的利用到企业的计算能力和存储能力，它会把一台物理器放在虚拟器里，绝大多数物理机资源的利用度只有10%-15%左右，在这种情况下，在一台物理机上整合几台物理机可以大大提高利用度，从企业“私有云”角度来讲，这是带来的第二个好处。
第三个好处，集中管理和安全控制带来的方便。大家知道所有资源都是集中起来的，所以管理起来不再需要以往的分散资源，现在集中在数据中心里，做安全控制时也变的更加方便。所有的数据库、存储都集中在同一个地方，这是企业“私有云”主要特性。
那么它会面临哪些新的安全问题？它所面临的问题是以前老的安全问题的延续么？
因为企业“私有云”，从它的整个架构来说和传统环境来说，其实没有本质性区别。所以从安全角度来说，它面临的安全问题，以往环境面临什么样的安全问题它现在面临同样的安全问题。但是由于它的资源是集中管控，所以说在管控的时候，从安全角度来说更容易管控，而不像以往的分散管控比较困难，从这个角度来说更容易一些。
像以往面临的数据安全、网络层安全、应用层安全，所有以往操作系统面临的七层安全问题在“私有云”情况下依然面临同样的安全问题。
也就是说企业老的安全问题现在全面继承过来了。那么在防护企业私有云的时候，是会依然采取老的方式进行防护？还是有新的防护方式？
如果企业采用“私有云”架构，虽然面临的威胁跟以往相比没有本质区别，但是采取措施方面简单很多，因为集中管控，只要把核心资源方面七层安全做好了，整个安全也能达到相当的程度，比以往容易多了。以往很多it人员疲于奔命，24小时不得安宁。
案例分享：有一个企业，为了管控资源的方便，甚至于每个企业桌面端不安装任何应用软件，数据完全存在服务器端，也就是说客户端一旦有什么安全威胁或者机器被黑，不会有太大的安全威胁。目前，微软也采用这种方式“应用的虚拟化”，所有的应用软件都不需要安装在客户端，都是在服务器集中安装。
计算机里只需要安装浏览器，其他不需要。
对，也不对。因为对于绝大多数消费者用户来说，他可能需要的就是浏览器，但是从另外角度来说，玩网络游戏，需要下载所有网络游戏客户端，要在本地有强大客户进行支持，如果仅仅是浏览器不把资源下载到本地，游戏根本没有办法玩，所以需要按照不同的应用进行区分。从这种意义上来说，pc机不会消亡，不会变成只需要有浏览器、简单的操作系统就能运行，应该没有到这个程度，还是要取决于应用。
apt攻击下的企业私有云
今年大家都经常说apt攻击，今年很多世界的著名企业都曾经被apt所攻击过，而且造成不同程度的损失，在中国国内企业“私有云”逐步显现，有些大型企业都已经建立安全云端环境下，这种攻击对企业“私有云”会造成哪些比较致命的伤害，我们应该如何去防护？
在安全界里有个不成文的说法：如果有想攻击你网络的，应该没有不成功的。在这种情况下，没有百分之一百安全的网络，为了防范这种攻击，一旦发生这种攻击的时候，企业有没有应急备案进行防范，或者企业有没有防范机制使得这种攻击在偷取企业信息时变得更加困难。在以往几年里，应该从来没听说过微软的网站被黑掉，或者微软的原代码被偷走，这是因为其内部采用了分级防御方式。防范一个网络、防范系统的时候，不能只设一层防御，要层层设防。我们的理念是什么，按照不同的层，比如物理层、主机层、操作系统层、应用软件层、数据层等七层，每一层都设定防范措施，当攻击试图偷取企业内部信息的时候，需要突破所有七层的防范，才能拿到最终要偷取的敏感信息。在攻击七层的时候，比如你攻破物理层的时候，所需要的技能跟攻破网络层的技能是不一样的，这样就带来很大的难度，同时当你进行分级保护的时候，你的攻击时间会变的比较长。企业一般都会对路径进行防范措施，(当恶意攻击者的攻击时间过长时)企业就有足够时间监测到攻击，这样对攻击来讲风险也变的更大，采用这种方式，不是说100%防护，至少能使你企业信息受到保护程度最大。
面对apt攻击的时候，企业想完全保护不受损失是完全不可能，但如果采用分级防护、多层防线的方式时，至少可以把损失降到最低。
从过去出现的案例来看，比如敏感信息被偷等等，如果从绿色云的角度来说，他前几层都突破了，突破到最后的数据层，如果数据层采用加密方法进行了防范，可能使的最后一层就变的很困难。假如把存入数据库的信息全部加密，这样即使攻击者有手段突入到数据库里、拿到数据库的超级管理员权限，但他拿到的数据也都是加了密的，如果没有密钥、不知道加密算法，通过暴力破解难度是很大的。这种防范体系是可以有效的保证——即使你不是100%的安全——也可以来保证遭受攻击的可能性降到最低。
给攻击者造成越大的麻烦越好。通过难度上、通过攻击破解时间的长短上加大困难，使他不得不放弃攻击。现在攻击者已经不是技术炫耀型的了，而属于利益驱动型，如果攻击者觉得难度过大，那么就是赔本买卖，就不会去做了。
保护企业私有云里的数据安全
所有的攻击者最终目标就是数据，而企业私有云数据的集中管理，既带来了管理上的方便性，但也使得攻击变得更加“方便”，攻击者只需要集中攻破一点就能获取全部数据，那么怎样保护企业“私有云”里的数据安全？
要保护企业敏感信息，通过分级保护措施，这是第一个手段。也就是说，使得攻击者最终突破数据那层，一定要突破另外几层，才能到达最终数据这层。如果万一不幸的情况下前面几层防范都失效，已经到达数据层，那你要保证数据采用加密的方法。加密方法一般有几种。比如说笔记本的丢失，事实上在全世界的范围内，硬件丢失还是挺普遍的。
例如，某家资讯公司雇员帮某国退伍老兵做咨询，在他的电脑上存有全国258万退伍老兵的所有个人资料，这台电脑丢了。从事件可以看出，如果这个咨询人员对笔记本数据采取一定保护措施的话，即使笔记本丢了，也不会造成数据外泄的风险。
所以对于笔记本数据有两种保护方法，一种是进行全盘加密，微软有一种类似的技术叫bitlocker，全盘加密意味着即使你的笔记本丢了，哪怕是微软拿到了，也破解不了。另外一种不是全盘加密，而是对某一段数据进行加密，这也是一种方法。这样的话，即使笔记本丢了，数据还是安全的，不会落到非法人员手里。
从数据保护角度还有一种方法，“权限管理”，比如我的数据只需要给几个人看见，但是我不希望你转发给第三个人，在我把数据给你的时候，我可以控制权限，这样即使你把数据给了其他人的时候其他人也看不见，这个技术的核心也是加密。它把加密信息和获取信息人的身份绑定到一起了，也就是说只有你可以看到我的数据，而其他人看不到。
从应用来说，比如谈到企业“私有云”，最后一层，我们也推荐把你的数据进行加密，如果是谈到数据库的话，我们推荐把数据库里的数据进行加密，这样即使攻击者到达数据库层，即使拿到了数据库超级管理员权限，他也没有办法，打开数据库里面所有的数据都是乱的。当然，如果他把你的应用程序读通、把密钥也偷走了，这就涉及到密钥的管理，那就是另外的技术问题了。
对于企业私有云里的数据，在外围，要用分级防护的方式；对于内部，就是要进行加密以及把加密数据与用户身份进行绑定形成一定的权限。几种方式，一个绑定，一个加密，就应用软件来说，如果是存储在数据库，要把数据库里的信息进行加密。
移动接入与私有云安全
如果带着笔记本经常出去，在外面移动接入公司办公系统里，那么这种通过移动接入的方式，会不会影响到企业“私有云”的安全性？
从技术角度来说，这是有可能的，因为移动的接入，提供了从远端接入企业内部的接口。如果从技术角度对这个接口进行监控、防范，还是可以避免一些安全威胁。举个例来说，现在大的公司，不可能把所有的事情都带到办公室做，一定有远程接入，在出差的时候接收e-mail、接入企业内网。从技术角度来说有几种，一种是nap，叫网络访问控制（也称，网络访问保护），其他公司也有相类似的技术。网络访问控制会对远端接入机器进行监测，看其是否有安全策略、有没有防病毒软件或者不合法的行为，监测没有发现问题才允许接入。从这点来说可以防范某些安全威胁，当然，也不是万能的。另外在接入点方面，只开放了有限的访问，访问哪台服务器、应用都有安全控制。
手机接入有比较大的风险，现在绝大多数我们用的流行操作系统，无论是微软的windowsmobile操作系统、或者windowsphone7系统、或者是android系统、或者是iphone系统等，所有的手机系统设计的时候比较小巧，除了windowsphone7在安全方面做了相当多的工作以外，其他的包括windowsmobile以前版本和现在比较流行的操作系统基本上在安全方面是做的比较弱的，它的主要侧重点是满足消费者可操纵性的需求，从企业角度来说，远远不能满足企业的安全。从这个角度来说，如果你的手机一旦被安装了木马软件，同时你的智能手机通过移动接入到公司内部，带来的风险就比较大。所以我推荐，对手机来说，最好你只给它有限的范围，比如只能收发e-mail，或者仅能在加密情况下访问公司有限的资源等。
有限访问是很有必要的，能大大降低安全风险。所以从这个角度来讲，智能手机安全以后会成为越来越大的隐患。从国内来说，智能手机用户已经远远超过了pc机的用户，而且手机变的越来越智能，现在的手机除了屏幕小一点，它的计算能力等等和以往的pc机来说已经没有太大区别，基本可以说就是台电脑。而它在拥有电脑强大的计算能力和操控能力的同时，它的安全性却是远远落后于它的发展，从这点来说，如果企业要考虑把你的手机来接入企业内网，要慎之又慎。
再看看社交网络，大家可以用手机看微博、发微博，甚至在上班的时候上facebook、twitter等等，这是不是意味着会对企业内部“私有云”本身安全性造成一定的影响？反过来说，我们是否应该对它进行控制、访问？
社交网络对企业无论是“私有云”也好或者是传统的网络安全也好，它比较大的隐患是什么？因为在社交网络上，经常会存在木马、恶意代码等等，如果企业内部有一个口开到外面去，很多没有受到安全培训的用户很可能会把那些代码从网上给下载下来，在企业内部执行，这是比较大的风险。绝大多数企业的做法一般是两种，一般在银行做法属于比较果断的，直接一刀切，什么也不能干，甚至连代理服务器都不给你，你什么也干不了。另外一种做法，通过代理服务器方式，所有的连接通过代理服务器进来，代理服务器会对所有内容进行过滤最终才能进来，但它也存在一定的问题，比如无法监控到所有的安全隐患。对企业内部用户来说要进行培训，比如不要去打开不认识人发来的电子邮件、或者是打开附件、或者从网上下载不知名的软件等等，对用户进行安全教育。很多黑客进行攻击前，会搜集相关信息，再通过社交网络等发起攻击。
应用安全是否会成为阻碍企业“私有云”落地的绊脚石？
可以这样说。对于企...