什麼是 Azure 安全性評估？

在當今世界，雲端技術已成為每一家科技驅動型公司的基礎構件。截至 2023 年，使用雲端技術的公司數量已增加至 95%。Microsoft Azure 就是其中一個雲端供應商，其在雲端供應商市場中的占有率大幅提升。截至目前，Microsoft Azure 約占整體雲端基礎架構市場的 20-25%。由於企業使用雲端來儲存、處理及管理資料或應用程式，因此保護 Azure 已變得非常重要。Microsoft Azure 提供各種服務，可協助企業保護敏感資料，並協助其滿足合規要求。由於雲端環境具有共享特性，因此會引入各種類型的弱點，這也凸顯了 Azure 安全性評估的必要性。

在這篇部落格文章中，我們將討論什麼是 Azure 安全性評估、它為何重要，以及 Microsoft Azure 中一些關鍵的安全性功能。我們也將討論企業如何為 Azure 安全性評估做好準備，以及一些應遵循的最佳實務。

了解 Azure 中的關鍵安全性功能

讓我們來看看 Azure 中的關鍵安全性功能，以更了解 Azure 對安全性的做法。

1. Azure Security Center

Azure Security Center 是一套整合式安全管理系統，可在混合雲環境中提供進階威脅防護。它提供單一主要儀表板，用於監控安全態勢、找出弱點，並落實安全最佳實務。Azure Security Center 讓企業能夠透過安全相關警示以及強化組態的建議（並修正錯誤組態）來管理其安全環境。它也透過提供可協助產生稽核報告的工具，協助滿足法規標準。

2. Azure Active Directory

Azure Active Directory，或 Azure AD，是一項以雲端為基礎的服務，用於管理身分識別與存取，並在保護 Azure 環境方面扮演關鍵角色。它可讓企業監督使用者身分識別、規範對資源的存取，並套用驗證原則。Azure AD 提供的支援包括 多重要素驗證 (MFA)、暫時性存取規則，以及單一登入 (SSO)。這可提升安全性並改善使用者體驗。透過將身分識別管理集中化，Azure AD 可降低未經授權存取的可能性。

3. 網路安全性功能

Azure 提供不同的網路安全性功能。這些功能旨在保護傳輸中的資料 (data in transit)，並確保資源之間的通訊安全 (防範如 MITM 等攻擊)。主要組成包括 Azure Firewall，其提供具狀態的防火牆服務，以及 Network Security Groups (NSGs)。NSGs 讓企業能在子網路與網路介面層級設定並強制執行存取控制。此外，Azure DDoS Protection 可透過防護此類惡意流量狀況，在發生分散式阻斷服務攻擊時仍維持應用程式可用性。這些功能共同運作，在 Azure 內建立安全的網路環境。

4. Azure Key Vault

Azure Key Vault 是雲端中的一項服務，可保護雲端中應用程式與服務所使用的加密金鑰與機密。它可為 API 金鑰、密碼和憑證等重要資訊提供安全儲存。這有助於企業有效控制對這些機密的存取。透過 Azure Key Vault，企業可以確保敏感資料被安全地儲存，且只有經授權的使用者或應用程式可以存取。此外，此服務也有助於遵循資料保護規範，因為它提供稽核功能以及管理金鑰的安全方法。

什麼是 Azure 安全性評估？

Azure 安全性評估是一項掃描企業所擁有完整 Azure 基礎架構的流程。此評估分多個步驟進行，包含對 Azure 雲端中使用的所有安全性組態、IAM 角色、存取控制、加密標準等進行完整且徹底的審查。

Azure 安全性評估的目標是：

• 識別基礎架構中的安全性弱點
• 根據合規要求檢查目前的合規狀態
• 驗證現有的安全性控制措施

Azure 安全性評估的重要性

Azure 安全性評估很重要，不可忽視。隨著 網路攻擊 持續增加且變得比以往更加複雜，企業必須思考如何保護儲存在 Azure 中的客戶與員工敏感資訊，並維持營運不中斷。

全面性的 Azure 安全性評估可協助企業找出其在安全性措施方面的不足之處，評估目前控制措施的運作效率，並使其安全性計畫符合產業規範與合規要求。

雖然對 Azure 執行徹底的安全性評估可能需要投入大量時間與資源，但其長期提供的效益非常可觀。

此外，透過定期執行 Azure 安全性評估，企業可以向客戶展示評估結果與證書。這有助於建立客戶、合作夥伴與投資人的信任。

如何為 Azure 安全性評估做好準備？

在開始之前，請務必先建立評估目標。您想達成哪些目標？您是希望盡可能找出弱點系統、確保符合監管機構要求，還是提升整體安全性態勢？明確的目標將有助於整個評估流程。

接著，您需要建立所有將納入評估的 Azure 資源詳細清單。這包括虛擬機器、儲存體帳戶、資料庫、網路元件，以及組織希望接受評估的其他 Azure 服務。

一旦您有了目標與資產清單，就請建立一個跨職能團隊。理想情況下，團隊應包含 IT、安全性、合規與業務部門的代表。他們多元的觀點將帶來全面性的評估。

蒐集必要資訊與文件

在初始範圍界定完成後，開始蒐集所有必要文件。首先，您可以彙整各類 Azure 組態資料，包括訂用帳戶、資源群組、服務組態等等。這將讓您完整掌握目前的 Azure 基礎架構。

接下來要做的是建立與組織相關的產業標準與法規要求清單（例如 GDPR、HIPAA、PCI DSS）。另外，也要整理過去執行的所有安全性評估或稽核報告。這將使企業能夠持續追蹤狀況，並找出這類問題是否反覆發生。

寫下目前的安全性控制與措施清單。內容應涵蓋所有安全性控制，包括存取控制、加密方法、監控工具等等。您也應建立網路圖，說明 Azure 網路設計的配置方式與資料流向。在評估期間，這些視覺化資料可能非常重要。

讓不同利害關係人參與並定義評估範圍

關鍵利害關係人的參與對評估結果至關重要。首先，確認您的利害關係人是誰——高階管理層、各部門的關鍵使用者經理，以及哪些人應參與或被告知此次評估。

與這些利害關係人進行簡報會議，說明評估的重要性，以及其流程與可能影響。討論任何潛在問題，並取得他們對評估期間應聚焦主題類型的意見回饋。

妥善定義評估邊界。確定將審查哪些 Azure 區域、資源類型或特定應用程式。在制定範圍時，請務必明確指出哪些內容納入評估範圍，哪些不納入評估範圍（out-of-scope 資源/資產）。

最後，建立完整的溝通計畫。此計畫應詳細說明在評估過程中，如何與相關利害關係人分享進度與發現。

什麼是 Azure Security Framework？

The Azure Security Framework 是一種多層式安全系統，由雲端運算的不同元件組成。其設計旨在因應雲端環境帶來的獨特問題，為企業提供結構化的方法來管理安全性疑慮。這包括身分識別控制、資料保護、應用程式安全性與基礎架構保護，以確保整個雲端環境獲得妥善保護。

1. 身分識別

在身分識別管理方面，Azure 內的主要服務是 Azure Active Directory (AzureAD)。它提供強大的架構來處理使用者身分識別與存取權限。這可確保只有經授權的人員才能使用特定工具，從而確保適當的存取控制。Azure 使用多種加密方法來滿足此需求，其中包括 Azure Storage Service Encryption（用於靜態資料）以及用於傳輸中資料的 Transport Layer Security (TLS)。

此外，Data Loss Prevention (DLP) 規則可用於限制各種應用程式之間未經授權的敏感資訊交換。Azure 也提供強大的備份與自動化功能，例如 Azure Backup 與 Azure Site Recovery。這些功能可確保防範資料遺失或損毀。

2. 資料

在 Azure 中，最令人關切的部分無非是資料加密，而這是因為資料安全。為了提升資料安全性，可以使用 Azure Storage Service Encryption 和 Transport Layer Security (TLS)。企業也可以實作 Data Loss Prevention (DLP) 規則，以防止敏感資訊在不同應用程式之間遭到未經授權的分享。

3. 應用程式

Azure 中的 Secure SDLC 始於安全開發實務。這表示應定期審查程式碼，並在開發的所有階段執行安全測試，以便在漏洞一出現時就加以偵測與緩解。Application security groups (ASGs) 可讓您將網路安全設定為應用程式結構的延伸。這將有助於確保應用程式的各個部分受到隔離與保護。

此外，Azure Security Center 具有用於威脅偵測的警示功能，當在其應用程式中發現潛在漏洞時，會通知組織。

4. 基礎架構

Azure 服務是以多層安全機制建構而成，而支援 Azure 的基礎基礎架構則透過各種主動式安全措施加以保護。這些外部威脅會透過 Azure Network Security Groups (NSGs)、Azure Firewall 或 Azure DDoS Protection 等工具進行過濾。Azure 資料中心中的實體安全措施，例如監控、存取控制和實體變更，也都受到妥善管理，以確保您的基礎架構免受任何類型的實體威脅。

Azure 擁有各種與合規相關的認證，可協助引導組織遵循各產業所規定的合規要求。Azure Monitor 和 Azure Security Center (Microsoft Defender for Cloud) 可讓組織監控並記錄其環境。

The 共同責任模型是 Azure 安全性中的關鍵面向，說明 Microsoft 與客戶在安全方面各自負責的事項。此計畫負責保護雲端基礎架構在安全性方面的基本要素，例如實體安全、網路防護和主機作業系統。相對地，客戶則負責保護其應用程式、資料和使用者存取。

執行 Azure 安全評估

Azure 安全評估是一個多步驟流程，會由雲端安全工程師或第三方公司根據需求執行。在本節中，我們將進行 Azure 安全評估。

• 安全團隊在評估中使用的工具與方法

可使用多種工具和方法來檢查組織目前採用的安全設定與實務。安全團隊應使用 Microsoft Defender for Cloud 等工具進行安全管理與威脅防禦。其他工具，例如漏洞評估掃描器、組態管理系統等，則有助於找出可能的安全問題。

• 測試身分識別與存取管理中的問題

IAM在整體雲端安全態勢中扮演關鍵角色，因此成為 Azure 安全評估的重要部分。這包括評估使用者角色與權限、檢視驗證方法，以及確保已套用多重要素驗證 (MFA)。

• 評估資料安全性

評估資料安全態勢也是安全評估流程中的重要部分。資料加密通訊協定、存取控制，以及防止資料遺失的措施，都是評估中的關鍵部分。同時，評估現有針對靜態資料與傳輸中資料的安全機制也很重要。

• 檢視網路安全組態

完整檢查網路安全組態，對於找出可能的弱點也非常重要。這包括檢視防火牆規則、network security groups (NSGs) 和虛擬網路設定。透過確保不存在安全性錯誤設定，企業可以降低未經授權存取和資料遺失的風險。

• 應用程式安全評估

應用程式安全評估會檢查託管於或部署在 Azure 基礎架構中的應用程式整體安全性。這包括執行漏洞掃描，以及檢查程式碼中可能存在的安全問題（手動程式碼審查）。作為程式碼審查的一部分，安全工程師會檢查程式碼中是否存在任何安全漏洞或硬式編碼的機密。除了靜態分析之外，也會對應用程式執行動態測試，以找出 XSS、CSRF 和 SQLi 等漏洞。

如何分析 Azure 安全評估結果

在完成雲端基礎架構的安全評估後，企業需要妥善分析結果。這有助於企業了解在評估中識別出的風險。評估後作業可透過檢閱自動化工具或手動測試人員產生的評估報告來完成。作為報告分析的一部分，請檢查關鍵安全問題、嚴重性以及其他安全效能指標。

檢閱報告後，請與相關利害關係人分享評估結果。協助他們了解這些發現對 Azure 雲端基礎架構造成的影響。此外，應實作標準評分系統，為每項發現指派分數。企業通常會為此使用 Common Vulnerability Scoring System (CVSS)。

修補策略

在分析報告後，企業制定穩健的修補策略非常重要。這可以透過建立詳細的修補計畫來完成，其中包含修正每項發現（漏洞）所需的所有技術細節與步驟。修補計畫也應包含問題預計修復的時程，以及由哪個團隊負責此流程。

為了有效修補，企業必須決定應優先修復哪些漏洞（以風險為基礎的優先排序），並建立實際可行的修補方式。應從對 Azure 基礎架構與資料安全構成最大威脅的重大與高風險漏洞開始。

最佳 Azure 安全評估工具

安全產業中的多家主要廠商都提供可用於執行 Azure 安全評估的工具。值得注意的選項包括：

1. 1. SentinelOne: 此平台提供端點偵測與回應 (EDR) 功能，以及雲端工作負載保護。它可與 Azure 環境整合，為雲端工作負載與端點提供即時威脅偵測、自動化回應及安全評估功能。

1. Microsoft Defender for Cloud: 它可在 Azure 環境中提供整合式安全管理與威脅防護。
2. Qualys: 它以其漏洞管理能力聞名，並提供持續監控與評估。
3. Tenable.io: 它專精於持續網路監控與漏洞評估。
4. CloudHealth by VMware: 它著重於雲端成本管理與最佳化，並具備安全評估能力。

Azure 持續安全性的最佳實務

為了充分發揮 Azure 安全性評估的效益，並確保整體 Azure 基礎架構的安全性，企業可以遵循以下最佳實務：

#1. 實施安全性政策與程序

為了確保 Azure 的長期安全，企業必須根據其特定需求，落實強而有力的安全性規則與流程。這包括制定資料保護、存取控制、事件回應及合規管理的指引。

#2. 為開發人員與雲端工程師提供定期訓練與安全意識宣導

持續為程式設計人員與雲端工程師推動教育訓練與安全意識計畫，對於讓人員掌握最新的安全風險與最佳方法至關重要。這包括根據公司需求，持續教育員工安全編碼習慣、各種安全風險以及合規要求。

#3. 隨時掌握 Azure 安全性更新

隨時掌握 Azure 的安全性更新，對於維持強健的安全態勢非常重要。組織必須經常檢查 Microsoft 發布的新安全功能、修補程式與最佳實務。透過主動採用這些更新並納入新的安全措施，組織可以強化對持續演變威脅的防護能力。

#4. 使用原生 Azure 安全性工具進行持續防護

使用原生 Azure 安全性工具進行持續監控與防護，對於保護雲端資源免受 threat actors 侵害非常重要。Azure Security Center、Azure Sentinel 和 Azure Policy 等工具可讓組織持續進行監控、偵測威脅及管理合規。

結論

對於使用 Azure 作為雲端服務供應商的企業而言，定期執行 Azure 安全性評估非常重要。這有助於他們保護敏感資訊（客戶與員工資料）的安全，並符合監管要求。透過了解 Azure 提供的安全功能、為評估做好充分準備，以及採用強而有力的修補策略，企業可以大幅降低風險。

持續遵循並管理本文討論的最佳實務，不僅能保護雲端基礎架構，還能在利害關係人與客戶之間建立信任。隨著網路威脅持續保持複雜且精密，組織必須在其雲端策略中重視安全性評估。