CIEM 與 IAM：有何差異？

CIEM 與 IAM？您應該使用哪一個？您應該如何管理使用者？我常開玩笑說，現代軟體中的身分管理就是讓所有應該能登入的人都能登入，而所有不能登入的人都不能登入。實際情況是，還有更多事情需要考量。此外，要控制的技術與系統種類繁多，因此需要專門的身分管理來處理特定使用案例。在這篇文章中，我們將討論 CIEM 以及它與 IAM 的關係，以及它們兩者與您公司的關聯。

CIEM 的定義

雲端基礎架構權限管理（CIEM）是管理與雲端運算平台相關的身分與能力的流程。最有效率的雲端管理員會透過 最小權限原則 來組織使用者存取。這表示使用者只能存取其完成工作所需的特定資源。這同時適用於讀取雲端組態以及寫入這些雲端組態的能力。CIEM 是我們用來描述這些控制方法的術語。

IAM 的定義

身分與存取管理（IAM）描述的是一種方法，用於識別並控制您整個企業及所有技術資產中的運算資源存取。明智的技術管理者會使用最小權限原則來保護所有資產。以這種方式來看，CIEM 可視為 IAM 的子集，但 IAM 通常著重於比 CIEM 更廣泛的一般化概念，而 CIEM 則專注於與雲端環境特別相關的挑戰。

CIEM 與 IAM：3 項關鍵差異

CIEM 與 IAM 之間的關鍵差異

1. 焦點與目標

CIEM 與 IAM 之間的一項關鍵差異在於它們的焦點與目標。IAM 是一種通用的身分管理策略，這表示它不一定有任何特定焦點。如我們所述，無論您的方法多麼通用，您仍然需要採用明智的安全原則。僅因為您採用通用方法，並不表示您就能排除最小權限原則等概念。

然而，CIEM 高度專注於圍繞雲端運算資源的身分管理。這些資源通常比更一般化的技術資產複雜得多，也更敏感。若有人未經授權存取您的雲端管理主控台，可能會在極短時間內造成大量損害。即使是原本可能被允許設定某些雲端資產的員工，也可能無意間引發相當大的混亂。

因此，CIEM 為高價值資源提供細粒度存取控制，並專注於讓這件事變得容易。IAM 則著重於您整個技術資源套件中的一般化存取管理。

2. 目標對象

由於 CIEM 如此緊密地聚焦於高價值的內部資源，因此 CIEM 方法的適用對象比一般化的 IAM 方法狹窄得多。您的 CIEM 策略不會適用於外部客戶，也不會適用於非技術使用者。唯一會需要存取權限來設定您的雲端資源的人，是在您的技術組織內部工作的人員。高階主管、業務人員和客戶支援代理人永遠不需要啟用新的雲端運算資源。

IAM 採取的方式廣泛得多。它涵蓋您如何管理所有技術資源的存取。這表示您的 IAM 策略需要涵蓋您的客戶。它需要考量您的業務人員將如何登入您的 CRM。您也需要規劃客服人員將如何存取您的工單系統。

3. 安全方法

我們已經說明，CIEM 與 IAM 著重於不同類型的資源。但也正因如此，CIEM 與 IAM 通常也會著重於不同的對象。由於您的 IAM 策略管理的是整個技術資源庫中的身分，因此您的策略必然需要著重於各式各樣的使用者。這通常表示需要採用迎合非技術使用者的方法。

CIEM 著重於技術傾向高得多的對象。這很可能表示您會要求採用像是 雙因素驗證 之類的安全功能。這甚至可能表示您要求使用硬體驗證金鑰，或要求與企業單一登入解決方案整合。

CIEM 的優勢

採用 CIEM 策略會帶來許多好處。首要且最重要的好處是強化您的雲端安全態勢。很有可能，您的企業是在雲端上運作。雲端供應商發生任何未規劃的中斷，都會讓您的企業付出實際金錢成本。透過採用全面性的 CIEM 策略，您可以將與未經授權存取這些雲端資源相關的風險降到最低。

不過，您需要擔心的不只是未經授權的存取。CIEM 策略也能降低原本已獲授權的使用者存取其不熟悉系統所帶來的風險。也許您有一個團隊是資料庫服務專家，但對 Web 伺服器一無所知。若 CIEM 策略不允許該團隊存取雲端供應商上的 Web 伺服器，就表示他們無法意外進行會干擾日常營運的變更。

最後，CIEM 解決方案通常會直接與單一登入供應商（例如 Okta）等技術整合。這表示您可以在雲端環境中自動佈建與解除佈建使用者，並使用群組管理等功能，將使用者的群組成員資格對應到雲端資源存取權限。

IAM 的優勢

採用全面性的 IAM 策略也會帶來一些實際優勢。許多公司會採用前述的單一登入提供者，讓員工，甚至有時也包括客戶，能夠更輕鬆地登入其技術組合中的各種應用程式。當您採用這類技術時，也代表您簡化了員工到職流程等事項。將新使用者新增至您所有的應用程式，可以透過集中式管理主控台快速且輕鬆地完成，而不需要在整個環境中的各個系統分別新增同一位使用者。

全面性 IAM 策略的另一項額外好處是，您可以遵循規範企業營運的規則與法規。您可以明確識別哪些人在何時對哪些服務採取了哪些動作。對於高度受監管的產業而言，這種稽核使用者行為的能力是一項關鍵要求，也是 IAM 限制措施最有價值的部分之一。

挑戰與限制

讓我們來探討 CIEM 與 IAM 解決方案的挑戰與限制。

CIEM 挑戰

儘管 CIEM 策略確實帶來實質效益，但也伴隨著關鍵挑戰。了解這些挑戰是什麼很有幫助，這樣當您開始界定實作範圍時，就能預先規劃。

在採用 CIEM 方法時，最重要的一點是要記住，這將會是一項複雜的整合。這非常合理：雲端運算環境是由資源與功能所構成的複雜網絡。要在這些系統周圍建立權限控管並不會是件簡單的事。此外，您的雲端環境越複雜，自行建立整合的難度就越高。這些工作是值得投入的，但您應預期需要花時間盤點您的資源，並審慎思考哪些人需要存取這些資源。

CIEM 實作的另一項關鍵考量是，您在與現有使用者管理系統整合時可能會遇到一些困難。為您的雲端供應商與使用者管理系統採用主流技術，將有助於減輕這種複雜性。您可能會發現，您所選擇的技術已有現成整合可用。但即使如此，也不一定是簡單的即插即用操作。

IAM 挑戰

IAM 也值得採用，但和 CIEM 一樣，也伴隨一些內建挑戰。

首先，IAM 需要涵蓋非常廣泛的範圍。這可能會讓您的方法難以擴展。需要考量的事項實在非常多，而且無論您選擇哪些技術來支援系統，都必須能支援從高價值系統到技術能力最低使用者的一切需求。

IAM 的另一個關鍵考量是，其所面對的威脅情勢持續演變。由於您需要支援各種類型的使用者，因此無法使用需要高度技術能力的安全系統。這會使您的攻擊面更加廣泛。而更廣泛的使用者群體也意味著您更容易受到如帳戶網路釣魚等非技術性攻擊的影響。

何時選擇：CIEM 與 IAM

如果您正試圖決定該在 CIEM 與 IAM 之間做出選擇，那麼情況其實相當明確：如果您希望保護雲端環境與資源，就應採用 CIEM 策略。如果您希望保護較傳統的企業資源，IAM 就是適合您的方法。

SentinelOne 如何提供協助？

SentinelOne 可協助保護您的系統，無論您使用的是 CIEM 或 IAM。SentinelOne 採用以 AI 為基礎的方法，可同樣有效地協助偵測並阻擋針對傳統使用者管理端點與雲端端點的威脅。

SentinelOne 提供 agentless CNAPP，結合獨特的 Offensive Security Engine 與 AI 驅動的威脅防禦，涵蓋伺服器與容器。其包含 Cloud Data Security (CDS)、Cloud Workload Security、Kubernetes Security Posture Management (KSPM)、Cloud Security Posture Management (CSPM)、Cloud Threat Intelligence Engine 等。

其針對 CIEM 與 IAM 安全性的核心關鍵功能包括：

• Singularity™ Identity 為您的雲端基礎架構權限提供即時防禦。它透過適用於 Active Directory 與 Entra ID 的整體式解決方案，誘騙網路內的對手。
• 它可偵測來自任何執行任何作業系統之受管或非受管裝置、針對網域控制站與端點進行中的身分攻擊。可將資料與 SOAR 動作整合至您現有的身分治理解決方案中。
• 透過 Singularity™ Marketplace，可在單一 UI 中啟用整合與跨平台安全動作。
• Singularity Identity Detection & Response 透過讓橫向移動變得極為困難，即時遏制網路內威脅行為者與內部人員。
• Singularity™ Hologram 可為 ICS-SCADA 系統、Windows 與 Linux 作業系統、無伺服器與雲端儲存技術、POS 系統、網路路由器與交換器等建立誘餌。 Singularity™ Endpoint 可保護端點、伺服器與行動裝置，並透過全企業範圍的預防與偵測提供卓越可視性。
• Singularity™ Identity Posture Management可找出 Active Directory 和 Entra ID 中的弱點。它透過適用於身分識別提供者 (IdPs) 的 Singularity™ Identity for Identity Providers 提供額外的 AD 攻擊偵測與條件式存取功能，以保護企業身分基礎架構。您可以縮小 AD 攻擊面、持續分析身分暴露情況，並偵測即時 ID 攻擊。了解裝置層級的 AD 攻擊路徑、作業系統問題、惡意網域控制站等。全面涵蓋內部部署 Active Directory、Entra ID 與多雲環境。
• Singularity™ Network Discovery 是一種雲端交付、軟體定義的網路探索解決方案，旨在以最小阻力增加全球可視性與控制能力。Network Discovery 擴展 Sentinel agent 功能，並回報其在網路上所見內容。它可阻擋未經授權的裝置，並可自訂掃描原則。Network Discovery 可揭露具 IP 功能裝置的重要資訊，並在數秒內於您的區域或全球範圍內產生資產清冊。

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

總結

如果您想要全面性的 cloud security，您的企業同時需要 CIEM 與 IAM。兩者缺一不可，而隨著威脅演變，您將需要持續精進您的網路安全策略。透過比較 IAM 與 CIEM 的安全功能，我們了解到兩者各有優缺點。

如果您有興趣了解 SentinelOne 如何協助貴公司的使用者管理，歡迎與我們聯繫，我們很樂意提供協助。我們可以協助您的團隊強化 CIEM 與 IAM 安全性。 預約免費即時示範；您可以親自測試我們的 CIEM 與 IAM 安全功能，並了解我們的平台是否適合您。