對(duì)于一個(gè)要實(shí)現(xiàn)云中端到端的安全的企業(yè)而言，雖然其必須首先重視訪問(wèn)范圍、控制范圍以及針對(duì)云環(huán)境的安全控制方式能且必須適用那些轉(zhuǎn)換范圍。

定義控制范圍

應(yīng)用端到端的安全控制的能力首先依賴(lài)于企業(yè)能夠理解訪問(wèn)范圍，這意味著理解連接企業(yè)資產(chǎn)的設(shè)備類(lèi)型，以及他們所利用的連接類(lèi)型。

例如，大多數(shù)企業(yè)為其員工購(gòu)買(mǎi)筆記本電腦，但是這樣的設(shè)備的移動(dòng)性意味著他們并不總是面臨著相同的威脅情況。當(dāng)員工將其筆記本電腦帶回家，并且通過(guò)消費(fèi)者級(jí)別的網(wǎng)絡(luò)或者厄運(yùn)服務(wù)進(jìn)行連接，他們?cè)谄髽I(yè)網(wǎng)絡(luò)云環(huán)境中運(yùn)行的用例將會(huì)發(fā)生改變。這種用例在員工出差時(shí)再一次發(fā)生變更，因?yàn)樗麄儠?huì)用酒店和機(jī)場(chǎng)以及會(huì)議中心的WiFi熱點(diǎn)連接企業(yè)網(wǎng)絡(luò)。

隨著B(niǎo)YOD運(yùn)動(dòng)不斷發(fā)展，企業(yè)也期望員工通過(guò)智能手機(jī)和平板電腦遠(yuǎn)程進(jìn)行連接，至少可以查看公司電子郵件，盡管通過(guò)類(lèi)似Salesforce.com這樣的基于云的應(yīng)用的風(fēng)險(xiǎn)，通常意味著員工在移動(dòng)設(shè)備上進(jìn)行更為復(fù)雜的任務(wù)，涉及很多類(lèi)型的數(shù)據(jù)。這也代表了另一種用例，同樣地這種設(shè)備也會(huì)被認(rèn)為不受管理。通過(guò)移動(dòng)勞動(dòng)力，企業(yè)應(yīng)該安全運(yùn)作，并期望每一個(gè)用戶(hù)至少有四種不同的用例：辦公室、家庭、旅行和個(gè)人移動(dòng)設(shè)備。

隨著與員工在不同的網(wǎng)絡(luò)和云之間移動(dòng)，其訪問(wèn)范圍顯然會(huì)發(fā)生變化。企業(yè)的控制范圍也發(fā)生了變化，意味著企業(yè)必須調(diào)整安全控制，從而能夠處理這些不同的控制范圍。

比如，基于用戶(hù)的角色訪問(wèn)具體的數(shù)據(jù)類(lèi)型可能在其通過(guò)外部網(wǎng)絡(luò)時(shí)受到限制。IT人員通?？梢?4/7/365訪問(wèn)企業(yè)放了，然而臨時(shí)員工相比之下則只有在授權(quán)的情況下才可以訪問(wèn)企業(yè)服務(wù)。

風(fēng)險(xiǎn)偏向也可能會(huì)影響訪問(wèn)層級(jí)，比如員工需要服從某種具體的法律法規(guī)內(nèi)容。一些企業(yè)決定最好是為訪問(wèn)HIPAA保護(hù)的信息提供沙盒虛擬桌面。在這樣的領(lǐng)域典型的配置包括消除用戶(hù)行政權(quán)，利用預(yù)定義的應(yīng)用，并嚴(yán)格通過(guò)企業(yè)的防火墻和內(nèi)容保護(hù)技術(shù)訪問(wèn)互聯(lián)網(wǎng)。

盡管一旦用戶(hù)轉(zhuǎn)移到不可信網(wǎng)絡(luò)上，最終企業(yè)在可信網(wǎng)絡(luò)上的有效控制不再適用。比如，如果企業(yè)的防火墻不能管理這個(gè)連接，很可能反病毒服務(wù)器升級(jí)定義文件也不可訪問(wèn)，就需要技術(shù)進(jìn)行修補(bǔ)。

云安全控制

新的云安全控制的開(kāi)發(fā)需要一種系統(tǒng)的方法?？刂圃O(shè)計(jì)的簡(jiǎn)單方法就是遠(yuǎn)近效應(yīng)?；旧?，安全控制在用戶(hù)在可信網(wǎng)絡(luò)上時(shí)需要遠(yuǎn)離，而在其處于不可信網(wǎng)絡(luò)上時(shí)要緊貼用戶(hù)。因此，當(dāng)用戶(hù)在非可信云環(huán)境中操作時(shí)，企業(yè)應(yīng)該考慮大量的近距離安全控制，以便阻止惡意攻擊，包括全磁盤(pán)加密、健壯密碼強(qiáng)制執(zhí)行、本地反病毒以及本地防火墻。

企業(yè)進(jìn)行云安全控制需要落實(shí)到位，并非一直如此直接，然而由于控制范圍發(fā)生改變，企業(yè)必須為類(lèi)似的轉(zhuǎn)移做準(zhǔn)備。控制在企業(yè)云上減少威脅的最好例子就是內(nèi)容過(guò)濾技術(shù)，本質(zhì)上限制了用戶(hù)可能訪問(wèn)的網(wǎng)站類(lèi)型，因此減少了受Web服務(wù)器牽連的客戶(hù)端攻擊的數(shù)量。然而，如果用戶(hù)轉(zhuǎn)到非可信云中，比如酒店或者甚至是家庭網(wǎng)絡(luò)，他們可能在上網(wǎng)時(shí)有一個(gè)更好的自由度，繞過(guò)企業(yè)在云端設(shè)立的內(nèi)容過(guò)濾技術(shù)，增加了客戶(hù)端攻擊的風(fēng)險(xiǎn)。

不受重視的用例就是一個(gè)值得信任的客戶(hù)，如果這個(gè)客戶(hù)連接到企業(yè)云上，會(huì)對(duì)以前的可信環(huán)境帶入一種完全不同的威脅因素。沒(méi)有合適的遠(yuǎn)離控制，企業(yè)可能無(wú)法檢測(cè)到可信客戶(hù)充滿(mǎn)惡意的行為，潛在地導(dǎo)致問(wèn)題，減少客戶(hù)的信心。

每一種場(chǎng)景都需要控制

不管企業(yè)是否提供云服務(wù)或者從云提供商處購(gòu)買(mǎi)服務(wù)，需要理解端到端的云安全控制，這種控制要求減少各種可能的威脅。安全團(tuán)隊(duì)必須意識(shí)到云安全控制必須在用戶(hù)的訪問(wèn)范圍發(fā)生改變時(shí)做出改變。這也意味著技術(shù)必須在可信和非可信云之間合適的位置設(shè)置規(guī)則，方便通過(guò)不同的設(shè)備和網(wǎng)絡(luò)訪問(wèn)。沒(méi)有這樣的控制，復(fù)雜且專(zhuān)業(yè)的攻擊者不可避免地會(huì)找到攻擊企業(yè)云基礎(chǔ)架構(gòu)的方法。