2026 年 10 項 Azure 安全性檢查清單

雲端已成為現代企業的基石，而 Microsoft Azure 憑藉其廣泛的功能集，成為領先的選擇。然而，若未妥善控管，您雲端基礎架構的每一層都可能成為攻擊者的潛在入侵點，進而導致嚴重的資料外洩與合規問題。事實上，一個遭入侵的雲端帳戶所造成的成本，在計入事件回應工時、應用程式停機時間、監管罰款與業務損失後，可能高達數百萬。

什麼是 Azure Security？

Azure Security 是 Microsoft 設計的一套強大工具、功能與服務，可協助組織有效保護其雲端環境。以下是 Azure Security 的基本組成元件：

1. Azure 安全性服務與技術

Azure 提供全面的服務與技術陣列，以保護雲端中的資料、應用程式與基礎架構：

• 網路安全性： 網路安全性群組 (NSG)、Azure Firewall 與分散式阻斷服務 (DDoS) 防護等工具，可確保網路流量安全並防禦網路威脅。
• 身分識別與存取管理： Azure Active Directory (Azure AD) 提供強大的身分識別管理與驗證，以控制資源存取。
• 資料安全性： Transparent Data Encryption (TDE)、Always Encrypted 與 Data Masking 等解決方案，有助於保護靜態與傳輸中的敏感資訊。
• 應用程式安全性： Web 應用程式防火牆 (WAF) 與應用程式閘道等服務，可防禦 Web 應用程式遭受常見弱點與攻擊利用。

2. Azure Security Center

Azure Security Center 不僅僅是安全性管理系統；它還為混合雲環境提供主動式防護。若未經授權的裝置嘗試存取您的網路，Security Center 可立即標記該活動、提供威脅詳細資訊，並封鎖該裝置。此外，它還會監控 Azure 與其他平台上的工作負載，即時識別弱點並提出修正建議。

3. Azure Sentinel

Azure Sentinel是一種雲端原生的 SIEM 與 SOAR 解決方案，不僅能偵測威脅，還能對其採取行動。例如，若它識別出與惡意軟體相關的 IP，Sentinel 不僅會向您發出警示，還會提供詳細資訊，例如威脅的來源及其潛在影響。此外，它還能自動封鎖惡意 IP，並隔離遭入侵的系統，以防止進一步損害。這種主動式方法可實現快速偵測、調查與回應，並簡化整個組織的威脅管理。

4. 共同責任模型

Azure 採用共同責任模型來處理安全性。Microsoft 負責保護底層雲端基礎架構，而客戶則負責保護 Azure 環境中的應用程式、資料與組態。此模型強調，雖然 Azure 提供全面的安全措施，但最終仍由客戶負責有效管理其安全性設定與實務。

5. 合規與認證

Azure 符合廣泛的產業標準與監管要求，並具備如 International Organization for Standardization (ISO 27001)、General Data Protection Regulation (GDPR) 與 Health Insurance Portability and Accountability Act (HIPAA) 等認證。這可確保使用 Azure 的組織能維持對關鍵法規的合規性。

Azure Security 的重要性是什麼？

Azure Security 提供必要的工具與功能，以防範各種風險，包括資料外洩、未經授權的存取、惡意軟體攻擊、錯誤組態與合規違規。這些風險可能源自薄弱的存取控制、未修補的弱點，以及暴露的工作負載，尤其是在混合雲環境中。Azure Security 可確保敏感資訊維持安全，並讓營運持續不中斷，因此是一套不可或缺的工具。

透過採用 Azure Security，企業可以：

• 維持客戶信任。
• 遵循監管要求。
• 防止代價高昂的中斷，同時受益於雲端的可擴展性與靈活性。

以下是凸顯保護 Azure Security 重要性的重點：

1. 預防網路威脅

雲端是網路攻擊的主要目標，從勒索軟體到 DDoS 攻擊皆然。Azure 的進階威脅防護工具功能強大，但其成效取決於您的主動使用。遵循Azure 安全性評估檢查清單，您可以大幅降低攻擊成功的風險。

2. 營運持續性與信任

強大的安全態勢有助於確保營運持續性。安全性事件不僅會危及資料，還可能中斷您的營運，導致停機與財務損失。透過保護您的 Azure 環境，您不僅是在保護資料，也是在向客戶與利害關係人展現您嚴肅看待安全性與可靠性，從而維持其信任。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

什麼是 Azure 安全性稽核？

Azure 安全性稽核會徹底檢視組織的 Azure 雲端環境，以找出弱點、確保法規遵循，並驗證是否遵循產業最佳實務。此流程包含數個關鍵元件與步驟，以強化組織的安全態勢。

An Azure 安全性稽核的執行目的如下：

• 識別弱點： 偵測 Azure 環境中潛在的安全弱點，例如錯誤設定的網路安全性群組或未修補的虛擬機器，以便主動修補。
• 驗證合規性： 確保組織符合相關法規與合規標準，例如 GDPR、HIPAA 或 PCI-DSS。
• 提供修復路線圖： 使用稽核結果來指引安全性改進與風險緩解工作。 一個領先的範例 是 Maersk 從 NotPetya 網路攻擊中復原的案例。針對稽核結果，Maersk 制定了全面的修復路線圖，其中包括強化存取控制、修補系統，以及重新設定其 Azure 環境。他們也實施了更嚴格的 IAM 政策，並加強對可疑活動的監控。

Azure 安全性檢查清單稽核的一些核心元件包括：

• 安全控制評估： 檢視 Azure 角色型存取控制 (RBAC)、網路安全性群組 (NSG) 和加密通訊協定等安全措施，以確認其設定正確且有效。
• 基準建立： 建立安全性設定基準，以偵測偏差並追蹤一段時間內的進展。 例如，可以實際導入 Microsoft 的 Cloud Security Benchmark (MCSB)。組織可利用此基準，為 Azure 資源設定最低安全性設定水準，確保符合 NIST 與 CIS。
• 關鍵安全控制測試： 測試必要的安全控制，例如防火牆政策和資料保護措施，以確保其正常運作。
• 事件回應評估： 評估安全事件回應計畫 (SIRP)，以確保角色、責任與程序已明確定義，並定期接受測試
• 記錄與監控： 檢視記錄與監控能力，以確認安全事件已被擷取並分析，從而及時偵測威脅並做出回應。

10 項 Azure 安全性最佳實務：檢查清單

組織可透過部署這 10 份 Azure 安全性檢查清單，大幅提升其 Azure 雲端部署的安全態勢，並防範各種威脅。

#1 啟用多重要素驗證 (MFA)

透過實施 多重要素驗證 (MFA)，強化所有使用者帳戶的安全性。這會在密碼之外增加驗證步驟，即使密碼遭到洩露，也能大幅降低未經授權存取的風險。

MFA 的一個常見範例是一次性密碼，也就是 OTP，並結合指紋驗證等生物特徵因素。步驟可能包括：

1. 使用者登入
2. OTP 產生
3. 生物特徵驗證
4. 授予存取權

此流程透過要求只有使用者知道的資訊（密碼）、只有使用者擁有的項目（用於接收 OTP 的手機存取權），以及只有使用者能驗證且具唯一性的特徵（指紋），大幅提升安全性。為了驗證這一點，一份 Microsoft 報告 指出，超過 99.9% 的自動化網路攻擊都會被 MFA 阻擋。由於雲端服務每天約有 3 億次詐騙性登入嘗試，MFA 已證明是避免安全性外洩的成功實務。

#2 善用 Azure Security Center

使用 Azure Security Center 作為監控 Azure 環境安全性的中央樞紐。它提供安全性建議、進階威脅防護，以及安全態勢的全面檢視，協助您領先因應潛在威脅。例如…

1. 登入 Azure Security Center
2. 設定安全性原則：

• 按一下安全性原則標題。
• 選取訂用帳戶以啟用資料收集，並從資源蒐集記錄。
• 選擇特定儲存體帳戶以保留資料。

1. 啟用建議：

• 啟用中的建議，例如系統更新。
• 開啟基準規則以識別不安全的組態。

1. 監控安全性警示

• 定期檢查安全性警示，以發現未偵測到的威脅。
• 按一下警示以探索威脅詳細資料並採取必要動作。

1. 最後，利用 Secure Score 來存取並改善您的整體安全態勢。Secure Score 是 Microsoft 365 內的評估工具，會根據組態和使用者行為量化組織的安全態勢。較高的分數表示較佳的安全實務，並透過可執行的建議協助識別可改善的領域。

#3 對靜態與傳輸中的資料進行加密

透過對靜態資料與傳輸期間的資料進行加密，保護敏感資訊免於未經授權的存取。這可確保即使資料遭到攔截或未經許可而被存取，仍然無法讀取且保持安全。因此，您可以：

• 使用 AES-256 加密儲存在您的伺服器或雲端儲存體中的敏感檔案。
• 使用 TLS 1.3 保護透過網際網路傳輸的資料。
• 向受信任的憑證授權單位取得數位憑證，以建立安全連線，確保傳輸期間的資料機密性。

#4 實作角色型存取控制 (RBAC)

使用 角色型存取控制 (RBAC) 來限制對 Azure 資源的存取。這可確保只有經授權的人員能夠存取特定資源，降低內部威脅與意外暴露的風險。在 Azure 中，您可以：

• 建立自訂角色，只允許特定使用者管理虛擬機器。
• 例如，將 Virtual Machine Contributor (VMC) 角色指派給 IT 團隊，同時限制其他使用者的存取權限。
• 這可確保只有經授權的人員可以啟動、停止或修改虛擬機器，降低意外變更或遭入侵的風險。

#5 讓軟體保持最新狀態

定期使用最新的安全性修補程式更新軟體，有助於處理已知弱點，防止攻擊者利用過時軟體。

如何實作此做法?

• 自動化更新：使用 Azure Automation 為所有 Azure 虛擬機器設定自動更新原則。這將確保作業系統和已安裝應用程式的安全性修補程式能及時套用。

• 排程定期更新：設定每週排程，自動更新所有軟體，維持最新版本以持續處理弱點。

#6 啟用 Azure Defender (AD)

啟用 Azure Defender 可透過提供持續性的安全性評估與警示，增強對 Azure 資源（包括混合式環境）的威脅防護，協助您有效偵測並回應威脅。

如何實作此做法?

• 啟用 Azure Defender：存取 Azure 入口網站並選取 Microsoft Defender for Cloud，以在您的 Azure 訂用帳戶中的所有資源上啟用 Azure Defender。
• 為所有資源啟用威脅防護：確保持續監控並保護您的 Azure 資產，接收有關安全性弱點的警示與深入解析。

#7 定期檢閱與稽核存取權限

定期檢閱與稽核存取權限，以確保其遵循 最小權限原則 或 PLOP。這表示使用者與服務應僅擁有執行其角色所需的最低存取權限，以減少潛在的攻擊向量。此外，

• 使用 Azure Active Directory (AAD) 每季稽核一次使用者存取權限。
• 產生使用者角色與權限報告，並依據最小權限原則進行檢閱。

#8 實作安全基準組態

建立安全基準，以確保一致的設定能提升系統安全性與韌性。一般而言，基準有助於在發生故障時將系統還原至已知的安全狀態，確保可用性並降低弱點。安全基準程序可能包括：

• 啟用加密：對靜態資料與傳輸中的資料進行加密，確保所有敏感資訊都受到保護。
• 強制執行 MFA：套用多重要素驗證以防止未經授權的存取。
• 套用 RBAC：使用角色型存取控制，將使用者權限限制為僅必要的範圍。
• 修補 VM 並啟用端點防護：定期修補虛擬機器並啟用端點防護，以防範威脅。
• 設定 NSG：設定網路安全性群組，以有效控制輸入與輸出流量。

. 持續在整個 Azure 環境中強制執行這些設定，有助於維持安全性，並降低因組態漂移導致弱點的風險。

#9 啟用 Azure Monitor

使用 Azure Monitor 收集並分析來自 Azure 資源的安全遙測資料，例如登入模式、網路流量以及資源組態變更。Azure Monitor 可深入掌握這些活動的可視性，藉由識別異常情況（例如不尋常的登入位置或異常的流量尖峰），實現主動式威脅偵測。

這有助於透過提供可採取行動的洞察來促進對安全事件的及時回應，讓您能在風險升高之前加以緩解。來自您的 Azure 資源。

#10 進行定期弱點評估與滲透測試

定期執行弱點評估與滲透測試，以識別並修補 Azure 環境中的安全弱點。例如，評估可能會揭露出未修補的虛擬機器，攻擊者可能利用它來取得對您網路的未授權存取。這種主動式方法有助於在弱點（例如錯誤組態或過時軟體）遭到利用之前發現它們。

使用 SentinelOne 保護您的 Azure 環境

在 ENISA 的 2025 年事件資料中，弱點利用占初始存取的 21.3% ENISA’s 2025 incident data，攻擊者會在新揭露的弱點公開後數日內將其武器化。詳細的 Azure 雲端安全檢查清單可確保您的資料、應用程式與基礎架構獲得完整保護，並符合最新標準。原生 Azure 工具可提供可視性與原則強制執行。SentinelOne 可自主遏止這些工具所發現的威脅。

Singularity Cloud Security為您的 Azure 工作負載提供即時 CNAPP 防護，結合無代理程式的組態洞察與執行階段代理程式，可在勒索軟體、無檔案攻擊與零時差漏洞利用執行時加以阻止。 Singularity Cloud Native Security透過其 Offensive Security Engine 安全地模擬對 Azure 基礎架構的攻擊，並提供 Verified Exploit Paths™，讓您的團隊專注於真正可被利用的發現，而不是一長串理論性的警示。

Purple AI讓您的分析師能以自然語言調查 Azure 威脅，自主搜尋雲端遙測資料並摘要其發現，而無需複雜的查詢語言。根據 IDC Business Value study，Purple AI 客戶識別威脅的速度快 63%，修復速度快 55%。SentinelOne 團隊從規劃到實作的每一步都支援組織，確保安全措施獲得有效整合。

申請 SentinelOne 示範，親自了解 Azure 防護的實際運作。

Cloud Security Demo

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

結論

與 2023 年第一季相比，DDoS 攻擊在 僅 2024 年就年增 50%。這使企業必須保持警覺並採取主動措施。詳細的 Azure 雲端安全檢查清單 可確保您的資料、應用程式與基礎架構獲得完整保護，並符合最新標準。

選擇如 SentinelOne Cloud Security 平台之類的解決方案，可大幅提升您的安全性並提高效率，同時不會犧牲安全性。SentinelOne 團隊致力於在每個階段支援組織，從規劃到實作，確保安全措施獲得有效整合。

將這些最佳實務整合到您的安全策略中，可主動強化組織對潛在資料外洩與網路攻擊的防禦能力。定期監控、更新與稽核不只是工作項目，更是維持強健安全態勢所不可或缺的主動措施。