Azure 安全性架構：元件與最佳實務

您已將工作負載和資料託管於 Azure，享受雲端的全球覆蓋範圍及其無邊界特性。但此環境需要一種全新的安全性方法，與傳統邊界環境中部署的方法不同。

為協助您做到這一點，Azure 安全性架構提供廣泛的安全性功能，涵蓋資料保護、合規管理、身分與存取管理 (IAM) 等核心領域。然而，若未能理解 Azure 安全性架構，將使您在 Azure 的安全性產品中進行選擇時面臨極大困擾。

本指南重點說明 2025 年 Azure 安全性架構中值得關注的關鍵元件，以及這些元件如何協同運作，以建構具備韌性且架構完善的 Azure 雲端環境。本文也深入探討 Azure 安全性架構的一些挑戰與最佳實務。

什麼是 Azure 雲端安全性架構？

Azure 安全性架構是指各種工具、服務、安全性原則與最佳實務的組合，旨在協助 Azure 使用者在 Azure 中建構安全且架構完善的工作負載。從根本上來說，它包含身分與存取管理 (IAM)，用於控制誰可以存取哪些資源，作為敏感資源的守門人。加密則可保護靜態與傳輸中的資料，確保即使資料遭到攔截，仍無法被存取。

網路安全工具，例如 Azure Firewall 和 Network Security Groups，會建立虛擬屏障，仔細監控並限制任何未經授權的存取。接著是 Azure Security Center，其功能如同持續警戒的守望者，可偵測弱點並即時發現威脅。同時，合規管理工具可確保每一項作業都符合監管標準，而自動化監控與記錄則提供持續性的洞察，進一步強化 Azure 的安全生態系。這些元件共同構成策略性防禦，一種可確保每一筆資料都精確留在其應在位置的架構——受到保護。

Azure 安全性架構的必要性

雖然 Azure 提供多種安全性工具，但即使在最安全的環境中，弱點仍可能悄然出現。近期，Azure 中發現一項新的授權不當弱點 CVE-2024-38194，被評為重大，CVSS 分數為 8.2。若遭利用，攻擊者可能透過遭入侵的特權帳戶存取您的任務關鍵型 Azure 工作負載。

強大的雲端安全性架構就像自適應免疫系統——持續分析、調整與防禦。有了它，您便能偵測並回應隱藏威脅。此外，雲端組態向來高度動態；它們會隨時間改變，有時甚至無人察覺。嵌入於架構中的即時監控可確保這些變化不會被忽視，從而能立即調整以防止惡意活動。

此外，有效的架構可防禦內部人員活動、資料蔓延與權限提升等威脅。內部威脅無論是否出於蓄意，都可透過嚴格的存取控制與持續的行為監控來降低風險。資料蔓延——一種資料不可預測地分散、因而更難以保護的現象——可透過集中式監督與治理來管理。權限提升則可藉由審慎監控與控制存取層級來加以遏制，確保未經授權的人員不會擁有過多控制權。

因此，Azure 安全性架構本質上是一套預先安裝的分層控制框架，旨在保護您在 Azure 中的關鍵 IT 資產，並協助您遵循 GDPR、DORA、PCI DSS 等資料保護標準。透過採用這些控制措施，您可以確保資料完整性並保護您的技術堆疊免受 網路攻擊。

Azure Well-Architected Framework

Azure Well-Architected Framework 是 Microsoft 提供的一套原則，旨在協助組織建構安全、可靠且高效率的應用程式。此框架由五大關鍵營運支柱組成：

安全性

安全性支柱指導組織使用零信任與縱深防禦方法來設計架構完善的工作負載。 Defense in Depth，– 涉及部署多層安全防護，確保即使攻擊者突破其中一層，其他防禦機制仍然完好。另一方面，零信任假設使用者預設不受信任，因此每次存取嘗試或特權活動都需要持續驗證。

安全性支柱涵蓋 雲端安全性 的核心面向，例如資料與密碼保護、IAM、資料治理，以及網路與應用程式安全性。它也定義了安全的 Azure 架構應具備的條件：能抵禦攻擊並符合合規要求。

Azure 提供廣泛的工具來促進應用程式安全性，包括 Azure Key Vault、Azure Purview、Azure Security Center 和 Microsoft Sentinel 等。

可靠性

在 Azure Well-Architected Framework 中，可靠性是衡量您的 Azure 工作負載在面對潛在故障時具備多強韌性的指標。這種可靠性取決於您是否實作備份、災難復原、容錯等最佳實務。兩項最佳的原生 Azure 可靠性工具是 Availability Zones 和 Azure Site Recovery。

成本最佳化

成本最佳化的核心在於平衡成本節省與必要取捨，例如確保 Azure 工作負載的最佳效能、安全性與合規性。

例如，採用 Azure 安全性架構中的內建工具在短期內可能看似成本高昂。然而，隨著資料外洩成本達到歷史新高 USD 4.88 million，從長期來看，避免高額合規違規罰款與訴訟所帶來的投資報酬，使投資正確的安全性解決方案成為一種成本最佳化策略。

Azure Advisor 是 Azure 的成本管理解決方案，可協助企業有效分配資源、追蹤使用情況，並消除閒置資源。

效能效率

效能效率是指在 Azure 安全性架構中設計工作負載，以實現地理備援（當客戶分散於各地時）、無縫擴充性（以處理流量尖峰），以及極低甚至零延遲（以提供最佳使用者體驗）。若要提升效能效率，您需要 Azure 的自動調整與負載平衡功能。

此外，Azure Cache for Redis 和 Content Delivery Network (CDN) 服務還可透過縮短載入時間並提升全球各區域的資料存取速度，進一步提高效率。

卓越營運

卓越營運支柱鼓勵 Azure 客戶採用 DevOps、可觀測性、自動化，以及修補程式/升級管理等實務。這些實務可簡化工作流程、降低 DevSecOps 流程中的不一致性，並將人為錯誤降至最低。Azure DevOps 和 Log Analytics 等工具可透過自動化部署、監控系統健康狀態，以及提供工作負載效能的可行洞察，來支援卓越營運。

此外，Azure Automation 和 Update Management 可協助組織自動化例行工作並維持合規性，確保工作負載保持安全、最新，並能抵禦營運中斷。

採用 Azure Well-Architected Framework 的五大支柱，可讓您建構符合 Azure 安全性架構核心原則的安全工作負載。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

Azure 安全性架構的元件

Azure 安全性架構涵蓋廣泛的安全性元件，包括：

1. Azure 中的身分與存取管理 (IAM)

在 Azure 中，IAM 由 Microsoft Entra ID 提供支援，前身為 Azure Active Directory (AAD)。 Microsoft Entra ID 本質上就是您的守門人，可協助設定身分、驗證存取要求，並將攻擊者阻擋在您的 Azure 技術堆疊之外。Azure IAM 解決方案的主要功能包括：

• 單一登入 (SSO)： Azure 的 SSO 功能就像一把萬能鑰匙，讓您使用一組憑證即可存取 Azure 技術堆疊中的多項服務。這有助於維持良好的密碼衛生，並協助保護您的工作負載免受暴力破解與憑證填充攻擊。

• 多重要素驗證 (MFA)： 就像需要 PIN 碼、鑰匙和生物特徵辨識才能開啟的多重鎖保險箱一樣，Entra ID 的 MFA 功能增加了多層驗證，包括使用者名稱/密碼組合、安全金鑰、生物特徵辨識和 OTP。由於難以一次繞過所有層級，這可有效阻止持有遭竊憑證的攻擊者存取您的 Azure 基礎架構。

• 角色型存取控制 (RBAC): Enta ID 提供內建與自訂角色，以實現細緻的存取控制。透過 Entra ID，您可以控制誰可存取哪些資源、確保最小權限存取，並監控使用者活動。

• 條件式存取： 您可以使用 Entra ID 根據使用者身分、IP 位置、部門、裝置或即時風險偵測訊號等因素來授與或撤銷存取權限，並建立存取層級。

2. Azure 中的網路安全

網路安全是 Azure 安全架構中不可或缺的一部分。Azure 提供多種解決方案，旨在保護企業網路免於未經授權的存取。

將 Azure Firewall 和 Network Security Groups (NSGs) 視為您的守門員，根據預先定義的規則控制進出工作負載與虛擬網路 (VNet) 的流量。使用任一解決方案，您都可以保護 Azure 應用程式免受 SQL 注入與跨網站指令碼攻擊。

• Azure DDoS Protection 可保護您的 Azure 應用程式與服務免受 分散式阻斷服務 (DDoS) 攻擊。它基本上就是您的流量洪峰控制系統，旨在防止惡意流量暴增壓垮您的系統。

3. Azure 中的資料保護與加密

保護機密與敏感資料是 Azure 安全架構的核心功能。Azure 提供一系列工具：

Azure Key Vault 可儲存及管理加密金鑰、憑證和 API 權杖等機密，為開發人員提供比將機密硬式編碼更有效率且安全的替代方案。這可防止未經授權存取敏感資產，並降低資料外洩風險。

• Azure Disk Encryption (ADE) 使用 Windows BitLocker 和 Linux DM-Crypt 來加密 Windows 與 Linux 作業系統及資料磁碟。

4. Azure 中的應用程式安全

Azure 的主要 Web 應用程式安全解決方案 Azure Application Gateway 可自動化 geoIP 負載平衡與流量路由，並與 Azure Web Application Firewall (WAF) 搭配運作以保護 Web 應用程式。

此外，Azure App Service 包含內建安全功能，例如 SSL/TLS 加密、服務對服務驗證，以及自動修補，以保護傳輸中的應用程式與資料。

5. Azure 中的監控與威脅偵測

理想的 Azure 安全架構應實作持續監控，以即時偵測並回應威脅。四種相關的 Azure 原生工具如下：

• Microsoft Defender for Cloud，這是一個雲端原生應用程式保護平台 (CNAPP)，可掃描您的 Azure 部署是否存在弱點，並即時向您發出警示。
• Azure Security Center, 這是一種適用於 Azure 工作負載的雲端安全態勢管理解決方案，可針對弱點提供可執行的修復步驟。

• Microsoft Sentinel，先前稱為 Azure Sentinel，是一種安全資訊與事件管理 (SIEM) 工具。Microsoft Sentinel 可比擬為自動化 SOC 分析師，會收集並分析日誌，即時提供對使用情況與存取模式的洞察，指出可能或正在發生的入侵跡象。

• Azure Monitor，這是一個診斷儀表板，可彙總、分析並針對安全與效能問題發出警示。

6. Azure 中的治理與合規

資料治理與標準合規是 Azure 安全架構的基礎；它們可確保政策一致性與資料隱私。兩種用於資料治理與合規的 Azure 原生工具如下：

• Microsoft Purview（前身為 Azure Purview），就像是 Azure 工作負載的 GPS。它可找出敏感資料所在位置、繪製資料譜系，並評估資料是否存在不合規問題，例如缺乏加密或存取控制薄弱。

• Azure Policy, 可針對存取控制、資源佈建等項目強制執行原則。Azure Policy 會持續找出合規失敗情況，並可自動加以修正。

7. 使用 Azure 保護 DevOps

Azure 安全架構的一個重要組成部分，是透過實務將安全性整合至軟體開發生命週期 (SDLC) 的每個階段。這包括在 DevOps 與持續整合/持續部署 (CI/CD) 管線中使用靜態應用程式安全測試 (SAST) 與弱點管理工具。

在 Azure 中，這需要使用一系列解決方案——包括 Entra ID 以同步目錄、Azure DevOps 以交付安全程式碼，以及其他多種方案。

Azure 安全性的各個元件在整體防禦中扮演關鍵角色。了解 Singularity Cloud Workload Security 如何保護 Azure 環境中的雲端工作負載。

實作 Azure 安全架構的挑戰

雖然 Azure 提供無數的安全工具，組織在實作 Azure 安全架構時，仍面臨以下挑戰。

1. 雲端錯誤設定

雲端錯誤設定占超過 20% 的網路攻擊，通常是由於 Azure 等雲端環境的複雜性與動態特性所致。每一項錯誤設定，無論多麼微小，都可能為未經授權的存取或資料外洩打開大門。為了因應這點，進階雲端安全態勢管理 (CSPM)工具可作為警覺的檢查者，識別潛在弱點、強制執行政策，並持續監控可能在 Azure 龐大架構中遭忽略的錯誤設定。

2. 工具複雜性

駕馭 Azure 廣泛的安全工具套件，感覺就像在拼組一個龐大且複雜的拼圖。由於每個工具都具有獨特功能，若沒有集中式方法來追蹤它們，可能導致可視性破碎且安全防禦零散。這種缺乏一致性的情況，讓攻擊者得以找到隱藏的弱點。解決方案是什麼？雲端原生應用程式保護平台 (CNAPP)，可建立統一的安全框架，確保每個工具都能與其他工具協同運作，以封堵潛在缺口。

3. 過度授權

10 個組織中有 5 個擁有過度特權的帳戶。隨著時間推移，Azure 中的角色與權限會像未經整理的雜物一樣不斷累積。最初的用意可能是為了快速授予存取權，但這種不受控的增長會使關鍵資源暴露於濫用或意外洩露的風險之中。事實上，有一半的組織都會遭遇過度授權問題。採用最小權限原則並定期進行存取審查至關重要——每次審查都是一次細緻的稽核，以確保只有確實需要存取權的人才擁有該權限，從而將不必要的風險降至最低，並建立更受控的環境。

CNAPP Buyer’s Guide

Learn everything you need to know about finding the right Cloud-Native Application Protection Platform for your organization.

Read Guide

實作 Azure 安全性的最佳實務

以下是 7 項頂尖的Azure 安全架構最佳實務：

1. 啟用多重要素驗證 (MFA)：將 MFA 視為額外的一層驗證，只允許已通過驗證的使用者繼續操作。藉由要求不只是簡單密碼，它可大幅降低未經授權進入的風險，建立對抗網路釣魚嘗試與暴力破解攻擊等常見威脅的強大防線。
2. 謹慎管理機密：權杖與加密金鑰等敏感資產是安全性的骨幹，但若管理不當便容易暴露風險。Azure Key Vault 在這方面極具價值，可安全儲存這些機密，避免遭到窺探，並降低意外外洩的風險。
3. 強制執行單一登入 (SSO)：SSO 就像精簡的入口，讓使用者只需一組憑證即可存取多個應用程式。它藉由減少對多組密碼的需求來促進更強健的密碼實務，使組織更容易在不犧牲便利性的情況下強制執行安全存取。
4. 加密傳輸中與靜態資料：加密就像是資料的編碼語言，只有持有金鑰的人才能讀取。對傳輸中與靜態資料進行加密，代表即使資料遭到攔截，敏感資訊對未經授權者而言仍然無法理解，從而保護其完整性。
5. 採用零信任架構：在零信任模型中，無論是內部或外部實體，都不會被預設信任。每個請求都必須經過驗證與確認，為每次互動建立安全邊界。此框架可限制內部威脅的潛在影響，並確保持續驗證。
6. 授予最低權限存取：遵循最低權限原則的重點在於將潛在暴露降到最低。僅授予使用者完成工作所需的權限，可降低未經授權存取或意外資料外洩的風險。這是一種經過嚴密控制的環境，其中存取僅限於必要範圍。
7. 持續監控威脅：持續監控就像為您的 Azure 環境部署 24/7 監視系統。Microsoft Sentinel 和 Azure Security Center 等即時工具可提供即時警示，及早發現弱點，並防止潛在攻擊在未被察覺的情況下升級。

選擇 Azure 安全性解決方案

儘管 Azure 提供許多預先設定的安全工具，企業仍需要像 SentinelOne 這樣的全面性解決方案，以因應實作 Azure 安全架構時的常見挑戰。SentinelOne可整合 Azure 安全性，為您所有的安全管理工作提供單一參考點。

SentinelOne 可與您的 Azure 堆疊和 DevOps 管線整合，並從程式碼到雲端，為您的 Azure 工作負載提供深度可視性。它也能自動化威脅與錯誤設定的偵測和修復。透過 SentinelOne CNAPP solution，您可以克服 Azure 安全性解決方案各自為政的安全挑戰，並整合混合與多雲環境中的安全態勢管理。

SentinelOne 的 AI 驅動 CNAPP 為您的環境提供 Deep Visibility®。它可針對 AI 驅動的攻擊提供主動式防禦、支援將安全性進一步左移的能力，以及新一代調查與回應。多個 AI 驅動的偵測引擎協同運作，針對執行階段攻擊提供機器速度的防護。SentinelOne 提供大規模自主威脅防護，並對受影響的雲端工作負載、基礎架構和資料儲存進行整體性的根本原因與爆炸半徑分析。

具備情境感知能力的 Purple AI™可提供警示的情境摘要、建議的後續步驟，以及在生成式與代理式 AI 的能力輔助下，無縫展開深入調查的選項——所有內容皆記錄於單一調查筆記本中。Singularity™ Cloud Security 可強制執行左移安全，並透過對基礎架構即程式碼範本、程式碼儲存庫及容器登錄的無代理掃描，讓開發人員在弱點進入正式環境前就能識別它們。這可大幅降低您的整體攻擊面。

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

結論

對於在雲端託管工作負載與資料的企業而言，安全性必須始終是首要之務。基於此，Azure 提供了大量工具、原則與最佳實務，協助組織實作 Azure 安全架構。然而，在為了維持競爭力而必須快速創新的情況下，要駕馭這些多樣化的工具可能會讓人感到不知所措。

SentinelOne 整合了橫跨 Azure 與多雲環境、由 AI 驅動的即時弱點與威脅偵測，打造無縫的防禦防線，因應快速演變的威脅，並確保您的基礎架構在毫不妥協的情況下持續受到保護。

準備好強化您的雲端安全了嗎？立即了解 SentinelOne 如何保護您今日的 Azure 環境。