您是否犯了這 8 個雲端安全錯誤之一？

儘管大規模採用已提升了對雲端安全的認知與需求，許多企業在其歷程中仍持續犯下常見的雲端相關錯誤。對雲端日益增加的依賴，已在兩個層面為企業帶來挑戰。

在外部方面，威脅行為者 持續更加聚焦，發展出以組織雲端足跡為目標的攻擊。從內部角度來看，安全領導者面臨加速其業務目標（例如成長與創新）的挑戰，同時還必須保護日常營運以及支撐這些營運的基礎架構。

為了更妥善管理其雲端風險態勢，企業可藉由檢視常見陷阱來優化其雲端安全歷程。在本文中，了解應避免的八大雲端安全錯誤，以及如何部署適當的防禦措施，以將雲端型攻擊的風險降至最低。

錯誤 #1 | 雲端資源設定錯誤

近年來，雲端基礎架構的龐大規模與複雜性，使其成為尋求利用弱點的網路犯罪分子的誘人目標。這種複雜性正是企業在採用雲端時容易犯下第一個常見錯誤的原因。由於雲端服務的互連特性增加了潛在攻擊面，威脅行為者知道，只要成功入侵其中一個元件，就可能影響所有其他互連系統。

在應對雲端採用中所有不斷變動的元素時，即使只有一個設定錯誤或少數不足的安全設定，都可能使敏感資料與服務暴露於公用網際網路。當這種情況發生時，企業會在無意間為攻擊者提供進入點。

最常見的錯誤之一，是讓雲端資源（例如儲存貯體或資料庫）在沒有安全控制的情況下可公開存取。當雲端資源初始設定時，若未正確配置預設安全設定，就可能發生這種情況。此外，設定錯誤的安全群組與網路存取控制清單（ACL）也可能導致對雲端資源的未經授權存取。舉例來說，允許來自所有 IP 位址流量的安全群組，可能會使資源暴露於外部威脅之下。

遵循保護雲端資源的最佳實務並進行適當設定，對於降低這些風險至關重要。以下是一些值得考慮的最佳實務：

• 定期執行安全設定檢查，以確保合規符合產業標準、識別任何設定錯誤的安全群組、ACL 或使用者帳戶，並採取必要行動加以修正。
• 實作身分與存取管理（IAM），根據使用者的工作職責提供對雲端資源的存取權限，從而將存取限制在其工作職能所必需的範圍內。
• 使用自動化設定工具，以確保雲端資源的設定一致且正確，在節省時間與資源的同時降低錯誤發生的可能性。
• 監控雲端資源是否有異常活動或未經授權的存取，以便快速識別並解決潛在的安全威脅。

錯誤 #2 | 暴露的存取金鑰、憑證等

另一個常見的雲端安全陷阱與機密資訊外洩有關，例如將存取金鑰硬式編碼到程式碼中。雲端安全中最常見的錯誤之一，就是以純文字儲存機密資訊或將其硬式編碼到程式碼中，這可能導致對雲端資源的未經授權存取。

例如，如果開發人員以純文字儲存存取金鑰或其他敏感資訊，這些資訊就可能輕易地被取得程式碼儲存庫存取權的攻擊者存取，或在程式碼部署到可公開存取的伺服器時遭到存取。同樣地，如果存取金鑰被硬式編碼到程式碼中，也可能透過原始碼外洩或公開儲存庫而輕易暴露。

以下最佳實務可協助安全團隊有效管理機密資訊：

• 使用安全的機密資訊管理系統 – 採用安全的機密資訊管理系統來儲存所有敏感資訊。此系統應具備適當的存取控制，且機密資訊應經過加密與保護。
• 避免以純文字儲存機密資訊 – 避免以純文字保存機密資訊或將其硬式編碼到程式碼中。請改用環境變數或設定檔來儲存機密資訊。
• 限制對機密資訊的存取 – 將存取權限限制於確有需要的人員。遵循 IAM 最佳實務，根據工作職責授予對機密資訊的存取權限。
• 定期輪替機密資訊 – 定期輪替機密資訊，例如存取金鑰，以防止未經授權的存取。這有助於限制外洩事件的影響，並降低未經授權存取的風險。
• 監控秘密使用情況 – 監控秘密使用情況，以偵測並防止未經授權的存取。透過為關鍵秘密建立活動基準，團隊可以更清楚了解正常活動與異常活動之間的差異。這有助於識別潛在的安全威脅，並採取適當行動加以緩解。

錯誤 #3 | 未使用多重要素驗證 (MFA)

多重要素驗證 (MFA) 是一項應予以考慮的必要安全措施，尤其是在保護雲端資源時。若未部署 MFA，攻擊者只需入侵使用者密碼，即可未經授權存取雲端資源。這可能透過各種方式發生，例如 網路釣魚 攻擊、惡意軟體，或其他方法。

啟用 MFA 可透過要求額外一層驗證，大幅強化雲端環境的安全態勢，降低帳戶遭入侵、未經授權存取，以及資料外洩的風險。它增加了一道額外屏障，使攻擊者更難控制使用者帳戶並存取敏感資源。

遵循使用 MFA 的最佳實務，對於防範未經授權的存取至關重要。

• 為所有使用者帳戶啟用 MFA – 為所有使用者帳戶啟用 MFA 至關重要，包括管理員和特權使用者。這有助於防止未經授權存取雲端資源，並確保所有使用者都受到相同等級的安全措施保護。
• 使用可信賴的 MFA 解決方案 – 與組織雲端基礎架構相容的可信賴 MFA 解決方案，有助於確保 MFA 已正確整合與設定。這將使 MFA 使用情況更易於管理與監控，並提升組織雲端資源的整體安全性。
• 教育使用者了解 MFA – 教育使用者了解使用 MFA 的重要性以及如何有效使用它至關重要。這有助於確保所有使用者都了解 MFA 的好處，並正確使用它。同樣也必須定期提供訓練與支援，以確保使用者了解 MFA 政策的任何更新或變更。
• 監控 MFA 使用情況 – 監控 MFA 使用情況有助於偵測並防止任何未經授權的存取嘗試。這將使安全與 IT 管理團隊能夠識別潛在威脅，並採取適當行動加以緩解。
• 定期檢視並更新 MFA 政策 – 定期檢視並更新 MFA 政策至關重要，以確保其符合業界最佳實務，並更新以因應新威脅。這將有助於維持 MFA 的有效性，並確保其持續為雲端資源提供必要的安全等級。

錯誤 #4 | 缺乏適當的存取控制

有效管理雲端資源需要明確且定義完善的存取控制政策。當組織未能建立此類政策時，可能使雲端資源暴露於未經授權的存取風險中，進而可能導致資料外洩、敏感資訊遭入侵，以及其他長期性的損害。

• 識別並分類資源 – 首先識別並分類環境中的雲端資源。這包括資料、應用程式、虛擬機器、儲存貯體、資料庫，以及任何其他相關資產。
• 定義存取控制目標 – 接著，根據組織的安全需求與法規遵循需求，確定具體的存取控制目標。這可能包括最小權限、職責分離，以及依需知悉的存取等原則。
• 執行使用者存取稽核 – 對雲端環境中現有的使用者帳戶、角色與權限執行全面稽核。此評估將有助於識別任何不一致、不必要的權限或潛在的安全缺口。

對於在雲端營運的企業而言，實作 IAM 可讓正確的使用者和服務主體，根據使用者的工作職責或服務主體在環境中的角色來存取雲端資源。在此情況下，控制是細粒度的，僅授予身分執行其角色所需資源的存取權。此外，還應套用最小權限原則 (PoLP)，將存取限制在使用者執行其工作所需的最低層級。

在實作定期存取控制後，應進行排程檢視，以確保符合目前的最佳實務。這包括蒐集存取記錄，且必須定期監控，並迅速識別與緩解任何未經授權的存取嘗試。

全面的存取控制政策是保護雲端資源免於未經授權存取的關鍵組成部分。制定這些政策可確保只有需要存取的人員才能取得存取權，並且維護敏感資料的機密性、完整性與可用性。

錯誤 #5 | 未備份資料

未制定備份策略是常見的雲端安全錯誤，這會使企業在發生網路攻擊或系統故障時容易遭受資料遺失。在資料遺失且沒有可用備份的情況下，企業將面臨延長的停機時間，並在努力復原或重建遺失資料時手忙腳亂。這種停機可能會中斷業務營運、影響員工生產力，並導致錯過截止期限或客戶服務中斷。

有了備份策略，企業便更有可能依靠高品質的備份資料來實現服務持續性。以下是一些透過適當資料備份來協助保護雲端資源的最佳實務：

• 識別關鍵資料 – 識別需要備份的重要資料，例如客戶資料、財務記錄、系統組態和智慧財產。這有助於確保最關鍵的資料在需要時始終可用。
• 使用可靠的備份解決方案 – 使用與組織雲端基礎架構相容的可靠備份解決方案。這有助於確保備份已適當整合並完成設定。
• 定期測試備份 – 定期測試備份，以確保其正常運作，並且在需要時能夠復原資料。這有助於管理員識別任何備份問題，並採取適當措施加以緩解。
• 加密備份 – 加密備份可在儲存或傳輸時保護敏感資料。這有助於防止未經授權存取公司資料，並確保資料始終安全。

錯誤 #6 | 忽略修補與更新系統

過時的系統更容易遭受惡意軟體感染，且通常具有已知漏洞，可能遭攻擊者利用。網路犯罪分子會主動掃描過時軟體，並利用這些漏洞取得未經授權的存取權、發動惡意軟體攻擊或竊取敏感資料。

在許多產業中，為了保護敏感資料，對於系統維護與修補都有法規要求。忽略修補與更新系統可能導致法律與財務後果。客戶若看到這些結果，可能會對組織保護其資料的能力失去信心，進而造成業務流失並對品牌聲譽帶來負面影響。

若沒有正確的策略，修補程式管理 可能會成為一項繁重且困難的工作。NIST 報告指出，2022 年有超過 24,000 個常見漏洞與曝險（CVE）被新增至 National Vulnerability Database (NVD)，打破前一年 20,000 個的紀錄。

由於預期 2023 年的 CVE 數量將持續增加，組織可遵循以下最佳實務來建立可執行的修補程式管理流程：

• 對修補程式管理採取以風險為基礎的方法 – 為每個新出現的 CVE 都進行修補並不可行。透過採取經過審慎評估的修補程式管理方法，組織可以套用對其安全態勢最關鍵的更新。修補程式管理對於降低業務風險至關重要，並應與組織的整體風險管理策略保持一致。一旦 C-suite 高階主管與安全領導者評估並識別出其身分與業務特有的關鍵風險，安全團隊便能更有效地排定修補程式的優先順序。領導者的一些關鍵考量包括：
  • 受影響系統的關鍵程度
  • CVE 的可利用性
  • 遭利用後的潛在影響
  • 除了修補之外還有哪些替代方案
• 建立基準清冊 – 安全團隊需要維護所有軟體的最新清冊，以了解環境的現況。這包括確認所有正在使用的作業系統與應用程式版本，以及任何第三方應用程式。了解基準有助於團隊關注對營運最關鍵的 CVE。
• 依優先順序與風險對資產進行分類與分組 – 並非所有修補程式都會以相同方式影響特定環境，因此建立分類方式將有助於團隊簡化修補流程。修補程式可分為以下類別：
  • 關鍵等級修補程式 – 這些需要立即關注，並應立即部署。
  • 需核准的修補程式 – 這些需要取得必要利害關係人的核准，以避免干擾日常營運。
  • 低風險等級修補程式 – 這些可依需求部署。

錯誤 #7 | 缺乏對異常活動的持續監控

網路犯罪分子擅長規避偵測措施，使得識別與阻止攻擊變得具有挑戰性。雲端安全中缺乏持續監控會為組織帶來重大風險。若沒有持續監控，潛在的安全事件與漏洞可能在長時間內未被察覺，讓攻擊者得以在不被發現的情況下利用弱點。

24/7/365 監控能力可提供雲端環境的即時可視性，確保安全團隊能快速偵測可疑活動、未經授權的存取嘗試或系統異常。這可實現立即回應與修復，將安全事件的影響降至最低。

組織可透過實施以下最佳實務，改善其對潛伏網路威脅的防禦態勢：

• 實施 extended detection and response (XDR) – 部署 XDR 解決方案，以即時偵測並回應潛在網路威脅，使企業能夠識別異常活動並立即採取行動。
• 監控日誌與事件 – 仔細檢視日誌與事件，以識別任何可能表示潛在安全威脅的不規則活動或異常情況，並據此採取行動。
• 設定警示 – 建立自動化警示，及時通知安全團隊任何異常活動或可疑事件，以便快速且有效地回應。
• 運用人工智慧 (AI) 與機器學習 (ML) – 利用人工智慧與機器學習等先進技術分析資料，並偵測傳統監控工具可能忽略的異常模式或行為。
• 建立成熟的威脅偵測計畫 – 組織需要主動識別並降低潛在風險。建立威脅偵測計畫對於保護敏感資料、維持客戶信任及確保業務持續營運至關重要。此類計畫將包含監控網路流量、分析系統日誌，以及運用進階演算法在發生網路攻擊時立即採取行動的能力。

錯誤 #8 | 未加密敏感業務資料

將目光投向雲端的威脅行為者特別喜歡鎖定傳輸中的資料。若這些資料是 未加密的，可能會為企業帶來嚴重後果。未加密資料極易遭受未經授權的存取。若攻擊者取得未加密資料的存取權限，他們可以輕易讀取、複製或修改資料，而不留下任何痕跡。這可能導致資料外洩，暴露客戶資料、財務紀錄、智慧財產或商業機密等敏感資訊。

未加密資料在傳輸或儲存期間容易遭到未經授權的修改。這會損害資料的完整性與可靠性，使人難以信任其準確性與真實性。 組織需要確保其資料的完整性，以維持客戶、業務夥伴與利害關係人的信任。

對於遵循 General Data Protection Regulation (GDPR)、Payment Card Industry (PCI) 或 Health Insurance Portability and Accountability Act (HIPAA) 架構的企業而言，在雲端儲存與處理未加密資料，可能使組織面臨不符合法規要求與潛在法律後果的風險，包括罰款、處罰及法律訴訟。

以下最佳實務可協助安全團隊保護敏感資料；確保在雲端環境中持續維持機密性、完整性與合規性：

• 傳輸中加密 – 傳輸層安全性 (TLS)/安全通訊端層 (SSL) 通訊協定用於為透過網路傳輸的資料提供加密，但可能存在實作缺口與弱點，尤其是在較舊版本的 SSL 中。組織應專注於透過內部網路端點加密傳輸中的資料。
• 伺服器端加密 (SSE) – 許多雲端服務供應商提供伺服器端加密選項。使用 SSE 時，雲端供應商會處理加密與解密流程。企業可依其使用的特定雲端平台，選擇 SSE-S3、SSE-KMS 或 SSE-C 等選項。
• 用戶端加密 – 在用戶端加密中，資料會先由用戶端加密後再上傳至雲端。加密後的資料儲存在雲端中，且只有用戶端持有解密所需的加密金鑰。此方法可提供額外一層控制與安全性。
• 資料庫層級加密 – 企業可在資料庫層級實施加密，以保護儲存在雲端資料庫中的敏感資料。這包括對包含敏感資訊的特定欄位或資料表中的值進行加密或權杖化，例如 個人可識別資訊 (PII) 或財務資料。
• 應用程式層級加密 – 加密可直接整合至應用程式邏輯本身。這表示應用程式會在資料儲存至雲端或自雲端擷取之前，處理資料的加密與解密。應用程式層級加密可根據特定業務需求，提供更細緻的控制與自訂能力。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

結論

無論是機會型攻擊還是針對性攻擊，隨著越來越多企業將採用 雲端 視為其數位轉型歷程中的重要里程碑，雲端仍然是極具吸引力的目標。專注於雲端的威脅行為者持續指望組織犯錯，並利用雲端本質上複雜且難以管理的特性。

為了領先網路攻擊者，安全領導者可以避開常見的雲端錯誤，並確保其組織已針對每個脆弱領域制定正確策略。SentinelOne 透過 結合 AI 驅動的執行階段安全性、精簡化分析與主動式威脅狩獵.

立即聯絡我們 或 預約示範 了解 Singularity Cloud Workload Security 如何打造更好的雲端安全成果，讓您的組織能專注於加速創新。