多租戶架構在雲端服務中廣泛應用，其資源分享特性帶來成本效益的同時，也引入了安全性和效能方面的挑戰。邊緣運算的興起則為解決部分問題提供了新的思路，透過將計算和資料儲存更靠近資料來源，可以有效降低延遲並提升安全性。然而，邊緣運算的佈署和管理也帶來了新的安全考量，需要企業重新評估其安全策略。此外，正確設定 RTO 和 RPO 對於確保業務連續性至關重要，企業需要根據業務影響分析，而非單純依賴現有服務能力來制定這些指標。在雲端安全領域中，理解關鍵技術術語如 CloudTrail 和 OAuth 對於構建安全防禦體系至關重要，CloudTrail 提供了安全稽核的日誌記錄功能，而 OAuth 則實作了安全的授權機制。
邊緣運算的崛起：重新定義雲端運算的邊界
在雲端運算的演進過程中，多租戶架構由於其成本效益、資源分享和簡化維護等優勢，成為 SaaS 服務的主流佈署模型。然而，安全性、合規性以及分享資源帶來的潛在效能問題，仍然是多租戶架構需要面對的挑戰。本文將探討多租戶架構的優缺點，並著重分析邊緣運算的興起如何重新定義雲端運算的邊界。
多租戶架構：分享與隔離的平衡
多租戶架構允許多個客戶（租戶）分享相同的軟體應用程式例項和基礎設施，同時透過邏輯分段確保資料和執行環境的安全隔離。這種模式類別似於社群媒體平台，每個使用者都能存取平台上的內容，但他們的個人資料、設定和好友列表都是獨立的。
圖表翻譯： 上圖展示了多租戶架構的示意圖，每個租戶擁有獨立的資料函式庫。多租戶架構允許多個客戶分享相同的應用程式例項，並透過邏輯隔離確保資料安全。
多租戶架構的優勢顯而易見：
- 資源管理最佳化： 多個租戶分享資源，提高了資源利用率，避免單一租戶獨佔資源造成的浪費。
- 降低營運成本： 分享基礎設施和應用程式例項，降低了服務供應商的營運成本，進而降低服務價格。
- 資料分析潛力： 跨租戶的匿名資料分享，可以提升整體服務品質和安全性，例如，分享網路攻擊指標以增強防禦能力。
然而，多租戶架構也存在一些固有的風險：
- 安全性與合規性挑戰： 部分行業或組織，例如政府機構，可能因為法規限制而無法使用分享基礎設施。此外，單一租戶的安全漏洞或資料洩露，可能影響其他分享相同資源的租戶。
- 分享資源的效能瓶頸： 單一租戶的過度資源消耗，可能影響其他租戶的服務效能。例如，分散式阻斷服務攻擊 (DDoS) 可能導致整個服務癱瘓。
- 版本更新的風險： 版本更新中的錯誤或漏洞，會同時影響所有租戶。由於更新由服務供應商控制，租戶無法自行調整更新策略。
邊緣運算：將計算推向邊緣
邊緣運算是一種將計算和資料儲存更靠近資料源（通常是終端裝置）的計算模型。透過減少網路延遲等因素，邊緣運算可以顯著提升反應速度和效率。
圖表翻譯： 上圖展示了邊緣運算的架構示意圖，邊緣伺服器處理來自終端裝置的資料。邊緣運算透過將計算任務下放到靠近資料源的邊緣裝置，減少了延遲並提升了效率。
邊緣運算的優勢包括：
- 降低延遲： 資料在邊緣裝置本地處理，減少了資料傳輸時間，提升了應用程式的反應速度。
- 頻寬最佳化： 減少了需要傳輸到雲端的資料量，降低了網路頻寬需求。
- 提升安全性與隱私性： 敏感資料可以在本地處理，減少了資料洩露的風險。
- 離線運作能力： 邊緣裝置可以在網路中斷的情況下繼續運作。
資安事件的嚴重性：何時才算是「資料外洩」？
「資料外洩」這個詞讓每個企業都感到恐懼。每個網路安全專業人員都應該謹慎使用它。它不僅僅描述了攻擊者入侵組織或竊取資訊的行為，更代表著企業、法務部門和合規人員的噩夢，因為一旦使用，就必須啟動一連串的資訊披露和通知流程。
定義「資料外洩」
在網路安全領域，「資料外洩」是指敏感、受保護或機密資料被未經授權的個人複製、傳輸、檢視、竊取或使用。此外，它也可能指不當使用資產或資源，從而破壞了向企業提供服務的系統、應用程式或基礎設施的完整性。
資料外洩後的行動
將網路安全事件歸類別為「資料外洩」後，必須採取以下行動：
- 通知相關管理機構： 根據當地、州或政府法律，可能需要在非常特定的服務級別協定規定的時間內通知相關管理機構並進行資訊披露。
- 進行數位鑑識和事件應變 (DFIR)： 根據受損資料的型別或潛在的經濟損失，第三方組織可能會依法要求進行數位鑑識和事件應變。
- 準備公開宣告： 您的法務、行銷和執行團隊需要根據產業、市場和目標受眾，準備好適當的公開宣告。
- 通知保險公司： 根據您的網路保險單，您可能需要通知保險公司並遵循其程式進行正式調查，並獲得補救、賠償和業務連續性資金。
- 向客戶、供應商和終端使用者披露資訊： 應根據適用法律向客戶、供應商和終端使用者披露資訊，如果需要，應在披露任何資訊之前宣佈適當的緩解計畫，例如信用監控。
RTO 與 RPO：確保雲端服務可用性的關鍵指標
在規劃雲端服務時，確保服務的可用性至關重要。而 RTO（復原時間目標）和 RPO（復原點目標）正是兩個不可或缺的關鍵指標。它們定義了企業在服務中斷後可接受的復原時間和資料損失量。
深入理解 RTO 與 RPO
RTO 和 RPO 常常被混淆，但它們的功能卻截然不同。RPO 定義了企業在服務中斷後可接受的最大資料損失量，通常以時間段表示。RTO 則定義了企業在服務中斷後，必須在多長時間內將業務流程復原到可接受的服務水平，以避免不可接受的後果。
圖表翻譯： 上圖展示了 RPO 和 RTO 與服務中斷及業務影響之間的關係。服務中斷會導致資料損失（RPO）和服務不可用（RTO），兩者都會對業務造成影響。
如何確定 RTO 和 RPO
RTO 和 RPO 的設定應根據業務影響分析（BIA），而非受限於現有服務的能力。以下是一些在確定 RTO 和 RPO 時需要考慮的因素：
- 業務流程的重要性
- 資料丟失的可接受程度
- 系統還原所需的時間
- 法規遵從的要求
總之，多租戶架構和邊緣運算是雲端運算發展中的兩個重要方向。多租戶架構著重於資源分享和成本效益，而邊緣運算則關注於提升效能和安全性。未來，這兩種技術將相互融合，共同推動雲端運算的可持續發展。同時，瞭解並正確設定 RTO 和 RPO 將有助於企業在面對服務中斷時，能夠迅速還原並減少損失。
雲端安全關鍵字解析：從彈性到OAuth
身為玄貓，我發現理解關鍵術語是掌握雲端安全的第一步。這篇文章將深入解析幾個重要的雲端安全關鍵字，從彈性、CloudTrail到OAuth，帶你掌握這些核心概念，並分享我在實務中的一些心得。
雲端彈性：動態調配資源的藝術
雲端彈性指的是系統根據工作負載需求，自動調配和釋放資源的能力。這就像一家餐廳，在尖峰時段增加服務員和廚師，而在離峰時段減少人力，以最佳化成本和效率。大多數雲端服務供應商都按用量計費，因此有效利用彈性機制能避免為閒置資源付費。
內容解密：
上面的流程圖展示了雲端彈性的基本原理：根據工作負載變化，動態調整資源，以達到最佳的成本效益。
AWS CloudTrail：安全稽核的利器
CloudTrail 是 AWS 提供的日誌記錄服務，用於監控和稽核 AWS 帳戶活動。它就像一個監視器，記錄所有使用者、角色和服務的操作，包括控制檯活動、命令列操作和 API 呼叫。這些日誌對於威脅追蹤和事件調查至關重要。
玄貓建議保持 CloudTrail 永遠開啟，並根據合規性和安全需求調整資料保留期限。這能幫助你在事件發生後快速回溯，找出問題根源。
開源軟體：雙面刃的挑戰
開源軟體的原始碼公開透明，促進了社群協作和快速開發。然而，開源漏洞也可能同時影響多家公司。Log4J 和 HeartBleed 等事件證明瞭開源漏洞的廣泛影響。
在使用開源軟體時，必須密切關注安全更新，並及時修補漏洞，以降低安全風險。
服務等級協定（SLA）：保障服務品質的承諾
SLA 衡量雲端服務供應商是否達到約定的服務等級、可用性和效能。它就像一份合約，規定了服務品質的標準。違反 SLA 可能導致退款或服務抵免。
除了技術問題，網路攻擊也可能影響 SLA。組織可能需要在 SLA 中加入安全事件通知條款，以保障自身權益。
虛擬機器（VM）：軟體定義的計算資源
虛擬機器是在虛擬化環境中執行的軟體電腦，就像電影《全面啟動》中的多層夢境。虛擬機器可以託管其他虛擬機器，增加攻擊者混淆視聽的難度。
內容解密：
這個架構圖展示了虛擬機器和巢狀虛擬機器的概念。攻擊者可能利用巢狀虛擬機器來隱藏惡意活動。
針對虛擬機器的攻擊可能來自虛擬機器本身或底層的 hypervisor。勒索軟體甚至可能鎖定 hypervisor，加密所有虛擬機器。因此，強化虛擬機器和 hypervisor 的安全性至關重要。
VDI：虛擬桌面基礎設施
VDI 是一種桌面虛擬化技術，將使用者的桌面環境託管在伺服器上，並透過網路傳輸到客戶端裝置。它提供了集中管理、安全性和靈活性等優勢。
SAML：安全斷言標記語言
SAML 是一種根據 XML 的標準，用於在不同系統之間交換身份驗證和授權資料。它允許使用者使用單一身份驗證憑據存取多個應用程式。
OpenID：開放身份驗證協定
OpenID 是一種分散式身份驗證協定，允許使用者使用單一身份驗證憑據存取多個網站和應用程式。它提供了與 SAML 相似的功能，但更為靈活和可擴充套件。
OAuth：開放授權協定
OAuth 是一種授權協定，允許使用者授予第三方應用程式存取其資源的許可權，而無需分享密碼。它提供了安全、靈活的授權機制，廣泛應用於社交媒體、雲端儲存等領域。
總之，理解這些雲端安全關鍵字對於構建安全、高效的雲端環境至關重要。玄貓建議企業在採用雲端技術時，應深入研究這些概念，並結合自身業務需求制定相應的策略。
雲端身分與存取管理的強化策略
在雲端時代，身分與存取管理（Identity and Access Management, IAM）扮演著至關重要的角色。強化 IAM 不僅能夠提升雲端環境的安全性，還能最佳化資源存取效率。本文將探討雲端 IAM 的關鍵要素，並提供具體的強化策略。
FIDO：無密碼驗證的未來
FIDO（Fast ID Online）協定旨在徹底改變傳統的密碼驗證方式，提供更安全、更便捷的身分驗證體驗。FIDO 透過多因素驗證和公開金鑰加密技術，將個人識別資訊（PII）儲存在使用者裝置上，有效降低了資料洩露的風險。
內容解密：
上圖展示了 FIDO 驗證流程。使用者裝置上的 FIDO 驗證器與服務提供商進行驗證，而 PII 則安全地儲存在本地裝置上，避免了雲端資料洩露的風險。
雲端資產管理的最佳實踐
有效的雲端資產管理是確保安全的重要根本。企業應建立完整的雲端資產清單，並根據資產屬性進行分類別與標記，進而設定適當的存取許可權和安全設定。
內容解密：
上圖展示了雲端資產管理的流程。首先，建立完整的雲端資產清單，接著根據資產屬性進行分類別與標記，然後設定適當的存取許可權，最後實施必要的安全設定。
特權帳戶管理的關鍵步驟
特權帳戶，例如系統管理員帳戶，擁有更高的存取許可權，因此成為攻擊者的主要目標。有效的特權帳戶管理包括：
- 定期輪換密碼：避免使用靜態密碼，減少被盜用的風險。
- 啟用多因素驗證：增加帳戶安全性，防止未授權存取。
- 限制存取範圍：根據最小許可權原則，限制特權帳戶的存取範圍。
- 使用特權存取管理（PAM）解決方案：集中管理特權帳戶，提升安全性和可控性。
內容解密：
上圖展示了特權帳戶管理的關鍵步驟。透過多因素驗證、存取控制和 PAM 解決方案，可以有效降低特權帳戶被盜用的風險。
雲端環境中的關鍵帳戶型別
在雲端環境中，不同型別的帳戶需要不同的管理策略：
- 網域管理員帳戶：擁有最高許可權，應嚴格限制數量並納入 PAM 系統。
- 自動化帳戶：避免共用，並納入 PAM 系統管理。
- 服務帳戶：集中管理，避免在多個資產上重複使用。
- 雲端帳戶：跨雲環境進行統一管理與風險評估。
內容解密：
上圖展示了不同型別帳戶的管理策略。透過 PAM 管理、獨立管理和集中管理，可以有效提升各類別帳戶的安全性。
雲端攻擊途徑與防禦策略
瞭解潛在的攻擊途徑對於保障系統安全至關重要。企業應採取多層次的防禦策略，包括：
- 強化 IAM：實施強密碼策略、多因素身份驗證和最小許可權原則。
- 資料加密：對靜態和動態資料進行加密，防止資料洩露。
- 漏洞管理：定期進行漏洞掃描和滲透測試，及時修復安全漏洞。
- 安全稽核：記錄和分析安全事件，以便及時發現和應對攻擊。
內容解密：
上圖展示了多層次的雲端安全防禦策略。透過強化 IAM、資料加密和漏洞管理，可以有效提升雲端環境的安全性。
企業雲端安全防禦措施與挑戰
企業在雲端環境中面臨多重安全挑戰，必須採取多層次的安全防禦措施來保護其資產。以下圖表展示了企業可以採用的主要安全防禦措施，以及這些措施如何抵禦攻擊者的入侵企圖：
圖表翻譯： 上圖展示了企業可以採取的多種安全防禦措施，以及這些措施如何抵禦攻擊者的入侵企圖。企業透過實施身份和存取管理（IAM）、資料加密、漏洞管理、安全稽核、安全意識培訓、入侵檢測和防禦系統（IDS/IPS）以及Web應用防火牆（WAF）等措施，可以有效提升雲端環境的安全性。
除了上述措施，企業還應根據自身業務需求和安全風險評估，制定定製化的安全策略，以確保雲端資產和資料的安全。
雲端攻擊途徑與身份驗證的挑戰
雲端攻擊途徑的多樣性對安全性構成了重大挑戰，尤其是根據身份的攻擊。即使佈署了多因素驗證和先進的安全工具，糟糕的策略和特權存取管理的缺失仍然會威脅雲端資源。如果身份管理薄弱，那麼攻擊面不僅會擴大到漏洞和金鑰，還可能擴大到攻擊者利用的惡意身份。因此，將完善的身份管理、存取管理和策略管理融合到所有雲端身份驗證中至關重要。
以下流程圖說明瞭根據身份的驗證在雲端環境中的應用，以及它如何影響更高層級的安全性：
@startuml
skinparam backgroundColor #FEFEFE
skinparam componentStyle rectangle
title 雲端安全防禦策略與攻擊面分析
package "安全架構" {
package "網路安全" {
component [防火牆] as firewall
component [WAF] as waf
component [DDoS 防護] as ddos
}
package "身份認證" {
component [OAuth 2.0] as oauth
component [JWT Token] as jwt
component [MFA] as mfa
}
package "資料安全" {
component [加密傳輸 TLS] as tls
component [資料加密] as encrypt
component [金鑰管理] as kms
}
package "監控審計" {
component [日誌收集] as log
component [威脅偵測] as threat
component [合規審計] as audit
}
}
firewall --> waf : 過濾流量
waf --> oauth : 驗證身份
oauth --> jwt : 簽發憑證
jwt --> tls : 加密傳輸
tls --> encrypt : 資料保護
log --> threat : 異常分析
threat --> audit : 報告生成
@enduml
圖表翻譯： 此流程圖展示了根據身份驗證的決策流程。從初始的存取請求開始，系統首先進行拒絕評估，遵循最小特權和零信任原則。如果未明確拒絕，則繼續檢查組織策略、資源策略、邊界/屬性策略、會話策略以及身份策略。只有所有策略都允許存取，才會最終授予存取許可權。否則，任何一個環節的拒絕都會導致存取被拒絕。
根據身份的存取決策可以分為六個主要類別：
- 拒絕評估： 這是最小特權和零信任模型的基礎。首先假設拒絕存取，然後驗證身份和許可權。只有在沒有明確拒絕策略的情況下，才會啟動存取流程。
- 組織策略： 檢查組織策略是否存在允許該身份存取的條款。
- 資源策略： 驗證資源（資產或應用程式）是否允許存取。這確保只有經過授權與妥善管理的裝置或資產才能進行身份驗證。
- 邊界/屬性策略： 根據地理位置、時間、日期等屬性來判斷是否允許存取。在許多情況下，這是驗證對雲端資源存取許可權的最重要步驟之一。
- 會話策略： 根據先前所有決策和屬性，判斷請求的會話是否有允許或拒絕存取的策略。這通常使用行為分析、機器學習或人工智慧即時執行。
- 身份策略： 根據先前所有決策，確認身份本身是否有允許存取的策略。這最後一步將身份驗證與所有其他存取決策聯絡起來。
MITRE ATT&CK 框架
MITRE ATT&CK 框架是一個關於攻擊者使用的攻擊和漏洞方法的知識函式庫。它成立於2013年，旨在彙集駭客（尤其是被認定為高階持續性威脅（APT）的團隊或組織）使用的常見策略、技術和方法。該框架不斷擴充套件，納入了更多作業系統（如macOS和Linux），以及平台（如行動裝置和雲端）。
完整的MITRE ATT&CK框架包含14個領域的200多種頂級技術，包括偵察、執行、持久化、憑證存取、橫向移動、資料竊取和影響。此外，還有子技術，使記錄的技術數量達到約600種。
MITRE ATT&CK網站提供篩選特定目標框架的功能，例如Windows、macOS、Linux、雲端、網路和容器。如果使用工具提供的線上篩選功能，並套用雲端攻擊向量的設定，則記錄的技術將減少到76種。
由於雲端根據網路，因此大多數攻擊都與根據網路的攻擊策略密切相關。攻擊者會尋找機會竊取憑證，將使用者引導至偽造網站以竊取憑證，並利用該存取許可權提升特權、竊取資料或導致系統當機。這些威脅場景讓我們更加關注身份、帳戶、憑證和金鑰。
雲端供應商投入大量時間和資金來確保在攻擊到達服務之前就將其阻止。MITRE ATT&CK框架對於任何網路安全專業人員來說都是一個很好的資訊來源，無論其經驗如何。無論是在尋找需要注意的領域，還是在規劃紅隊模擬，該框架都可以提供指導。
總而言之，企業在雲端環境中面臨著多重安全挑戰，需要採取多層次的安全防禦措施來保護其資產。透過實施完善的身份管理、存取管理和策略管理，並結合MITRE ATT&CK框架提供的威脅情報，企業可以有效提升雲端環境的安全性，降低遭受攻擊的風險。