什麼是 Azure 雲端工作負載保護平台 (CWPP)？

企業在轉向雲端後，其營運效率有所提升，這也促使中小企業採用雲端解決方案。隨著使用雲端的企業數量增加，保護雲端中資產安全的需求也隨之而來。雲端工作負載保護平台 (CWPP) 提供安全功能，可協助保護各種環境中的工作負載。此雲端環境包含 VM、容器與無伺服器函數。

雲端經常成為進階網路威脅的溫床，這進一步推動了採用 CWPP 的需求，以維持組織安全性與合規要求的品質。Microsoft Azure CWPP 具有多樣化特性，這也成為其被採用的主要原因之一。目前，Azure 的市場占有率為 24%，且每年持續成長。

這篇部落格文章將協助您了解 Azure CWPP 的架構，以及它為組織提供的功能與優勢。我們也將討論 Azure CWPP 在網路與資料保護中的角色。為了充分發揮 Azure CWPP 的效益，我們也會討論應遵循的最佳實務。

Azure CWPP 的常見疑慮有哪些？

在我們更深入了解 Azure CWPP 之前，先說明組織在其環境中實作時可能面臨的問題是很重要的。

1. 複雜性： Azure CWPP 本質上相當複雜，對於從未使用過 Azure 或 雲端安全 的組織而言，實作起來會較為困難。CWPP 涉及多個元件，對於剛開始雲端旅程的組織來說，一開始可能相當難以理解。
2. 組態管理： 安全性漏洞事件非常常見，而且您可能經常聽到相關消息。迄今為止，安全性漏洞事件的主要原因之一是安全系統設定錯誤。為了防止此問題，應為負責管理雲端的管理員提供教育訓練。
3. 成本考量： 雲端工作負載保護平台提供許多安全功能，但組織也應將工具成本納入考量。對組織而言，找到符合自身需求的適當方案非常重要，既能滿足安全需求，也能控制在預算範圍內。
4. 資料隱私與合規： CWPP 會使用資料進行處理。它會收集並監控工作負載資料。資料是任何組織中最關鍵且最敏感的部分。因此，在使用 CWPP 解決方案之前，應確保資料可在不違反任何資料保護法規的情況下進行傳輸與分析。
5. 整合挑戰： 組織在其基礎架構中使用不同的安全工具，這使得 CWPP 解決方案與既有工具整合變得困難且成本高昂。
6. 跟上雲端演進步調： 實作雲端原生安全工具所需的技能與基礎架構，要求組織端進行大量準備。

Azure CWPP 的核心架構

Azure CWPP 依據其架構與功能為組織提供完整的安全防護。讓我們來討論其進階架構中的一些關鍵元件。

關鍵元件概覽

Azure CWPP 具有多個元件，可協助保護雲端工作負載。Azure Sentinel 為組織提供 SIEM 與 SOAR 系統，並藉由機器學習提供安全分析。

保護網路非常重要，因為若未正確設定，便可能透過網際網路遭到存取。在此情境下，Azure Firewall 就能發揮作用，協助保護 Azure Virtual Network 資源。Azure DDoS Protection Service 可保護服務免受大量攻擊與通訊協定攻擊。至於這些服務的存取管理，則可使用 Azure Key Vault 來儲存加密金鑰、祕密與憑證。

整合點與資料流

Azure CWPP 可與多項 Azure 服務及第三方安全解決方案順暢整合。組織在採用 Azure CWPP 之前，可能已將安全工具整合至其基礎架構中。因此，為了讓營運順利進行，Azure CWPP 提供與 Azure 服務及第三方安全解決方案的無縫整合。所有與安全相關的資訊都會從 Azure 資源、內部部署系統及其他雲端平台收集而來。

接著，這些收集到的資訊會經過處理與標準化，使 Azure Security Center 與 Azure Sentinel 能夠使用。一旦偵測到威脅，便會透過 Microsoft 的全球威脅情報網路進行處理。Azure CWPP 提供 Restful API，可與其他安全工具及自動化系統整合。所有與安全相關的資訊都會儲存在 Log Analytics 中，以確保妥善儲存並可輕鬆擷取。

統一管理與監控

Azure CWPP 透過提供集中式主控台，協助進行資源管理與監控。Microsoft Defender for Cloud 的儀表板可呈現已在所有環境中實施的安全態勢。

在 Azure Policy 整合的協助下，原則管理也能集中化，並同時支援合規管理。警示管理系統提供集中式工具，可協助對安全警示進行優先排序與調查，以制定更完善的事件回應計畫。

可擴充性與效能考量

Azure CWPP 憑藉其擴充能力，為安全團隊帶來極大優勢。其設計方式可隨著業務成長而擴展。Azure CWPP 的架構本質上具備彈性，可隨業務資料與工作負載自動擴充。

此平台不受地點限制，可部署於全球任何地方，這有助於在考量當地資料法規的同時，確保能快速存取資料。它採用分層儲存，讓組織可依據預算與需求彈性選擇。也可實作負載平衡，以確保工作負載平均分配至不同伺服器或節點，進而提升資源效能。

具備 SIEM 與 SOAR 功能的 Azure Sentinel

Azure Sentinel 是 CWPP 中的一項工具，提供兩項主要功能，其中一項是 安全資訊與事件管理 (Siem)，另一項則是安全協調、自動化與回應 (SOAR)。  此工具可協助進行安全分析，並支援安全團隊的事件回應與規劃。

1. 資料擷取與標準化策略

Sentinel 使用的兩項技術是資料擷取以及資料標準化。這一點很重要，因為雲端會使用多個資料來源進行處理。此工具包含資料連接器，可協助從不同服務順暢收集資料，例如 Azure 服務、Microsoft 365、第三方安全解決方案或自訂應用程式。

2. 使用 Kusto Query Language (KQL) 進行威脅狩獵

威脅狩獵 是以 Kusto Query Language 為基礎，可協助組織分析記錄資料。此分析流程能夠揭露可能導致安全性漏洞事件的各類弱點。

3. 事件管理與調查

此平台的狩獵能力透過與 Microsoft 威脅情報平台的整合而得到補強。此流程由規則關聯所驅動，會比對遙測資料並產生事件。

接著，每起事件都包含有關攻擊時間軸與受影響資源的資訊。調查圖表會顯示涉及特定事件之實體間的關係。透過使用該圖表，安全團隊可以查看威脅行為者如何取得受影響資源的存取權。

4. 使用 Playbooks 的自動化回應協調

在 Azure Sentinel 中，事件回應期間的動作由 playbooks 決定，而這些 playbooks 是基於 Azure Logic Apps 所開發。Playbooks 可以由分析師手動啟動，或由某些特定條件觸發。它們可包含簡單動作，例如傳送電子郵件或建立工單，也可包含複雜的動作鏈，進而可能導致停用受影響使用者的帳戶，或將系統完整還原至先前已知的良好狀態。

Azure CWPP 中的網路與資料保護

Azure CWPP 為通訊基礎架構與傳輸中的資料提供高等級保護。這些能力以整合方式運作，對各式各樣的威脅形成顯著且難以突破的障礙。

網路安全

網路安全 在 Azure CWPP 中使用多種先進技術來保護雲端工作負載：

1. 動態對應與視覺化： 即時網路視覺化技術也會隨 Azure CWPP 一併部署。它可提供高度詳細且直觀的雲端網路拓撲總覽，顯示所有資源。視覺化地圖會持續更新，並顯示目前雲端環境中資源複本的即時位置。
2. Just-In-Time VM Access 實作： Azure CWPP 實作 JIT VM Access，可鎖定流向 VM 的輸入流量，藉此縮小攻擊面並將遭受攻擊的可能性降至最低。
3. 自適應網路強化技術： 自適應網路強化會使用機器學習來分析流量模式。根據分析報告，Azure CWPP 可為 Network Security Group (NSG) 建議規則。 其運作方式是監控進出服務或資源的流量，以協助形成使用模式。這進而有助於實作最小權限存取模型，以縮小攻擊面。
4. DDoS 保護機制： Azure CWPP 透過提供 Azure DDoS protection service，協助企業避免遭受 Distributed Denial of Service (DDoS) attacks。該服務利用 Microsoft 全球網路的規模與彈性來防禦 DDoS 攻擊。

資料保護

Azure CWPP 中的資料保護會實作一系列策略，以保護靜態資料與傳輸中的資料：

1. SQL 注入偵測與防護： Azure CWPP 所包含的另一項安全服務是 Advanced Threat Protection，其中包含可偵測並防止 Web 攻擊的功能，例如 SQL injection attacks。這是透過即時監控資料庫活動、使用機器學習偵測異常，以及採用自動化威脅回應來達成。
2. 儲存體安全最佳實務： Azure CWPP 提供指引與工具，以實作儲存體安全與安全存取管理。與儲存體最佳實務相關的常見建議包括定期安全評估、安全傳輸選項、在實作安全存取管理後採用進階加密，以及網路隔離。
3. 傳輸中與靜態資料的加密策略： Azure CWPP 平台支援多種加密選項。對於傳輸至雲端型儲存體（例如 Azure Storage、Azure SQL Database 與 Azure Virtual Machines）的資料，Azure CWPP 會直接對儲存資料進行加密。而資料傳輸則應使用最新版本的 TLS (Transport Layer Security) 進行加密。
4. 使用 Azure Key Vault 的安全金鑰管理： 安全金鑰管理是 Azure CWPP 運作的關鍵需求，並由 Azure Key Vault 維護。Azure Key Vault 是一項用於儲存加密金鑰與其他機密資訊（包括密碼與憑證）的安全服務。Key Vault 透過使用存取記錄與金鑰自動輪替，提供精簡化的金鑰管理流程。

Azure CWPP 中的容器與 Kubernetes 保護

隨著容器化與 Kubernetes 日益普及，Azure CWPP 提供強大的安全服務，以確保容器化工作負載以及 Kubernetes 環境持續受到保護。

• Azure Container Registry 中的映像掃描

Azure Container Registry (ACR) 與 Azure CWPP 整合，讓使用者能夠利用映像掃描服務。具體而言，當映像推送至存放庫時，系統會自動套用映像弱點掃描功能。此工具會搜尋相關作業系統套件與應用程式相依性的已知弱點。

此工具使用多個弱點資料庫，以確保涵蓋範圍完整。使用這些資料庫可讓平台在偵測到弱點時產生詳細報告。報告包含特定弱點的嚴重性、受影響元件，以及建議的問題處理步驟等資訊。這種映像檔安全性方法可讓組織在部署容器之前偵測潛在問題並加以解決。因此，在正式環境中執行遭入侵應用程式的風險可大幅降低。

• 容器化應用程式的執行階段保護

Azure CWPP 對容器化應用程式的執行階段保護，將其安全功能延伸至執行中的容器，並提供即時威脅防護。它提供下列措施以確保執行階段保護：

1. 行為監控： 該平台會持續監控執行中容器的行為，並標記任何可能表示安全性遭破壞或惡意活動的異常或偏離正常行為情況。
2. 網路分段： 該系統可協助組織強制執行網路原則，以防止容器之間在不可行或不希望的情況下進行通訊，從而縮小攻擊面。
3. 權限管理： 使用該平台可讓組織管理執行中容器的權限，並確保遵循最小權限原則。
4. 即時威脅回應： 偵測到威脅時，平台可立即採取回應措施，例如隔離受影響的容器或通知組織的安全團隊。

Kubernetes 專屬安全性增強功能

Azure CWPP 也具備多項可增強 Kubernetes 環境安全性的功能：

1. Kubernetes 威脅偵測： 該系統內建針對 Kubernetes 環境特有威脅的偵測功能，例如可疑的 API 呼叫，或在敏感命名空間中建立 pod。
2. Kubernetes 安全態勢管理：平台會定期掃描組織的 Kubernetes 組態，以根據最佳實務和合規標準評估其安全態勢，並提供改善建議。
3. 准入控制： 使用准入控制器可讓系統在 Kubernetes 組態層級強制執行安全政策，並防止部署不合規的資源。
4. Kubernetes 感知型網路政策： 系統可協助組織建立並強制執行專屬於 Kubernetes 的網路政策，例如同時控制 pod 對 pod 以及 pod 對外部的通訊。

Azure 中容器安全的最佳實務

在本節中，我們將討論 Azure CWPP 的幾項容器安全最佳實務：

1. 使用最小化基礎映像： 建議組織使用最小化且官方的基礎映像，以降低潛在攻擊面。
2. 實施最小權限原則： 組織應以容器執行其功能所需的最低權限來執行容器。
3. 定期更新與修補： 組織應確保其容器映像及執行這些映像的系統定期更新至最新修補程式。
4. 網路分段： 建議遵循最小權限原則，並確保足夠的網路分段，以限制潛在攻擊的影響範圍。
5. 持續監控： 應持續監控並記錄容器活動。
6. 機密管理： 應使用 Azure Key Vault 來管理執行容器化應用程式所需的機密。

Azure CWPP 的最佳實務

以下是公司為了充分發揮 Azure CWPP 效益而應實施的常見最佳實務：

#1. 初始設定與組態指南

Azure CWPP 的初始設定與組態對其成功實作非常重要。組織應在所有訂用帳戶和資源上啟用 Azure Defender。Azure CWPP 提供各種工具，用於從所有必要的 Azure 服務以及與環境整合的第三方安全工具收集安全資訊，這些工具稱為 Azure Security Center 的資料連接器。

#2. 有效的警示管理與分類處理

安全團隊應設定警示機制，以便更妥善地管理威脅。為了實作這一點，應制定適當的計畫，根據威脅的嚴重程度及其可能造成的損害程度為威脅加上標籤。接下來，應識別因果關係，以便在警示的協助下將任何可疑活動建立關聯。

#3. 持續監控與安全態勢改善

需要由安全團隊進行持續監控，以找出任何潛在弱點。公司應檢查 Azure Security Center 中的安全分數，這將為您提供建議，並可在處理威脅時使用。

#4. 事件回應規劃與執行

一份事件回應計畫可協助安全團隊為任何安全事件或資料外洩做好準備。事件回應計畫應說明在發生安全事件時，不同利害關係人的角色與責任。

#5. 效能最佳化技術

需要對 Azure CWPP 的實作進行效能最佳化，以避免耗盡組織資源。定期的效能檢視與 CWPP 設定微調，有助於在確保全面安全涵蓋的同時維持最佳效率。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

結論

Azure CWPP 是雲端安全的重要組成部分。Azure CWPP 由多種安全工具組成，可協助保護組織的資產。其中一些工具，例如 Azure Security Center、Azure Sentinel 和 Azure Defender，除了容器安全之外，也有助於網路與資料保護。

Azure CWPP 是 Azure 提供的解決方案，透過其雲端專屬解決方案協助處理現代漏洞問題。它可在 Azure 環境與混合環境中提供完整的可視性。CWPP 可隨時為組織提供進階威脅防護與合規管理。