隨著企業資料與應用程式遷移至雲端，雲端安全的重要性日益凸顯。本文探討多因素驗證、集中式身份管理、雲端安全狀態管理等核心技術，並提供實務策略，協助企業構建更安全的雲端環境。同時，文章也分析了雲端工作負載安全策略的演進，從 CWPP 到 CNAPP 與 CASB，並探討 AI 驅動的威脅偵測技術如何提升雲端安全防護能力，以及單租戶和多租戶架構的安全性權衡，最後介紹了 CSA 和 CIS 等安全框架，幫助企業更好地理解和應對雲端安全挑戰。
雲端安全防護策略：強化你的雲端堡壘
在雲端時代，資料安全比以往任何時候都更加重要。玄貓將探討一些關鍵的雲端安全策略，這些策略能有效降低風險，保護你的寶貴資料。
多因素驗證 (MFA)：加固你的登入大門
MFA 已成為保護敏感資料的標準做法。它透過增加額外的驗證因素，例如一次性簡訊 PIN 碼、電子郵件確認、專用 MFA 行動應用程式、生物辨識憑證或自動語音通話，來強化帳戶安全性，有效降低單一因素驗證 (僅使用使用者名稱和密碼) 的風險。在任何 CIAM 實作中，根據雲端的 MFA 都是絕對必要的。
圖表翻譯： 上圖展示了 MFA 的運作流程。使用者首先輸入使用者名稱和密碼，驗證透過後，系統會要求進行 MFA 驗證。只有兩個驗證步驟都成功完成，使用者才能成功登入。
內容解密：
此Plantuml圖表清晰地展示了MFA的驗證流程。首先，使用者嘗試登入系統，接著系統會驗證其使用者名稱和密碼。如果驗證成功，則進入MFA驗證階段。MFA驗證成功後，使用者登入成功。若任意一步驗證失敗，則導致登入失敗。此流程有效地提升了帳戶安全性。
集中式身份管理：掌控你的使用者資訊
集中式身份管理消除了資料孤島和資料重複，並透過簡化資料對映和資料治理來提高合規性。所有關於身份的資訊都集中在一處，便於管理、安全控管、稽核和分析處理。當需要刪除身份時，CIAM 解決方案可以適當地標記它以進行移除，而無需擔心孤立資訊。
安全與合規：堅守資料隱私防線
GDPR 和 CCPA 等資料隱私法正在從根本上改變組織收集、儲存、處理和分享個人身份資訊的方式。集中式身份管理為瞭解所有使用者敏感資訊的儲存位置提供了基礎。根據個別需求，安全性和合規性可以透過以下方式管理：
- 允許組織根據要求向使用者提供其資料副本。
- 允許組織根據要求向使用者提供其資料使用方式的稽核記錄。
- 確保針對正確的身份實施 MFA 等措施，而不是針對同一個身份的其他記錄、位置或目錄服務。
- 實施「合理」和/或「適當」的安全措施來保護所有身份。
- 確保所有身份資訊都已適當地儲存和加密，因為它是集中式的。
- 稽核對所有身份相關資訊的存取，以進行鑑識和其他合規措施，例如 PCI 和 HIPAA。
正確實施的 CIAM 解決方案將有助於達成許多本地合規措施中提出的所有目標。
資料分析：洞察使用者行為
CIAM 的主要目標之一是根據聯合身份 (以及有時是非聯合身份 - 非集中管理的訪客使用者) 提供使用情況和行為的整合分析檢視。這種對消費者的單一檢視提供了無數的商業優勢，並且由於集中化和對安全模型的信心，還可以幫助組織滿足資料隱私的稽核要求。自動化和分析可以幫助推動客製化體驗、允許目標行銷、提高保留率，並提供對關鍵消費者趨勢的商業洞察。如果針對組織外部的其他變數進行正確分析和關聯，這些資料將成為重要的競爭優勢。
雲端安全狀態管理 (CSPM)：即時監控你的雲端環境
CSPM 是一種產品和市場區隔，旨在識別與雲端佈署相關的雲端組態異常和合規性風險，無論其型別為何。根據設計，CSPM 解決方案旨在即時 (或盡可能接近即時) 持續監控雲端基礎架構的風險、威脅和根據錯誤組態、漏洞和不當強化的入侵指標。
CSPM 解決方案使用代理和無代理技術 (雲端 API) 將雲端環境與最佳實務和已知安全風險的策略和規則進行比較。如果發現威脅，某些解決方案具有自動降低風險的自動化功能，而其他解決方案則側重於警示和檔案以供手動干預。
採用 CSPM 的環境通常採用雲端優先策略，並希望在混合雲和多雲環境中強制執行合規性法規和安全最佳實務。這使得它們非常適合任何雲端佈署。憑藉這種靈活性，CSPM 與其他雲端安全解決方案有幾個主要區別：
- 即時 (或接近即時) 自動偵測和修復雲端錯誤組態
- 提供不同雲端服務供應商及其服務的最佳實務目錄和參考清單，包括如何使用原生建議或第三方建議 (例如來自網際網路安全中心 (CIS) 的建議) 對其進行強化
- 提供目前執行時間和休眠組態與既定合規性框架和資料隱私法規的參考對照表
- 提供對整個執行個體的儲存桶、加密、帳戶許可權和授權的監控，並根據合規性違規和實際風險回報調查結果
- 即時 (或接近即時) 檢查環境中作業系統、應用程式或基礎架構的公開漏洞
- 執行敏感檔案的檔案完整性監控，以確保它們沒有被篡改或洩露
- 運作並支援多個雲端服務供應商，包括第五章中列出的所有主要供應商
CSPM 工具透過減少威脅行為者可以利用的潛在攻擊向量，在保護雲端環境中發揮著至關重要的作用。同樣重要的是要注意，其中一些工具可能特定於雲端服務供應商，因此除非解決方案供應商明確新增了支援，否則它們將無法在其他雲端環境中運作。因此，例如，某些工具可能僅限於能夠偵測 AWS 或 Azure 雲端中的異常，而不能偵測 GCP 環境中的異常。
作為雲端攻擊向量的緩解策略，所有組織都應考慮在其傳統安全工具之上和之外採用某種形式的 CSPM 解決方案。
雲端工作負載安全策略：從 CWPP 到 CNAPP 與 CASB
在雲端時代，保護工作負載安全至關重要。隨著技術演進，相關解決方案也日新月異，從雲端工作負載保護平台（CWPP）到雲端原生應用程式保護平台（CNAPP），再到雲端存取安全代理（CASB），各種技術應運而生。玄貓將探討這些技術，並提供實務上的安全策略建議。
雲端工作負載的演進與挑戰
過去，企業主要依靠實體伺服器和虛擬機器。如今，容器、無伺服器流程，甚至程式碼本身都已成為工作負載的組成部分。這種轉變帶來了新的安全挑戰，傳統的防火牆和存取控制列表已不足以應付雲端的複雜環境。
圖表翻譯： 上圖展示了計算資源的演變過程，從傳統的實體伺服器到虛擬機器，再到容器和無伺服器環境。這反映了工作負載日益輕量化和分散式的趨勢。
最初是實體伺服器，接著發展到虛擬機器，然後是容器技術，最終演進到無伺服器架構。這種演變使工作負載變得更加靈活且分散，為安全管理帶來了新的挑戰。
CWPP：以工作負載為中心的保護
CWPP 是一種以工作負載為中心的解決方案，專注於保護雲端環境中的工作負載。無論工作負載位於雲端、本地還是混合環境，CWPP 都能提供全面的保護。
選擇 CWPP 時，需要考量以下幾個關鍵因素：
- 多雲環境支援： 確保 CWPP 能夠支援您的多雲佈署策略。
- 工作負載型別： 確認 CWPP 能夠保護各種工作負載，包括虛擬機器、容器和無伺服器函式。
- 安全功能： 評估 CWPP 提供的安全功能，例如漏洞管理、惡意軟體防護和身份管理。
CNAPP：整合 CWPP 和 CSPM 的優勢
CNAPP 整合了 CWPP 和雲端安全姿態管理（CSPM）的功能，提供更全面的安全解決方案。CNAPP 不僅可以掃描工作負載和組態中的漏洞，還能在執行階段提供保護。
儘管 CNAPP 具有技術優勢，但在某些情況下，單獨使用 CWPP 和 CSPM 可能更為合適：
- 特定功能需求： 如果個別供應商的 CWPP 或 CSPM 解決方案提供獨特的功能，則單獨使用可能更符合需求。
- 角色劃分： 如果需要根據角色劃分存取許可權，則單獨使用 CWPP 和 CSPM 可以更好地實作職責分離。
CASB：雲端存取的閘道器
CASB 位於使用者和雲端服務供應商之間，充當連線屏障和代理。CASB 可以彌補 XaaS 佈署和本地環境連線的安全缺口，並允許企業將安全策略擴充套件到雲端。
CASB 的主要功能包括：
- 可視性和控制： 提供對雲端存取的全面可視性，並實施安全策略。
- 資料安全： 保護敏感資料，防止資料洩露。
- 威脅防護： 檢測和阻止惡意活動。
圖表翻譯： 上圖展示了 CASB 在使用者、雲端服務供應商和本地環境之間的角色。CASB 就像一個閘道器，控制和保護所有雲端存取。
使用者透過CASB存取雲端服務供應商，同時本地環境也透過CASB進行連線。CASB作為一個閘道器，不僅控制著存取行為，還保障了資料的安全性，防止潛在的安全威脅。
雲端安全防護策略：從傳統CASB到AI驅動的威脅偵測
在雲端技術日新月異的今天，保障資料安全和系統穩定性至關重要。玄貓認為，結合人工智慧（AI）的威脅偵測技術將成為未來雲端安全防護的關鍵。
CASB：雲端安全的根本
CASB 的核心功能在於監控和管理企業使用者對雲端服務的存取，並提供一系列安全防護措施，例如：
- 根據資產和身份互動的雲端治理和風險評估
- 資料外洩防護，防止敏感資料被不當存取
- 控管雲端服務的原生功能，例如協作和分享
- 根據網路流量模式的威脅防護
- 使用者行為分析（UBA），識別並阻止異常行為
- 系統組態監控和稽核
- 惡意軟體偵測和入侵防護
- 資料加密和金鑰管理
- 單點登入（SSO）和身份與存取管理（IAM）整合
- 根據情境的存取控制和最小許可權存取
這些功能有效強化了雲端環境的安全性，但隨著數位轉型浪潮的推進，企業需要更強大的安全防護能力。
AI：雲端安全的未來
AI 技術，特別是機器學習（ML），在解決複雜資訊安全問題方面展現出巨大潛力。AI 系統能夠像生物一樣學習，透過與情境和事件的重複互動，發展出關聯性和預測能力。AI 演算法可以從資料序列中辨識資訊，無需依賴預先確定的關係或特徵。
圖表翻譯： 上圖展示了 AI 驅動的威脅偵測流程。首先，系統收集大量的安全相關資料，然後用這些資料訓練 AI 模型。訓練完成的模型可以偵測潛在威脅，並觸發相應的安全事件回應。
內容解密：
此圖表描述了一個AI驅動的安全威脅檢測系統的工作流程。首先透過收集資料來訓練AI模型，接著利用訓練好的模型進行威脅檢測，一旦檢測到威脅，便會啟動相應的安全事件回應機制。此流程展現了AI在提升雲端安全方面的強大能力，能夠及時有效地應對各種潛在的安全威脅。
與機器學習不同，真正的 AI 不僅能學習和推測，還能開發新的演算法來分析資料，更像是人類在沒有先前參考框架的情況下學習新行為。因此，AI 更擅長於解讀資訊並得出結論或做出決策，而機器學習則需要預先了解正在處理的資料範圍。
由於現代資訊網路產生了海量資料，AI 可以有效輔助安全分析師分析安全事件並識別入侵指標。AI 可以偵測雲端攻擊、評估身份行為、評估漏洞和風險，並將來自已知和潛在未知攻擊策略的資訊關聯起來。這在行為難以預測、身份和流程轉瞬即逝，以及策略中定義的規則難以判斷事件是否惡意的情況下尤為有用。
AI 如何提升雲端安全
AI 可以評估異常情況，並為這些情況建立基礎。結果可以與其他外部來源的資訊相關聯，作為評估哪些威脅參與者可能影響了組織以及影響程度的工具。AI 的價值在於它可以建立初始關係，然後根據持續分析強化或弱化這些關係。
雲端安全防護策略：降低風險的實務做法
在雲端時代，企業資料和應用程式越來越多地遷移到雲端環境，這也使得雲端安全成為企業關注的焦點。如何有效降低雲端攻擊風險，保護企業資產安全，是每個企業都需要認真思考的問題。這篇文章將探討雲端攻擊的緩解策略，並提供一些實務做法，幫助企業構建更安全的雲端環境。
雲端攻擊的常見途徑
首先，我們需要了解雲端攻擊的常見途徑，才能更有針對性地制定防禦策略。以下是一些常見的雲端攻擊向量：
- 惡意軟體和勒索軟體： 攻擊者利用惡意軟體和勒索軟體入侵雲端伺服器，竊取資料或加密資料以勒索贖金。
- 拒絕服務攻擊 (DoS)： 攻擊者透過大量流量或惡意請求，使雲端服務癱瘓，無法正常運作。
- 資料洩露： 攻擊者利用漏洞或組態錯誤，未經授權存取敏感資料。
- 帳戶劫持： 攻擊者竊取使用者憑證，以獲得對雲端資源的未經授權存取。
此圖示展示了常見的雲端攻擊途徑
圖表翻譯： 上圖展示了常見的雲端攻擊途徑，包括惡意軟體/勒索軟體、拒絕服務攻擊、資料洩露和帳戶劫持等，每種攻擊途徑都可能對雲端環境造成嚴重後果。
提升雲端安全的緩解策略
為了應對這些威脅，企業需要採取多層次的防禦策略，以下是一些關鍵的緩解策略：
- 強化遠端存取安全： 限制遠端存取許可權，實施多因素驗證 (MFA)，並使用專用的遠端存取解決方案或 VPN。
此流程圖展示了多因素驗證如何提升安全性
圖表翻譯： 此流程圖展示了多因素驗證的流程，使用者需要透過 MFA 驗證才能存取資源，這大大提高了安全性。
特權帳戶管理： 使用特權存取管理 (PAM) 解決方案來管理所有特權帳戶，並自動將憑證注入會話，而無需向最終使用者透露。
端點特權管理： 限制端點的許可權，以減少潛在的濫用。
零信任網路存取： 實施零信任模型，驗證每個存取請求，無論其來源為何。
漏洞管理： 定期進行漏洞掃描和修復，以減少攻擊面。
安全監控： 使用安全資訊和事件管理 (SIEM) 系統來監控雲端環境中的可疑活動。
資料加密： 對靜態和動態資料進行加密，以保護資料的機密性。
安全意識培訓： 對員工進行安全意識培訓，以提高他們對網路威脅的認識。
網路安全保險與單租戶、多租戶架構的安全性權衡
在選擇 SaaS 解決方案時，安全性是至關重要的考量因素。單租戶和多租戶模型各有其優缺點，理解這些差異才能做出明智的決策。
單租戶與多租戶定義回顧
- 單租戶： 應用程式不與其他執行個體分享後端或資料函式庫資源。執行時間和資料專用於單個公司、部門或組織，並使用根據角色的存取模型來控制許可權和隔離資料集。
- 多租戶： 分享通用資源，可能包括後端資料函式庫，該資料函式庫提供資料和許可權的邏輯分離，以將資訊、組態和執行時間與其他邏輯使用者群和公司隔離。多租戶提供了一種有效擴充套件解決方案的方法。如果正確實施多租戶，則可以分享資源，同時防止資料從一個租戶洩漏到另一個租戶，並且仍然提供資料和操作分段。
單租戶 vs. 多租戶：安全性權衡
採用多租戶 SaaS 解決方案意味著您的公司必須放棄一些安全最佳實踐，例如變更控制、安全性和客製化。單租戶 SaaS 解決方案則提供更高的安全性和客製化選項，但可能需要更多的維護和管理工作。
此圖示展示了單租戶和多租戶 SaaS 模型在變更控制、安全性、客製化方面的優缺點比較
圖表翻譯： 上圖展示了單租戶和多租戶 SaaS 模型在變更控制、安全性、客製化方面的比較。單租戶模型在自主控制、隔離性和客製化彈性方面具有優勢，而多租戶模型則可能需要自行管理更新、存在資料洩漏風險，與客製化能力受限。
雲端安全合規性：導航合規性迷霧
在雲端技術日新月異的今天，安全合規性不再只是選項，而是企業生存的根本。讓我們深入瞭解雲端安全聯盟（CSA）和網路安全中心（CIS）的關鍵框架，助您在雲端世界中穩健前行。
雲端安全聯盟（CSA）的貢獻
CSA成立於2008年，至今已擁有超過8萬名成員。CSA擁有超過25個活躍的工作組，專注於雲端標準、認證、教育和培訓、指導和工具、全球影響力以及創新驅動。如果您從事雲端工作卻尚未加入CSA，那麼您真的應該考慮加入。
雲端安全聯盟雲端控制矩陣（CCM）
CSA雲端控制矩陣（CCM）是雲端運算的網路安全控制框架，列出了16個涵蓋雲端技術所有關鍵層面的領域，每個領域又細分為133個控制目標。它可以作為工具，透過提供關於應實施哪些安全控制以及雲端供應鏈中的哪些參與者應實施這些控制的指導和方向，來主動評估雲端實施。
圖表翻譯： 上圖展示了CSA CCM涵蓋的主要安全領域，這些領域對於評估雲端服務供應商的安全狀況至關重要。透過這些領域的評估，組織可以更全面地瞭解供應商的安全性和合規性，從而做出更明智的決策。
CSA CCM中的控制措施與業界公認的安全標準、控制框架和法規相符。由於CSA CCM的成熟是一個持續的過程，目前的版本4包含了以前的版本，是一個複合的成果。版本4目前包含以下對映：
- ISO/IEC 27001/27002/27017/27018
- CCM版本3
- CIS控制版本8
- AICPA TSC
- PCI DSS
- NIST 800-53 Rev 5
這種對映非常重要，因為它體現了標準的累積性質以及先前規範的納入。CSA CCM是一個，列出了組織可以作為框架來遵守法規的控制措施。由於每個控制措施都對映到多個業界公認的標準、框架和法規，因此滿足CSA CCM控制措施也意味著滿足了相應的標準和法規。
共識評估倡議問卷（CAIQ）
CSA有一個共識評估倡議問卷（CAIQ），這是一份評估雲端服務供應商安全能力的調查問卷。它的開發旨在建立一個業界普遍接受的標準，以記錄服務供應商在其雲端應用程式產品中的安全控制措施。就CSA CCM而言，CSA CAIQ是CCM的一個配套工具，它提供了一套雲端客戶或稽核師可能會詢問雲端供應商的「是或否」型別問題。
圖表翻譯： 此流程圖說明瞭客戶使用CSA CAIQ評估供應商的決策流程。如果客戶決定使用CSA CAIQ，則會根據評估結果來決定是否與供應商合作。如果不使用CSA CAIQ，則需要建立自定義評估問卷或使用其他工具來評估供應商的安全性。
總之，CSA CCM和CAIQ是評估雲端服務供應商安全性的重要工具。透過使用這些工具，組織可以更全面地瞭解供應商的安全性和合規性，從而做出更明智的決策。同時，也應持續關注雲端安全最佳實踐，不斷提升自身的安全防護能力。
網路安全防禦最佳實務：CIS 控制項深度解析
資訊安全共同體（CIS）作為一個社群驅動的非營利組織，長期致力於維護與推廣 CIS 控制項和 CIS 基準，為全球資訊安全提供最佳實務方案。CIS 不僅負責管理多州資訊分享和分析中心（MS-ISAC），為美國聯邦、州和地方政府提供網路威脅防禦支援，同時也管理選舉基礎設施資訊分享和分析中心（EI-ISAC），為美國選舉辦公室提供網路安全相關支援。
CIS 控制項的實踐價值與全球認可
CIS 控制項是一套經過優先排序的安全控制措施，根據實施的難易程度和重要性分為三個類別：基本、基礎和組織。這些控制項由一群來自不同產業的資訊科技專家共同維護，結合他們在網路防禦領域的第一手經驗，建立了一套全球公認的最佳實務。這些控制項的制定涵蓋了零售、政府、教育、醫療保健、金融服務等眾多領域，能夠有效幫助組織抵禦常見的網路攻擊。
在當今快速變化的網路威脅環境中，安全專業人員面臨著海量的安全資訊和技術選項，使得制定有效的網路安全策略變得更加複雜。特別是在疫情推動下，企業加速了雲端採用和數位轉型的步伐，這雖然促進了業務發展，但也帶來了更多的安全風險。在此背景下，如何建立一個優先排序的安全防禦策略，並保持與最新的安全威脅同步，成為企業面臨的一大挑戰。
CIS 控制項的核心價值在於提供一個經過優先排序的安全防禦框架，能夠幫助企業在面對日益嚴重的網路犯罪和資料洩露問題時，制定有效的防禦措施。該框架不斷透過社群回饋和更新進行改進，以確保其在當前威脅環境下的有效性。
CIS 控制項的實際應用與社群支援
CIS 控制項不僅提供了一個最佳實務的安全框架，還透過以下幾種方式幫助全球企業和組織提升安全防禦能力：
- 分享威脅情報與防禦實踐：透過識別常見攻擊模式和入侵指標，將其轉化為可操作的防禦措施。
- 記錄實施案例與工具分享：透過分享實際應用的成功案例和工具，幫助企業更好地解決實際問題。
- 追蹤威脅演變與攻擊向量：持續監控最新的威脅動向和攻擊手法，確保企業能夠及時調整安全策略。
- 對映法規框架與合規性要求：將 CIS 控制項與現有的法規和合規性框架進行對映，簡化企業的合規流程。
- 識別並解決實施中的常見問題：透過社群合作，分享實施過程中的經驗和教訓，幫助企業更高效地實施 CIS 控制項。
這些努力使得 CIS 控制項不僅僅是一個安全框架，更是一個由社群驅動的、持續更新的安全最佳實務，能夠幫助企業在不斷變化的威脅環境中保持彈性。
@startuml
skinparam backgroundColor #FEFEFE
skinparam componentStyle rectangle
title 雲端安全防護策略實務
package "安全架構" {
package "網路安全" {
component [防火牆] as firewall
component [WAF] as waf
component [DDoS 防護] as ddos
}
package "身份認證" {
component [OAuth 2.0] as oauth
component [JWT Token] as jwt
component [MFA] as mfa
}
package "資料安全" {
component [加密傳輸 TLS] as tls
component [資料加密] as encrypt
component [金鑰管理] as kms
}
package "監控審計" {
component [日誌收集] as log
component [威脅偵測] as threat
component [合規審計] as audit
}
}
firewall --> waf : 過濾流量
waf --> oauth : 驗證身份
oauth --> jwt : 簽發憑證
jwt --> tls : 加密傳輸
tls --> encrypt : 資料保護
log --> threat : 異常分析
threat --> audit : 報告生成
@enduml
圖表翻譯： 上圖展示了 CIS 控制項的三個主要類別及其作用。基本措施側重於技術防禦，基礎措施關注流程最佳化，而組織措施則強調組織治理。三者共同構成了縱深防禦體系，能夠有效減輕常見攻擊、提升安全效率並加強合規管理。