在企業(yè)實(shí)際的虛擬化應(yīng)用過程中，需要遵循如下一些有效的建議：

◆如果有的話，用戶應(yīng)該確認(rèn)云平臺(tái)供應(yīng)商使用的虛擬化類型;

◆實(shí)施者應(yīng)該考慮通過分區(qū)的方式將生產(chǎn)環(huán)境與測試/開發(fā)以及高度敏感數(shù)據(jù)/業(yè)務(wù)分離;

◆由于性能差異很大，實(shí)施者在測試和安裝虛擬機(jī)安全工具時(shí)應(yīng)該考慮性能問題。考慮具有虛擬化感知能力的服務(wù)器和網(wǎng)絡(luò)安全工具也同樣重要;

◆在虛擬化的環(huán)境中用戶應(yīng)該與主要的供應(yīng)商評估、協(xié)商并且完善許可協(xié)議;

◆通過在每個(gè)訪客實(shí)例中采用硬化軟件或者具有基于Hypervisor的API的內(nèi)嵌虛擬機(jī)，實(shí)施者應(yīng)該保障每個(gè)虛擬化的操作系統(tǒng)的安全;

◆虛擬化的操作系統(tǒng)應(yīng)該附加內(nèi)置的安全措施，充分利用第三方安全技術(shù)實(shí)現(xiàn)分層的安全控制，減少對平臺(tái)供應(yīng)商的單純依賴;

◆施者應(yīng)該確保在默認(rèn)配置下安全措施達(dá)到或者超過現(xiàn)行業(yè)界基準(zhǔn)水平;

◆實(shí)施者應(yīng)該對不在使用中的虛擬機(jī)鏡像進(jìn)行加密;

◆通過在分離的物理硬件諸如服務(wù)器，存儲(chǔ)等設(shè)備上標(biāo)識(shí)數(shù)據(jù)的應(yīng)用(比如桌面vs.服務(wù)器)，生產(chǎn)階段(比如研發(fā)，生產(chǎn)，以及測試)和敏感度，實(shí)施者應(yīng)該探尋對虛擬機(jī)的隔離和建立安全區(qū)的效果和可行性;

◆實(shí)施者應(yīng)該確保安全漏洞評估工具和服務(wù)能覆蓋到所采用的虛擬化技術(shù);

◆實(shí)施者應(yīng)該考慮在整個(gè)組織內(nèi)采用數(shù)據(jù)自動(dòng)發(fā)現(xiàn)和標(biāo)簽方案(比如DLP數(shù)據(jù)泄露保護(hù))，以此增加虛擬機(jī)和環(huán)境間的數(shù)據(jù)分類和控制;

◆實(shí)施者應(yīng)該考慮對非工作狀態(tài)的虛擬機(jī)鏡像進(jìn)行補(bǔ)丁操作或者對剛剛運(yùn)行的虛擬機(jī)采取其它保護(hù)措施，直到他們被打上補(bǔ)丁;

◆實(shí)施者應(yīng)該明白在虛擬機(jī)的外部采用何種合適的安全控制來保護(hù)面向用戶的管理接口(例如基于Web或API的);

◆必須采用內(nèi)嵌于Hypervisor API的虛擬機(jī)特定安全機(jī)制對虛擬機(jī)背板間的流量進(jìn)行細(xì)粒度監(jiān)控，(這些流量)對于傳統(tǒng)的網(wǎng)絡(luò)安全控制是不可見的;

◆為了應(yīng)對虛擬化帶來的新的安全挑戰(zhàn)，實(shí)施者必須更新安全策略;

◆實(shí)施者必須通過基于策略的密鑰服務(wù)器對虛擬機(jī)訪問的數(shù)據(jù)進(jìn)行加密，存儲(chǔ)密鑰的服務(wù)器與虛擬機(jī)和數(shù)據(jù)隔離;

◆用戶必須意識(shí)到虛擬機(jī)處于多租戶環(huán)境下，監(jiān)管可能要求保證虛擬機(jī)的隔離;

◆用戶必須驗(yàn)證來自任意第三方的虛擬機(jī)鏡像或者模板的來源和完整性，或者更好的話建立自己的虛擬機(jī)實(shí)例;

◆虛擬化的操作系統(tǒng)必須包含防火墻(入口/出口)、主機(jī)入侵防御系統(tǒng)(HIPS)、網(wǎng)絡(luò)入侵防御系統(tǒng)(NIPS)、web應(yīng)用保護(hù)、防病毒、文件完整性檢測以及日志檢測等。安全對策可以通過每個(gè)訪客虛擬實(shí)例或者具有基于Hypervisor的API的內(nèi)嵌虛擬機(jī)中的軟件來傳遞;對虛擬機(jī)個(gè)體實(shí)施適當(dāng)?shù)募庸毯捅Ｗo(hù)包括防火墻(入站/出站)，主機(jī)入侵防御系統(tǒng)(HIPS)，網(wǎng)站應(yīng)用層保護(hù)，防病毒，文件完整性監(jiān)控和日志監(jiān)控等都可透過軟件向每個(gè)虛擬機(jī)客戶提供，或利用內(nèi)嵌的虛擬機(jī)與基于Hypervisor API協(xié)同提供;

◆提供商刪除虛擬機(jī)鏡像時(shí)必須清空所有的備份和失效備援(failover)系統(tǒng);

◆提供商必須具備報(bào)告機(jī)制。如果有隔離被突破時(shí)，報(bào)告機(jī)制可以提供隔離的證據(jù)并發(fā)出告警。