Alibaba Cloud 安全性：主要功能與最佳實務

由於雲端技術相較於傳統的應用程式託管與部署方式提供了許多優勢，企業正逐步遷移至雲端技術。其中一些優勢包括更好的可擴展性、成本效益等。Alibaba 就是其中一個被全球各地多家公司廣泛用於部署應用程式與儲存資料的雲端供應商。在 IaaS（基礎架構即服務）方面，Alibaba 擁有相當高的市場占有率。

然而，能力越大，責任越大。2021 年 12 月，Alibaba Cloud 發生了一起重大資安外洩事件。一名駭客聲稱已從託管於 Alibaba Cloud 的上海國家警察資料庫中竊取了超過 11 億中國公民的資料。此事件凸顯了部分組織在雲端平台上設定與保護其資料方式中的關鍵弱點。此次外洩並非源於 Alibaba Cloud 基礎架構的漏洞，而是由於資料庫設定錯誤，導致其在未經適當驗證的情況下暴露於公網。

由於 Alibaba Cloud 處理敏感資料，因此確保其安全性至關重要，以避免威脅行為者存取公司內部資料。在這篇部落格文章中，我們將討論 Alibaba Cloud 的安全服務與工具。我們將討論提升 Alibaba Cloud 安全性的最佳實務，並提供解決常見弱點的步驟。這篇部落格將幫助您了解 Alibaba Cloud 安全性，以及如何有效保護資產。

了解 Alibaba Cloud

Alibaba Cloud 是類似 AWS 和 GCP 的雲端服務供應商，並在亞洲地區被廣泛使用。Alibaba Cloud 提供多種工具與服務，協助企業成長並實作其解決方案。Alibaba Cloud 提供的服務包括運算、儲存、網路、IAM 等。

隨著容器與 Kubernetes 在部署中的興起，確保它們的安全也同樣重要。Alibaba 提供各種服務，例如 Alibaba Cloud Kubernetes 和 Elastic Container Instance，以協助企業保護容器與 K8s 環境。不僅如此，Alibaba 還為現代技術提供工具，例如 AI（人工智慧） 和 ML（機器學習）。

Alibaba Cloud 客戶在保護其資料與應用程式時面臨獨特挑戰。這些包括：

1. 在中國營運的公司必須面對複雜的法規要求，例如《網路安全法》和《資料安全法》。
2. Alibaba Cloud 使用者在將資料移出中國大陸時可能會面臨限制，進而影響全球營運。
3. 與西方雲端供應商相比，Alibaba Cloud 在與熱門安全工具和服務整合方面的選項可能較少。

為了提升使用者對其雲端安全性的信任，Alibaba 已取得來自世界各地的多項安全認證。舉例來說，Alibaba 已通過 Payment Card Industry Data Security Standard (PCI-DSS) 與 Singapore Multi-Tier Cloud Security (MTCS) standard Level 3 認證。

Alibaba Cloud 的核心安全功能

Alibaba Cloud 為使用者提供多項功能來保護其資料。其中一些如下：

1. 身分與存取管理

Alibaba Cloud 提供集中式管理系統，讓管理員管理其客戶及其各自的權限。 IAM 可協助管理員建立原則，以定義新角色或編輯現有角色，並在每次新增使用者時管理其存取層級。

這些存取原則有助於限制使用者對資源的存取，從而保護組織免於未經授權的存取與資料外洩。為了再增加一層安全性，應在整個系統中強制實施 MFA，作為第二道防線，並有助於避免暴力破解攻擊。

2. 資料加密

安全傳輸一直都是雲端安全的重要組成部分。敏感資訊會使用 Alibaba Cloud 提供的服務進行加密。接著，資料會以靜態形式儲存在資料庫與儲存服務中，這表示資料會受到保護，未經授權的使用者不得存取。

資料會使用強大的加密演算法（例如 AES 或 3DES）進行加密，因此即使有人進入實際的實體儲存裝置並查看其中的資料，他們唯一能看到的也只是一些隨機亂碼，而那其實是加密後的資料。

另一方面，網路上的資料通常會透過涉及 HTTPS 和 TLS 的安全通訊協定進行傳輸，而 Alibaba Cloud 上啟用的設定也可確保資料在傳輸中或移動中同樣受到加密。

3. 金鑰管理服務 (KMS)

Alibaba Cloud 提供金鑰管理服務 (KMS)，可在雲端儲存加密金鑰等機密資訊，並集中管理這些機密。使用者可以使用 KMS 建立、匯入及管理金鑰。

使用 KMS，企業也可以定義存取控制，以規範應允許使用者如何使用金鑰。它也提供維護日誌的選項，讓您可以查看是誰呼叫使用金鑰，以及用途為何。

4. SSL/TLS 憑證

SSL/TLS 憑證由 Alibaba Cloud 簽發，用於在用戶端與伺服器之間提供安全連線。這些憑證用於保護網際網路上的連線，並在資料交換時建立加密通道。如今，組織持續透過使用 SSL/TLS 來保護傳輸中的資料，方法是加密使用者與應用程式之間傳輸的資料，以防止資料遭到攔截或竄改。

5. 網路安全

Alibaba Cloud 提供網路安全，其中使用了虛擬私有雲 (VPC)。VPC 的運作方式可讓使用者在雲端內建立隔離的網路。VPC 與雲端的其餘部分相互隔離。這有助於資源管理，而當這些資源被隔離時，控制流量流向也會變得更容易。

除了建立 VPC 之外，Alibaba Cloud 也協助設定安全群組。這些安全群組是以虛擬方式定義的防火牆，並為指定的資源群組指派規則。它們有助於控制傳入與傳出的網路流量。

6. Anti-DDoS 防護

反分散式阻斷服務支援是 Alibaba Cloud 提供的重要功能，因為DDoS 攻擊是伺服器與整體 IT 基礎架構面臨的主要威脅之一。其目的是保護系統免受來自多個來源的大規模資料請求影響。

這些攻擊的發動與執行是為了威脅公司、使公司伺服器停擺，並讓系統更容易受到資料外洩的影響。Alibaba 提供的 Anti-DoS 措施透過流量清洗與重新分配至不同流量路徑來運作，同時即時識別可能的問題，以維持流量模式並讓系統免受威脅。

Alibaba Cloud 安全性的安全工具與服務

組織需要安全工具來保護自己免受威脅與弱點影響。Alibaba Cloud 提供的一些安全工具與服務如下：

#1. Alibaba Cloud Security Center

在威脅偵測、弱點評估與合規管理方面，Alibaba 提供一個稱為 Alibaba Cloud Security Center 的集中式安全管理。其部分主要功能如下：

• 資產管理： 它會自動探索並管理所有雲端資產，包括 ECS 執行個體、RDS 資料庫和 SLB 負載平衡器。例如，它會管理 ECS 執行個體、RDS 資料庫和 SLB 負載平衡器，並在中央儀表板上顯示資產總數。它也會即時追蹤資產變更與組態。
• 威脅偵測： Alibaba Cloud Security Center 使用機器學習與大數據分析來偵測可能的安全威脅。它可識別異常登入嘗試、可疑程序，以及異常網路通訊。
• 弱點管理： Alibaba Cloud Security Center 使用安全外掛程式定期掃描軟體問題、組態問題，以及過時的規則清單。它同時支援無代理程式與代理程式型掃描，並提供解決方案來修復所發現的問題。
• 合規性評估： Alibaba Cloud Security Center 透過預先設定的合規性檢查顯示目前的合規狀態。它提供 CIS、PCI DSS 和 ISO 27001 的合規性檢查，以及可自訂的合規性檢查。它也會產生用於稽核的合規性報告。
• 日誌分析： 它會收集並分析來自各種雲端服務的日誌，例如 ECS、SLB、RDS，以及來自安全服務的日誌，例如 DDoS、Cloud Firewall 和 Cloud Monitor。它提供用於搜尋日誌的網頁介面，並在單一儀表板上顯示安全事件。也可以儲存日誌以供進一步分析。

#2. Web Application Firewall (WAF)

Alibaba Cloud 提供 WAF 作為一項安全服務，以保護 Web 應用程式免受各種 Web 型攻擊。其部分主要功能如下：

• HTTP(S) 保護： 它可對 HTTP 和 HTTPS 流量進行檢查。它包含 TLS/SSL 卸載，以降低後端伺服器上的 HTTP 處理負載，並具備支援上傳及使用自訂 SSL 憑證的能力。
• Web 攻擊防護： 它可保護應用程式免受 OWASP Top 10 弱點影響，例如 SQL 注入, XSS，以及 CSRF。此服務使用機器學習來保護應用程式免受零時差漏洞利用攻擊，並支援自訂規則集以提供客製化防護。
• Bot 管理： Alibaba Cloud WAF 可識別並封鎖 Bot 流量。它支援良性 Bot，並使用驗證挑戰來協助管理流量，例如 CAPTCHA 和 JavaScript 挑戰。
• 存取控制： Alibaba Cloud WAF 允許根據 IP 建立用於封鎖名單與允許名單的存取控制清單。
• 資料外洩防護： 它也包含速率限制演算法，以防止暴力破解攻擊。Alibaba Cloud WAF 也可以掃描傳出流量模式，以保護機密資料，並建立規則來偵測此類資料。

#3. Anti-Bot service

Alibaba Cloud Anti-Bot Service 是一項專用解決方案，用於識別並消除針對 Web 應用程式、行動 API 與應用程式的惡意 Bot 流量。此服務的一些主要功能如下：

• Bot 識別： Bot 識別是透過多種演算法完成，這些演算法可找出人類、合法 Bot 與惡意 Bot 流量之間的差異。
• 防護模式： 此服務提供用於流量監控與記錄的觀察模式、用於主動處理已識別 Bot 流量的防護模式，以及用於個人化處理 Bot 的自訂模式。
• 智慧防護： 它會處理來自舊有資料的流量模式，並利用這些資料判定流量尖峰，然後據此採取行動。
• 應用層防護： 它可防範 Web 擷取，這可能導致內容遭竊。它也有助於避免 Web 應用程式中的點擊詐欺與廣告詐欺。
• API 防護： 它支援 OAuth 和自訂驗證機制，並防止 API 濫用與未經授權的資料存取。

了解合規與治理

合規與治理是雲端架構的重要部分。Alibaba 透過遵循 Payment Card Industry Data Security Standard (PCI-DSS)、General Data Protection Regulation (GDPR)、ISO/IEC 27001 等標準，提高客戶的信任。

Alibaba Cloud 擁有如 PCI-DSS 等認證。這顯示 Alibaba 致力於符合全球安全標準。Alibaba Cloud 使用者面臨的一些主要合規與治理挑戰包括：

1. 首先是資料在地化要求。許多國家對資料必須儲存的位置有嚴格要求。
2. 在醫療保健（HIPAA）和金融（GDPR、PSD2）等產業營運的公司，具有嚴格的資料保護要求。
3. 稽核軌跡與可歸責性是另一項重大挑戰。組織需要追蹤並報告資料存取與使用情況。

Alibaba Cloud Security 透過多種方式解決這些問題：

1. Alibaba Cloud 提供稽核與報告功能。這有助於組織維護其雲端環境中所有活動的詳細日誌。
2. Alibaba Cloud 會根據不同地區及客戶需求，向客戶提供有關合規要求的適當文件。
3. 使用者可以為其資源選擇特定的資料中心位置，以確保符合資料在地化法律。

事件回應與管理

為了讓雲端維持其安全性，Alibaba Cloud 使用事件回應與管理計畫。An 事件回應 策略是組織處理安全事件並盡快解決問題所必需的。

組織通常會制定事件回應計畫（IRP），其中概述程序、角色與職責，確保所有團隊成員都了解自己在事件期間的任務。IRP（事件回應計畫）可作為事件回應團隊的路線圖，使其在發生安全漏洞時能夠快速且有效率地採取行動。

Alibaba Cloud 提供多種工具來協助企業進行事件回應管理。其中一些包括：

1. Security Center: 此平台提供即時威脅偵測、弱點評估，以及集中式安全政策管理。
2. ActionTrail: 與 AWS CloudTrail 類似，ActionTrail 提供對 Alibaba Cloud 服務所進行之所有 API 呼叫的詳細日誌。這些資料可在事件回應期間用於鑑識分析。
3. Alibaba 提供 Simple Log Service 平台，用於收集、處理及分析來自各種來源的日誌。此工具有助於在發生安全事件時進行更輕鬆的偵測與調查。

保護 Alibaba Cloud 環境的最佳實務

以下是保護 Alibaba Cloud 環境時應遵循的一些最佳實務：

#1. 定期安全評估與稽核

定期進行安全評估與稽核非常重要，因為這有助於衡量安全性。安全評估與稽核會評估現有的安全措施，並判定組織雲端環境中的任何錯誤設定。它們有助於確保符合產業標準與法規要求，並驗證現有安全控制措施的效能。

#2. 實施最小權限原則

這是保護雲端環境的基本要求，因為它可將風險降至最低。此方法可透過確保每位使用者僅被授予存取相關資料及執行職務所需的資訊，來降低組織的安全攻擊面。

#3. 雲端工程師的安全意識訓練

建立一套教育工程師認識各種威脅及其識別方式的計畫至關重要。訓練應配備各種學員教材與演練，以模擬實際攻擊情境。其次，應由經驗豐富的安全團隊成員進行網路釣魚嘗試模擬。

此外，定期調整訓練計畫也很重要，以確保所分享的資訊是最新且有效的。同時，與公司員工討論已通報的事件，有助於將進一步損害降至最低。

Alibaba Cloud 也提供 Cloud Security Certification 計畫，以提升使用者的安全意識。此計畫為雲端安全專業人員提供以角色為基礎的認證。

對於大量使用雲端供應商的公司而言，安全訓練計畫應納入：

• 雲端特有的安全風險，以及在事件發生時應如何應對
• 針對 Alibaba Cloud 服務安全設定的實作實驗室，以加深理解
• 特定角色的訓練模組（例如：開發人員、系統管理員等）

安全整合與自動化

安全整合與自動化是在使用 Alibaba Cloud 的環境中應進行的重要活動。這些流程之所以重要，是因為它們可以改善公司的整體安全態勢。這可透過專用工具來實現，並藉由自動化警示與動作來提升事件回應速度。

• 使用 Alibaba Cloud 自動化安全任務

在 Alibaba Cloud 上自動化安全任務可大幅提升營運效率，並減輕安全團隊的負擔。Alibaba 的 ActionTrail 用於建立記錄使用者活動與 API 呼叫的軌跡。有時，整個流程可能會變得有些困難且耗時。因此，建議建立並自動化傳送警示的事件，例如使用者或 API 先前不存在，或懷疑其他動作有不當行為時。

• 與第三方安全工具整合

為了建立更有效的安全框架，組織可考慮將 Alibaba Cloud 與第三方安全工具整合。通常，為了強化其安全措施，公司會使用各種工具，包括安全資訊與事件管理系統、入侵偵測系統，以及弱點管理工具。Alibaba Cloud 解決方案與第三方安全工具之間的連線可透過 API 與 webhook 實現，提供即時資料共享。

• 整合與自動化安全流程的優勢

整合與自動化安全流程的主要優點包括提升措施效率、更有效的威脅偵測，以及更低的營運成本。其主要優勢在於，透過使用自動化工作流程，安全團隊只需以策略性的方式與這些措施互動。

結論

Alibaba Cloud 透過其多項功能協助提升業務營運效率，例如身分與存取管理、加密技術、Anti-DDoS 防護等。所有這些功能，再加上 Alibaba 在維持合規方面所做的努力，都有助於組織為其資產建立強大的防禦。它也可透過允許企業基礎架構的安全流程進行整合與自動化，降低人為錯誤的風險。

如果企業將日常任務自動化，就能將剩餘時間與節省下來的資源用於其他工作。這些工作可包括威脅分析、事件回應等。為了讓組織充分利用 Alibaba 的安全功能，公司應實施最佳實務，例如定期安全評估與實施最小權限原則。

Alibaba 提供其服務與第三方工具的順暢整合，這有助於組織更全面地掌握其安全狀況。工具與服務的整合有助於即時資料共享，從而更快識別並解決潛在威脅。這種整合帶來的不僅僅是安全性。它也有助於組織維持合規，並確保組織已準備好應對任何可能出現的威脅。

為了進一步提升 Alibaba Cloud 安全性，組織應導入 SentinelOne’s 先進安全解決方案。此平台提供威脅偵測、自動化回應能力，以及與 Alibaba Cloud 服務的無縫整合。