我曾經(jīng)闡述了這樣一個理念，即云計算并不僅僅是由商業(yè)實體所提供的服務(wù)的一個集合。與之相反，從安全性的角度來看，云計算是一個單一的可互操作性的系統(tǒng)，它包括了專為跨多個實體提供按需服務(wù)特定組合而設(shè)計的相互關(guān)聯(lián)的子系統(tǒng)。在這種情況下，我們定義了一個“一組交互或相互依賴組件形成一個完整整體”的系統(tǒng)，以及一個“一組包含統(tǒng)一整體的獨立但相互關(guān)聯(lián)要素”的子系統(tǒng)。總之，他們自愿地（例如談判成功的付費服務(wù)）或不自愿地（例如通過黑暗網(wǎng)絡(luò)或深層網(wǎng)絡(luò)提供的惡意服務(wù)）提供了服務(wù)。

然而，在完善我們的云計算定義的同時，企業(yè)必須付出一定的努力以便于更好地了解這樣一個復(fù)雜的系統(tǒng)。為了做到這一點，企業(yè)可以使用可視化技術(shù)的方法或者原型法。
在本文中，我們將向讀者解釋企業(yè)是如何使用可視化技術(shù)來實施更好的端到端的云計算保護(hù)。

從何處開始

云計算可視化及其相關(guān)的組織能夠讓安全專業(yè)人士明確地給出對象、元素、界限和關(guān)系的定義。一旦有了相關(guān)的明確定義，企業(yè)就能夠放棄假設(shè)并開始制定有意義的實施策略了。其結(jié)果就是能夠針對那些安全專業(yè)人士所負(fù)責(zé)的基礎(chǔ)設(shè)施實現(xiàn)高效的保護(hù)，沒有沖突、空白或者無效保護(hù)。

企業(yè)可以使用諸如親和圖這樣的工具從記錄概念開始,來實際地實施可視化過程，這類工具有助于把無組織的概念分組歸類為有組織的主題并揭示各種概念之間的聯(lián)系。圖1是一個親和圖，它使用系統(tǒng)和子系統(tǒng)的形式顯示了云計算部件的環(huán)境，以及來自于之前文章中親和圖的特征和服務(wù)模式。

下圖表示了互聯(lián)網(wǎng)和/或ISP以及所謂的黑暗網(wǎng)絡(luò)所構(gòu)成的完整系統(tǒng)和/或云計算，并表示了不同子系統(tǒng)和/或云計算之間的關(guān)系。它表明了不同組件和它們基于它們所包含元素的系統(tǒng)之間超集關(guān)系的屬性。基本上，一個組件會包含另一個組件中的相同元素，而一個組件是服務(wù)模式屬性的一個超集，這表明了一種依賴性的關(guān)系。例如，訪問控制列表（ACL）就是防火墻規(guī)則的一個超集。為什么呢？因為防火墻規(guī)則指定了允許什么樣的流量或拒絕什么樣的流量，同樣ACL指定了子網(wǎng)、主機(jī)或域等信息。

一個像這樣的親和圖可以幫助一家企業(yè)確定云計算組件以便于決定在哪里增加安全元素（技術(shù)、政策或過程），并且可能在系統(tǒng)、組件以及元素之間發(fā)掘出意想不到的機(jī)會。

什么樣的機(jī)會是可利用的？讓我們來討論一下一家運行異構(gòu)環(huán)境的企業(yè)吧。管理部門希望在跨Windows和Unix/Linux的多系統(tǒng)之間有一個單一的身份認(rèn)證來源。一個當(dāng)前狀態(tài)的可視化方法能夠確定身份認(rèn)證的所有來源以及它們的能力，所提供的Windows Server 2008 R2運行Active Directory（AD）實現(xiàn)以及Lightweight Directory Access Protocol能夠完成管理層所要求的任務(wù)。這一措施還允許企業(yè)能夠充分利用現(xiàn)在已經(jīng)在管理AD的工作人員，同時省去身份認(rèn)證、授權(quán)以及計費服務(wù)的需要，并隨之降低了與維護(hù)一臺AAA級服務(wù)器相關(guān)的持有成本。

針對安全性：應(yīng)如何使用可視化技術(shù)

正如我們現(xiàn)在從端到端的角度所實現(xiàn)的云計算可視化那樣，一家企業(yè)可以決定什么樣的云計算是惰性的或者是封閉的，這意味著它們對其很少或者根本沒有控制器。例如，黑暗網(wǎng)絡(luò)就是封閉的，因為它是由無名氏按需而開發(fā)的，其中大部分可能涉及非法企業(yè)。對于那些從黑暗網(wǎng)絡(luò)下載的軟件或文件，企業(yè)是沒有控制力的，這意味著他們可能是干凈的或者已經(jīng)被惡意軟件所毒害。一個今天的對等網(wǎng)絡(luò)或P2P、主機(jī)服務(wù)盜版技術(shù)可能到明天就不復(fù)存在了。一家企業(yè)還無法控制其消費者即服務(wù)技術(shù)是否會變成黑暗網(wǎng)絡(luò)的一部分，或者一位員工的遠(yuǎn)程家庭網(wǎng)絡(luò)是否已被攻破。

另一方面，開放云計算是那些潛在的、可被信任的、與企業(yè)自有云計算交互的云計算。開放云計算就是指在互聯(lián)網(wǎng)內(nèi)向其他基礎(chǔ)設(shè)施尋求可信任關(guān)系的所有云計算基礎(chǔ)設(shè)施。例如，軟件即服務(wù)、基礎(chǔ)設(shè)施即服務(wù)以及平臺即服務(wù)（或SaaS、IaaS以及PaaS）就是全部的開放模式，所以一家企業(yè)有能力配置足夠的環(huán)境以便于支持其作為一個商業(yè)實體的需求（這對單個個人也是同樣成立）。

有了這樣一個可視化的方法，通過使用構(gòu)思、思想生成、逆向思維等方法就可以對不同云計算模式確定適當(dāng)?shù)谋Ｗo(hù)措施，這些基本上是目標(biāo)和假設(shè)以及不同于預(yù)期范例的強(qiáng)迫逆向思維。
例如我們都說，公司的目標(biāo)就是為管理信用卡交易的企業(yè)提供云計算服務(wù)。現(xiàn)在，反過來問個問題，“我們應(yīng)如何防止惡意行為滲入我們的云計算服務(wù)（例如，從無線/從一個被黑的個人電腦/從一個惡意URL）？”

反向思維能夠讓我們從云計算基礎(chǔ)設(shè)施攻擊者的角度來思考問題。當(dāng)與基于用例的場景組合時，它就可確保相應(yīng)保護(hù)措施能夠針對合法威脅而發(fā)揮作用，從而降低FUD和資源浪費，其中包括了人力和財力兩個方面。精心開發(fā)和結(jié)構(gòu)化的可視化技術(shù)可使用連續(xù)劇的模式來表達(dá)。首先一個概念就是設(shè)置場景、確定角色以及鼓勵頭腦風(fēng)暴。下一步就是從更高的層次對以下三個狀態(tài)進(jìn)行概述：當(dāng)前狀態(tài)（例如這是企業(yè)目前所擁有的），臨時狀態(tài)（這是企業(yè)如何達(dá)到這里）以及最終狀態(tài)（這就是結(jié)果和相關(guān)成本）。將在連續(xù)劇模式中出現(xiàn)的是焦點，它開始是一組特定的特性，而在結(jié)束時將被改變。

這里再次給出一個如何在真實世界場景中部署這種方法的例子，請想象一下，一家企業(yè)決定在同類最佳網(wǎng)絡(luò)的入侵保護(hù)技術(shù)上投資。端到端的故事就是通知和防止入侵之一。相關(guān)角色都被邊緣設(shè)備、網(wǎng)關(guān)設(shè)備、各種主機(jī)以及客戶端這樣的設(shè)施充斥著。焦點是防止入侵的概念，而這一點將在從單端點產(chǎn)品到包含眾多角色的企業(yè)級技術(shù)套件的轉(zhuǎn)變中發(fā)生改變。一個端到端的神器會進(jìn)入一個逆向思維的過程，提一個問題，應(yīng)如何配置主機(jī)以便于防止入侵或向企業(yè)發(fā)出事件警告。

在如下這些場景中，要問一些具有代表性的問題：如何在路由器上完成防止入侵？在我們的數(shù)據(jù)庫上呢，應(yīng)如何實施？誰有權(quán)訪問？這個過程可能會在一個故事中發(fā)現(xiàn)另一個故事。例如，所有的事件將在哪里發(fā)生？我們是否擁有安全信息和應(yīng)對事件的技術(shù)，或者我們的SIEM是否能夠聚集這一數(shù)量級的數(shù)據(jù)？可視化技術(shù)有助于揭示差距、設(shè)置優(yōu)先級以及制定切實可行的路線圖。
當(dāng)然，可視化技術(shù)并不是一個一蹴而就的過程，它 是一個需要一系列可視化設(shè)計以滿足目標(biāo)受眾或為廣大受眾提供多個角度的過程。它可能需要幾個可視化技術(shù)來澄清意圖和方向，但是其最終結(jié)果就是清晰明確地了解企業(yè)的云計算基礎(chǔ)設(shè)施，以及需要采取何種措施來提供端到端的云計算保護(hù)。