以前，我們曾確定了六種不同的云模型，并且基于具體的企業需求，確定了五種不同的企業部署模型。企業可能直接管控具體的云模型，采用一種直接的方式進行安全控制，但是當缺失這個層級的控制時，端到端的層模式保護需要減少惡意以及偶然的威脅。

端到端的云保護本質上并非線性的，相反是一種球形的，由于彈性全球化業務模式、破壞性的計算技術以及動態威脅，控制片段會出現重疊。不論哪種可能發生的入侵載體，分層保護理論上可以停止攻擊或者，至少能夠對企業的安全團隊做出事件警告。隨著云不斷延伸到企業網絡邊界，這些都成為迫切的需求，但實際上在傳統形式中不用存在。

對于一個要實現云中端到端的安全的企業而言，雖然其必須首先重視訪問范圍、控制范圍以及針對云環境的安全控制方式能且必須適用那些轉換范圍。

定義控制范圍

應用端到端的安全控制的能力首先依賴于企業能夠理解訪問范圍，這意味著理解連接企業資產的設備類型，以及他們所利用的連接類型。

例如，大多數企業為其員工購買筆記本電腦，但是這樣的設備的移動性意味著他們并不總是面臨著相同的威脅情況。當員工將其筆記本電腦帶回家，并且通過消費者級別的網絡或者厄運服務進行連接，他們在企業網絡云環境中運行的用例將會發生改變。這種用例在員工出差時再一次發生變更，因為他們會用酒店和機場以及會議中心的WiFi熱點連接企業網絡。

隨著BYOD運動不斷發展，企業也期望員工通過智能手機和平板電腦遠程進行連接，至少可以查看公司電子郵件，盡管通過類似Salesforce.com這樣的基于云的應用的風險，通常意味著員工在移動設備上進行更為復雜的任務，涉及很多類型的數據。這也代表了另一種用例，同樣地這種設備也會被認為不受管理。通過移動勞動力，企業應該安全運作，并期望每一個用戶至少有四種不同的用例：辦公室、家庭、旅行和個人移動設備。

端到端保護圖示

隨著與員工在不同的網絡和云之間移動，其訪問范圍顯然會發生變化。企業的控制范圍也發生了變化，意味著企業必須調整安全控制，從而能夠處理這些不同的控制范圍。

比如，基于用戶的角色訪問具體的數據類型可能在其通過外部網絡時受到限制。IT人員通常可以24/7/365訪問企業放了，然而臨時員工相比之下則只有在授權的情況下才可以訪問企業服務。

風險偏向也可能會影響訪問層級，比如員工需要服從某種具體的法律法規內容。一些企業決定最好是為訪問HIPAA保護的信息提供沙盒虛擬桌面。在這樣的領域典型的配置包括消除用戶行政權，利用預定義的應用，并嚴格通過企業的防火墻和內容保護技術訪問互聯網。

盡管一旦用戶轉移到不可信網絡上，最終企業在可信網絡上的有效控制不再適用。比如，如果企業的防火墻不能管理這個連接，很可能反病毒服務器升級定義文件也不可訪問，就需要技術進行修補。

云安全控制

新的云安全控制的開發需要一種系統的方法。控制設計的簡單方法就是遠近效應。基本上，安全控制在用戶在可信網絡上時需要遠離，而在其處于不可信網絡上時要緊貼用戶。因此，當用戶在非可信云環境中操作時，企業應該考慮大量的近距離安全控制，以便阻止惡意攻擊，包括全磁盤加密、健壯密碼強制執行、本地反病毒以及本地防火墻。

企業進行云安全控制需要落實到位，并非一直如此直接，然而由于控制范圍發生改變，企業必須為類似的轉移做準備。控制在企業云上減少威脅的最好例子就是內容過濾技術，本質上限制了用戶可能訪問的網站類型，因此減少了受Web服務器牽連的客戶端攻擊的數量。然而，如果用戶轉到非可信云中，比如酒店或者甚至是家庭網絡，他們可能在上網時有一個更好的自由度，繞過企業在云端設立的內容過濾技術，增加了客戶端攻擊的風險。

不受重視的用例就是一個值得信任的客戶，如果這個客戶連接到企業云上，會對以前的可信環境帶入一種完全不同的威脅因素。沒有合適的遠離控制，企業可能無法檢測到可信客戶充滿惡意的行為，潛在地導致問題，減少客戶的信心。

每一種場景都需要控制

不管企業是否提供云服務或者從云提供商處購買服務，需要理解端到端的云安全控制，這種控制要求減少各種可能的威脅。安全團隊必須意識到云安全控制必須在用戶的訪問范圍發生改變時做出改變。這也意味著技術必須在可信和非可信云之間合適的位置設置規則，方便通過不同的設備和網絡訪問。沒有這樣的控制，復雜且專業的攻擊者不可避免地會找到攻擊企業云基礎架構的方法。