什麼是雲端安全？
雲端安全，或稱雲端運算安全，是指保障旨在保護雲端運算系統、資料和基礎設施免受網路威脅的措施、技術、流程和政策。它能確保您在雲端儲存和處理的資料保持機密、完整和可用，讓使用者和組織免於未經授權的存取、外洩和資料遺失。
網路安全涵蓋廣泛的資訊系統保護措施，而雲端安全則專注於保護託管在第三方服務供應商基礎架構上的資產。
雲端安全為何重要？
雲端安全性可保護雲端託管的敏感資料、應用程式和基礎架構。隨著組織越來越多使用雲端運算和第三方 雲端服務供應商 (CSP)，他們面臨獨特的安全挑戰，包括 資料外洩、未授權存取和合規性。
- 資料保護：雲端環境通常儲存敏感的個人、財務和智慧財產資料。強大的雲端安全措施可保護這些資料不被盜用、遺失及未經授權的存取。
- 監管合規性： GDPR, HIPAA 和 PCI DSS 等合規性標準監管著許多行業。雲端安全可協助組織滿足這些需求，避免法律後果和財務懲罰。
- 緩解網路威脅：雲端環境經常是網路攻擊的目標，包括網路釣魚、勒索軟體和 DDoS 攻擊。有效的雲端安全解決方案可防止這些威脅，確保業務的不斷地。
- 共同責任模式：在雲端運算中，安全性是服務供應商與客戶 共同的責任 。雲端安全工具與實務可讓組織參與此合作關係。
- 安全遠端存取：隨著遠端工作的興起，員工通常會從不同地點和裝置存取雲端系統。VPN (虛擬私人網路)、零信任網路存取 (ZTNA) 和安全閘道可確保存取的安全性，而不會損害組織的資料。
- 維持客戶信任：資料外洩或安全失敗會損害公司的聲譽，並削弱客戶的信任。強大的雲端安全措施有助於維持客戶的信心和忠誠度。
- 成本效益：前瞻性的雲端安全性可避免昂貴的資料外洩和停機時間，降低與事故復原和合規性違規相關的長期成本。
確定最適合您組織的選項：CSP 建置的安全性與第三方雲端原生安全性。
雲端安全策略的基本要素
要掌握雲端安全，您必須專注於策略性雲端安全計畫的 核心原則 ，此計畫涉及保護資料、應用程式和基礎架構的策略與技術。主要領域包括
- 資料保護：透過加密和 存取控制，保護資料在靜止、傳輸和處理過程中的安全。
- 身分與存取管理 (IAM)：: 確保只有授權的使用者和裝置才能存取雲端資源。
- 合規性與治理：遵守法律和監管需求，例如 GDPR、HIPAA 或 CCPA。
- 可見度：監控雲端活動，透過記錄、稽核和分析工具找出潛在的安全威脅。
- 網路安全性：使用防火牆、入侵偵測系統 (IDS) 及其他工具保護雲端環境內及雲端環境之間的通訊與連線。
- 威脅偵測與防護：透過自動化工具、機器學習和威脅情報，識別和降低弱點和風險。
- 事件回應：建立有效處理安全漏洞或網路攻擊的程序。
- 應用程式安全性：確保雲端託管的應用程式不受漏洞或設定錯誤的影響。
雲端安全的三大支柱
雲端安全的三大支柱 - 機密性、完整性和可用性 - 提供了保障雲端環境安全的基礎架構。這些原則通常稱為 CIA 三要素，是雲端安全和整體網路安全原則的支柱。
保密性
機密性可確保只有授權的個人和系統才能存取敏感資料。這是透過加密資料、使用多重要素驗證 (MFA) 和角色式存取控制 (RBAC) 等強大的存取控制，以及在應用最低權限存苃原則的同時保護 API 來實現的。透過保障機密性，組織可以保護其運作和使用者的信任。
誠信
完整性可確保資料和系統保持準確、可靠和不被篡改。組織利用雜湊和校驗和等技術驗證資料，實作版本控制和備份以防止變更，並採用安全 DevOps ((DevSecOps) 實務來確保應用程式的安全性。
可用性
可用性可確保雲端服務、應用程式和資料可在需要時存取。組織透過備援和故障移轉機制、實作分散式拒絕服務 (DDoS) 保護，以及定期執行系統更新和修補程式，以減少可能導致停機的漏洞，來達成上述目標。
雲端安全如何運作？
雲端安全功能涵蓋三種主要環境：公共、私人和混合。
公共雲端
公共雲端透過網際網路交付 IT 服務。第三方供應商擁有並經營底層基礎架構。組織將 公共雲端服務用 於各種應用程式，包括網頁型解決方案和資料儲存。這些服務按年或實際使用量計費，成本與資源消耗和資料流量掛鉤。
在公共雲端環境中，組織與其他使用者共用基礎架構，但透過個人帳戶管理資源。公共雲端可快速部署全球可存取的可擴充應用程式，省去大量前期投資。
私人雲端
私人雲端專供單一企業或組織使用。它可以由公司、協力廠商服務供應商或兩者共同擁有、管理和運作，也可以位於內部部署或非現場。
私人雲端提供與公共雲端相同的優點，例如彈性擴充能力和成本節省、資源可用性、全面控制、隱私性和合規性。它們非常適合有嚴格合規性需求或需要絕對資料控制的組織，例如政府機構和金融機構。
混合雲端
A 混合雲端 結合內部部署、私人 雲端 和公共環境，同時保持它們之間的協調和區別。資料和應用程式可以在這些環境之間移動，提供更大的靈活性。混合雲端適合組織以特定的雲端使用案例來擴充內部部署的基礎架構。
舉例來說，公共雲端可以處理大容量、安全性較低的需求，例如網頁型應用程式，而私人雲端則可以管理敏感的關鍵業務作業，例如財務報告。它們的適應性使混合雲端成為許多企業的吸引人的選擇。
共同責任模式
The 共同責任模式 將 CSP 與客戶之間的安全責任分開。組織必須根據此模式調整其安全策略，以保護其資料、應用程式和合規性狀態，同時充分利用雲端運算的優點。 瞭解各方的角色 可降低弱點風險。
CSP 的責任
- 基礎設施安全：確保伺服器、儲存設備和網路等實體基礎架構的安全性。
- 軟體安全性：確保基礎服務的安全性，包括管理程序和作業系統。
- 合規性：維護其基礎架構的認證與合規性，以符合 SOC、ISO、GDPR 或 HIPAA 等標準。
客戶的責任
- 資料安全性：確保儲存在雲端的資料安全，包括加密和存取控制。
- IAM：管理使用者身分、角色和權限，以確保只有經過授權的個人才能存取資源。
- 應用程式安全性：保護部署在雲端的應用程式、組態或工作負載。
- 合規性：確保使用方式符合組織特定的監管需求。
工作量責任
工作負載 責任根據雲端服務類型而有所不同：
- 基礎架構即服務 (IaaS)：CSP 負責處理實體基礎架構和虛擬化；客戶負責管理作業系統、應用程式和資料。
- 平台即服務 (PaaS)：CSP 管理平台，包括基礎架構和執行時間；客戶則專注於應用程式開發、配置和資料。
- 軟體即服務 (SaaS)：CSP 負責處理基礎架構、平台和軟體；客戶則負責使用者存取和軟體內的資料安全。
雲端安全的最大風險與挑戰
組織面臨多項嚴重性的雲端安全挑戰，需要策略規劃、主動的安全措施以及勤勉的監控。主要挑戰包括
- 無規模擴張：雲端服務很容易推出，但較難以合邏輯的方式管理和合併。快速移動的團隊可能會發現自己在沒有集中管理策略的情況下，雜亂無章地啟動虛擬機器、資料庫等。如此一來，有系統地發現和保護所有這些工作負載就變得相當具有挑戰性。
- 影子 IT：與此類似，團隊或個人可能會啟動影子 IT，或只有他們知道的 工作負載 ，且未與中央 IT 管理系統整合。這些工作負載也很難以集中的方式偵測和保護。
- 技術安全債務：為了快速創新，團隊可能會忽略安全性崗位中的弱點，以增加他們需要花費在尋找與修復弱點上的時間與精力。
- 事件回應不足：雲端環境需要專門的事件回應策略，許多組織可能缺乏必要的專業知識和工具，無法有效回應雲端中的安全事件。
- 第三方風險：依賴第三方廠商和服務會帶來額外的弱點，並使安全狀況變得複雜。
- 資源限制：組織可能缺乏預算、人員或專業知識，無法有效管理雲端環境並確保其安全，導致安全勢態出現缺口。
- 確保混合與多雲端環境的安全性：在不同的環境中維持一致的安全性，可能會相當具有挑戰性，而且需要大量資源。
- 雲端技術的快速演進：跟上雲端服務和安全性的創新步伐至關重要，因為落後的作法會增加受到威脅的可能性。
瞭解如何評估雲端基礎架構的潛在弱點和威脅： 如何評估雲端的風險。
雲端安全工具
強大的雲端安全策略包括採用專為確保雲端環境安全而設計的工具。基本工具應提供：
- 雲端應用程式活動的可見性。
- 詳細的使用分析，可預防資料風險和合規性違規。
- 情境感知政策控制，以強制執行和修正違規情況。
- 即時威脅情報，以偵測和防護新的惡意軟體。
雲端安全工具的種類
雲端安全工具可保護雲端環境、應用程式和資料免受威脅、未經授權的存取和漏洞的侵害。主要工具包括
- 雲端存取安全代理(CASB)：監控和管理雲端應用程式的存取、執行安全政策，並提供雲端使用和合規性的可見性 (例如 Prisma Access)。
- 雲端工作負載保護平台(CWPP)：確保跨多雲端環境工作負載的安全性，提供執行階段防護和弱點管理（例如 Prisma Cloud）。
- IAM 工具：確保只有經授權的人員才能存取雲端資源，支援 SSO、MFA 和 RBAC (例如 Prisma Cloud 的雲端基礎架構權限管理)。
- 雲端加密工具：使用金鑰管理服務在資料靜止、傳輸或處理過程中加密資料。
- 雲端安全勢態管理(CSPM) 工具：不斷地監控雲端環境的設定錯誤和合規性風險，提供自動化的修復功能 (例如 Prisma Cloud)。
- Web 應用程式防火牆(WAF)： 保護雲端託管的 Web 應用程式免受 SQL 插入和 DDoS 攻擊等威脅（例如 Prisma Cloud 的 Web 應用程式和 API 安全性）。
- 端點防護 工具：確保存取雲端資源的端點安全，偵測並應對惡意軟體及其他威脅 (例如 Cortex XDR)。
- 資料遺失防護(DLP) 工具：防止未經授權共用或傳輸敏感資料（例如 Prisma Cloud 的 DSPM）。
- 入侵偵測與防護系統(IDPS): 偵測雲端環境中的可疑活動並作出回應。
- 雲端監控與分析工具：提供雲端效能、使用情況及安全威脅的可視性，可進行記錄及事故分析 (例如 Prisma Cloud)。
雲端安全最佳實務
保護雲端中的資料、應用程式和系統需要遵循 實用的安全實務。勾選下列步驟可協助組織領先網路威脅，並確保順暢、合規的業務運作：
- 瞭解共同的責任。
- 確保周邊安全。
- 監控設定錯誤。
- 使用 IAM 慣例強制執行健全的密碼、裝置和存取管理。
- 啟用安全勢態可視性。
- 實作政策以防止未經授權的應用程式存取並確保資料安全。
- 限制必要人員存取資料，以防止洩漏。
- 確保容器安全性。
- 定期進行安全稽核、漏洞掃描，並及時提供安全修補程式。
- 針對更新的安全政策和遠端存取需求，採用零信任方法。
- 就目前的雲端安全趨勢教育和訓練員工，以辨識可疑的行為。
- 使用日誌管理和不斷地監控。
- 進行滲透測試。
- 為資料加密，以確保資料安全，且只有授權使用者才能存取。
- 符合合規性需求。
- 實作事件回應計畫，以處理安全事件。
- 確保所有應用程式的安全。
- 維持彈性的資料安全狀態。
- 合併網路安全解決方案。
- 利用雲端偵測與回應方法。
有了這些以人為本的指導方針和策略重點，組織就能有效率地管理雲端環境並保障其安全，確保能夠提供強大的防護，以應對不斷演化的網路威脅和合規性。
雲端安全常見問題集
