什麼是雲端基礎架構安全？

雲端基礎架構安全可協助您保護雲端環境與資料免受網路威脅，例如資料外洩、DDoS 攻擊，以及內部威脅。隨著越來越多現代企業依賴雲端服務，這些威脅也持續增加。

根據 McKinsey & Company 的一份報告，到 2030 年，雲端採用預計將為美國《財星》500 大企業創造 3 兆美元的價值。

想知道原因嗎？當您將 IT 基礎架構移轉至雲端後，便可在任何地方使用雲端資源、輕鬆建立與部署軟體、降低成本，並且毫不費力地擴展資源。然而，雲端系統中的弱點會吸引攻擊者，因此您必須保護雲端基礎架構。

在本文中，您將了解雲端基礎架構安全、其重要性、優勢、挑戰，以及保護雲端資源的最佳實務。

什麼是雲端基礎架構安全？

雲端基礎架構安全是指保護雲端資源的實體與虛擬基礎架構，使其免受網路威脅。它使用各種技術、工具與政策來保護雲端應用程式、資料庫與環境。

雲端基礎架構包含雲端運算所需的所有元件，例如儲存系統、運算能力、硬體、虛擬資源、網路等。您需要所有這些元件，才能在雲端託管應用程式與服務。

實體元件包括伺服器、網路系統及其他雲端資料中心元素。虛擬元件會模擬實體基礎架構元件，例如伺服器、網路交換器、記憶體與儲存空間。雲端基礎架構模型有三種類型：公有、私有或混合。

在雲端基礎架構安全中，您需要同時使用虛擬與實體控制措施，例如安全的資料中心、加密、驗證、威脅偵測與回應。這些控制措施可在弱點一出現時立即偵測並消除。這有助於您防止攻擊或降低其影響。此外，此安全策略可協助您管理存取控制，以阻止未經授權的使用者存取雲端資源。它也有助於災難復原，並在各種雲端環境中維持合規，以促進業務持續營運。

請不要將雲端基礎架構安全與雲端安全混淆。後者著重於保護完整的雲端環境，包括網路、資料、端點與應用程式。另一方面，雲端基礎架構安全則是防護支援雲端的資源與系統。

為什麼雲端基礎架構安全很重要？

雲端並非毫無風險；與地端 IT 基礎架構類似，它也存在會吸引網路攻擊者的弱點。以下是一些原因：

• 由多個應用程式、系統與端點形成的龐大攻擊面可能存在安全漏洞
• 缺乏存取控制，尤其是在公有雲環境中，會為攻擊打開大門
• 儲存在雲端中的敏感資料是駭客尋找的目標
• 多雲部署提高了複雜性

即使是雲端基礎架構中的微小弱點，也可能演變成大型網路攻擊，進而危及您的資料、系統與網路。因此，您可能會讓敏感資料落入攻擊者手中、投入大量成本從攻擊中復原，並失去信任您的客戶與業務夥伴。這就是為什麼隨著時間推移，保護雲端基礎架構變得愈發重要。

透過雲端基礎架構安全，您的組織可免受內部與外部威脅。這可提升業務持續營運能力、展現法規遵循、降低風險、減少不必要的成本，並維護您在業界的聲譽。

雲端基礎架構安全的關鍵元件

雲端基礎架構安全包含許多元件，構成雲端安全策略的基礎。了解每一項元件都很重要，才能保護它們，進而保護您的雲端基礎架構。主要元件包括：

1. 帳戶

當您建立新的雲端服務，或在雲端擴展現有服務時，系統可能會自動建立使用者帳戶或服務帳戶。這些帳戶會附帶預設安全設定，而這些設定可能較弱。

現在，令人擔憂的是，雲端中的使用者帳戶可能具有特定權限，並可存取重要資料與基礎架構。如果您未設定強大的安全控制措施，網路攻擊者就可能入侵這些帳戶。他們可能竊取資料、加密資料並要求勒索軟體贖金、橫向移動至其他系統，並使組織的安全防護徹底崩潰。

2. 網路

雲端系統及相關輔助服務會透過公用網路或虛擬網路彼此通訊。如果您未充分保護連線，攻擊者可能攔截您的通訊以竊取資料，並以惡意軟體滲透您的網路。為了實現安全網路，您當然可以了解並使用雲端網路技術，例如虛擬私人網路 (VPN)、負載平衡器，以及內容傳遞網路 (CDN)。

3. 伺服器

雲端伺服器是在雲端運算環境中執行的虛擬伺服器，讓使用者可從任何地方透過網路存取其資源。不同的雲端部署模型，包括 Software-as-a-Service (SaaS)、Platform-as-a-Service (PaaS) 與 Infrastructure-as-a-Service (IaaS)，都會使用雲端伺服器。

由於可依需求使用，它們具成本效益，且具有高可用性與可擴展性。但由於其承載敏感資料以及涉及第三方供應商，因此也伴隨安全風險。

4. 資料庫

雲端資料庫可能包含敏感資訊，並與雲端系統及應用程式相連。雲端中的不安全資料庫可能成為網路攻擊者滲透您雲端基礎架構的入口點。這就是為什麼您必須以強而有力的措施保護雲端中的資料庫，例如零信任與 IAM。

5. 儲存

在雲端基礎架構中，有一個虛擬化的概念。這項技術會建立實體系統的虛擬版本，例如儲存與作業系統。如此一來，您便可在單一實體電腦中建立多個虛擬機器 (VM)。

透過儲存虛擬化，您可以在需要的地方佈建或解除佈建儲存空間。然而，如果您未採用強大的安全措施，虛擬儲存系統就容易受到安全風險影響。

6. Hypervisor

一個hypervisor、虛擬化程式或虛擬機器監控器，是虛擬化技術中重要的軟體。它可在單一主機或實體電腦上建立並執行多個 VM，為每個 VM 配置作業系統、應用程式和運算資源（CPU、記憶體、儲存空間等）。

然而，如果攻擊者成功入侵您的 hypervisor，他們就能存取其上執行的所有 VM、主機、應用程式和資料。如果您使用私有雲，請部署具備強大安全控制的 hypervisor，並更新與修補您的主機機器。

7. Kubernetes

Kubernetes 或「k8」是管理容器化應用程式、服務和工作負載的開源平台。它可以自動建立新容器、移除容器、擴展應用程式的資源使用量等等。如果現有容器發生故障，它會部署新容器，以協助避免正式環境停機。

Kubernetes 的安全風險源於受感染的容器映像檔、雲端叢集中的錯誤設定、API 中的弱點等。由於其分層結構（程式碼、容器、叢集和網路環境），您無法將 k8 叢集與雲端中的其他層分開看待。對某一層的攻擊會迅速擴散到其他層。為了防範威脅，請採用安全的程式設計實務以防止惡意軟體、掃描容器映像檔中的弱點、修正叢集設定，並保護您的主節點。

雲端基礎架構安全性的常見威脅

您的雲端基礎架構並非不受網路威脅影響。雖然雲端運算在許多方面為您帶來好處，但仍有許多網路威脅籠罩著您的雲端基礎架構，並試圖危害您的組織。

一些常見的雲端基礎架構安全威脅包括：

• 資料外洩： 不安全的雲端基礎架構，或將您的敏感資料暴露在公有雲中，都是攻擊者眼中的可乘之機。如果您未設定強大的存取控制，他們就可能未經授權存取您的資料，將其用於非法目的，並干擾您的營運。

然而，從資料外洩中復原需要大量時間和資源。根據 IBM 的報告，全球平均資料外洩成本（2024 年）高達 488 萬美元。

• API 利用： 攻擊者持續尋找漏洞並加以利用，以獲取個人利益，並對組織或個人造成嚴重破壞。如果您的雲端基礎架構具有脆弱的 API，也同樣會吸引攻擊者。此外，API 及其承載資料中的薄弱安全控制，也是網路攻擊發生的更多原因。
• DOS 和 DDoS 攻擊： 阻斷服務（DoS）和分散式阻斷服務（DDoS）旨在透過大量請求灌爆您的雲端系統，使其不堪負荷。這會讓您的雲端系統對真實使用者無回應或無法使用。因此，您的組織可能面臨較長時間的停機或業務中斷。您將無法及時服務客戶或處理其問題，進而影響他們的體驗。您可能因此失去營收、客戶和業務合作夥伴。

• 惡意內部人員： 您組織中的惡意內部人員，可能是不滿的員工，想為某些事情進行報復；也可能是想為個人利益竊取您敏感資料的人；或是為他人工作的偽裝間諜。無論惡意內部人員的意圖為何，他們都會逐步腐蝕您的組織。他們可能竊取您的機密資料並出售給競爭對手，或將其公開。他們也可能操控您的系統以造成錯誤與營運延遲，或安裝惡意軟體並引來攻擊者入侵您的系統。由於他們原本就已獲准存取您的資產，因此很難偵測到他們。

• 非故意／意外的安全錯誤： 內部威脅可能並非出於惡意動機。不良的安全實務和疏忽可能造成安全漏洞，讓攻擊者得以入侵您的系統。例如，員工可能因點擊可疑連結而意外在其系統中下載惡意軟體、使用容易被猜中的弱密碼，或您的團隊可能正在使用會連接到雲端基礎架構的不安全第三方工具。

• 帳戶遭入侵： 不良的安全實務、憑證填充、暴力破解攻擊等，都是攻擊者可能入侵您雲端帳戶的方式。一旦得逞，他們就能輕易存取您的敏感資料。他們可以利用具有您雲端環境存取權限的第三方系統中的漏洞來存取您的檔案，或誘騙員工洩露機密資料。他們也可能入侵電子郵件帳戶以造成更大危害。

• 影子 IT： 您的員工可能會在資安團隊不知情的情況下，有意或無意地使用雲端服務與應用程式。這些雲端系統可能存在弱點，攻擊者可能會加以利用來攻擊您的雲端基礎架構。這會使您所有雲端資源的安全面臨風險。更糟的是，由於您的資安團隊尚未核准或授權這些雲端系統，因此他們沒有準備好可用來保護這些系統的安全措施。在攻擊者持續危害您的雲端基礎架構的同時，找出根本原因並修補這些問題需要時間。

• 社交工程威脅： 社交工程攻擊，例如網路釣魚，會偽裝成可信來源，誘騙員工洩露機密資料或密碼。如果員工遵從指示，例如點擊連結、下載檔案，或分享 OTP 或密碼，攻擊者就會入侵其帳戶。如此一來，攻擊者便能存取您的雲端基礎架構、竊取資料，並造成各種危害。

多雲與混合環境的雲端基礎架構安全性

許多公司選擇多雲和混合環境，以支援其分散式員工團隊，或在多個地區執行營運。

以下說明如何保護您的混合與多雲環境：

保護公有雲基礎架構

在公有雲中，保護您的基礎架構大多是雲端供應商的責任。他們也會提供工具，協助您保護工作負載、組態等。

• 使用資料加密來保護靜態與傳輸中的敏感資料
• 使用 IAM 政策、零信任存取、多重要素驗證、角色型存取控制和安全 VPN 來設定嚴格的存取控制
• 檢視並調整 GDPR、HIPAA、PCI DSS 等合規要求，尤其是當您屬於高度受監管的產業時，例如醫療保健和金融業
• 檢視第三方工具的安全性，並替換安全性較低的工具

保護私有雲基礎架構

私有雲因未公開暴露而更安全。組織會在其資料中心部署私有雲，這表示保護雲端及其基礎架構是組織本身的責任。以下說明如何做到這一點：

• 投資資料中心設施的實體安全，例如監控、存取權限和場域守衛
• 隔離並分割您的網路，以防止惡意流量、資料外洩及其他試圖入侵關鍵應用程式的威脅
• 使用 IAM、最小權限存取和零信任來強化關鍵雲端資源與特權帳戶的存取控制，以防止內部威脅
• 隔離 VM、主機作業系統和雲端容器，以在攻擊者入侵某個元件時阻止其橫向移動
• 持續監控您的私有雲，以視覺化並控制基礎架構，並發現可疑行為
• 稽核並評估您的私有雲基礎架構，以偵測並消除漏洞、錯誤組態和程式錯誤

保護混合雲基礎架構

混合雲結合公有雲、私有雲和地端資料中心。因此，保護混合基礎架構是雲端供應商與客戶雙方的責任。請考慮以下事項以盡到您的責任：

• 同時使用傳統與進階安全實務來保護您的實體資料中心以及雲端
• 加密公有雲與私有雲元件之間的連線，以防範攻擊者
• 在所有環境中保持一致的安全政策，例如加密標準、通訊協定等。
• 遵循適用於您營運地區或資料所在區域的法律與法規

雲端基礎架構安全的優勢

保護您的雲端基礎架構有許多好處。您可以保護資料、避免不符合法規的風險，並改善組織的安全態勢。

更不用說，雲端基礎架構安全還能讓您避免在災難性網路攻擊後付出高昂的修復成本。讓我們來了解雲端基礎架構安全的優勢：

• 資料保護： 透過在雲端基礎架構中使用資料加密、存取控制及其他安全機制，您可以保護敏感資料免於未經授權的存取、暴露、內部威脅及其他攻擊。
• 法規遵循：透過使用適當控制措施來保護雲端中的客戶與業務資料，您可向資料法規遵循主管機關與標準證明您的遵循情況，例如 HIPAA、GDPR 等。
• 節省成本： 平均而言，與未使用安全自動化與 AI 來防範網路威脅的組織相比，採用這些技術的組織可節省 222 萬美元。因此，雲端安全可協助您在高昂的修復成本與攻擊後復原方面節省大量資金。
• 更強大的雲端安全態勢：使用雲端安全措施與解決方案，例如 MFA、IAM 等，可讓您強化組織的雲端安全態勢，並提升其抵禦攻擊的韌性。您可以輕鬆偵測、排定優先順序並回應攻擊，同時降低影響。
• 可擴充性：當您知道雲端基礎架構穩固可靠時，便能有信心快速擴展組織，而無須擔心安全問題。您將能根據需求擴展雲端部署，充分發揮其效益，並推動業務成長。

雲端基礎架構安全挑戰

在雲端運算中運用基礎架構安全，能為各產業各種規模的組織帶來許多好處，但您也可能會遇到某些挑戰與問題：

• 安全控制不足： 雲端基礎架構中的薄弱安全措施，例如弱加密、過多權限、缺乏驗證機制等，會讓攻擊者得以入侵您的系統並竊取資料。

• 脆弱的第三方系統： 您的雲端基礎架構可能包含第三方供應商提供的元件。由於您無法控制其安全性，因此即使這些系統存在弱點，您也不會知道。更糟的是，如果攻擊者在修補前搶先利用這些弱點，它們可能演變成網路威脅。

• 錯誤設定：錯誤的雲端設定會讓攻擊者更容易破壞並利用安全態勢。因此，可能發生資料外洩、暴露、竄改及其他損害，突顯 IaC 安全的重要性。
• 可視性不足：由於服務供應商完全控制雲端基礎架構，組織通常缺乏對其雲端基礎架構的可視性。這表示使用雲端的組織難以識別並保護其雲端資源與資料，或追蹤使用者活動。因此，偵測內部威脅與資料外洩會變得具有挑戰性。
• 複雜環境：保護混合雲與多雲環境相當困難，因為其中涉及許多元件，涵蓋內部部署與雲端。因此，在不同環境中管理安全控制與法規遵循標準並不容易。

保護雲端基礎架構的最佳實務

無論您的網路安全措施多麼強大，都永遠不嫌多。這就是為什麼您應該盡可能採用更多安全措施與最佳實務，以持續防範威脅。

請考慮以下最佳實務，以保護您的雲端基礎架構免受威脅：

• 投資雲端網路安全： 為了保護您的雲端網路，您可以使用 VPN、CDN 和負載平衡器。
  • VPN 是雲端中的隔離環境，可為您的連線提供更佳隱私，並在您正確設定時協助防止弱點。
  • A CDN 是一種雲端型伺服器，可將內容分發到各個位置。它會在終端使用者附近快取內容，讓他們能更快速且安全地存取雲端資源，同時降低成本。
  • 使用可在多部伺服器之間分配或「平衡」網路流量的負載平衡器，以提升效率，並防範 DDoS 攻擊、資料外洩及其他威脅。
• 保護您的雲端帳戶： 為了保護您在雲端中的使用者帳戶，請使用強大的存取機制，例如身分與存取管理 (IAM)、零信任和 CIEM 安全。
  • 設定政策，讓只有具備適當權限層級的正確人員才能存取您的雲端資源
  • 在授予存取權限之前，要求使用者驗證其身分
  • 使用監控與威脅偵測工具也能協助您保護雲端帳戶
• 使用資料庫安全措施： 透過實施零信任政策來控制雲端資料庫的存取權限，角色型存取控制 (RBAC)，以及最低權限存取。
  • 避免將您的資料庫暴露於公用網路，並封鎖來自非必要應用程式的連線。
  • 使您的資料庫安全設定符合您所屬產業的合規要求。
  • 限制未知裝置連線至您的網路並存取您的資料庫，只允許安全的裝置。
• 最佳化並控制雲端儲存： 為了保護您的虛擬儲存系統，請根據資料的敏感程度進行分類，並使用自動化工具據此實施存取控制。維護所有使用雲端儲存的應用程式、使用者與系統清單，並移除不必要的項目以最佳化儲存。
• 留意看似可疑或未經授權的資料存取、傳輸與修改。雲端式資料外洩防護（DLP）工具可協助您做到這一點。
• 控制誰可以存取哪些資料，以及可存取到何種層級
• 刪除您不再需要，或已過時、不相關或有問題的資料。這將有助於釋放空間、降低雲端成本，並減少安全與合規風險。
• 保護您的雲端伺服器： 如果您使用雲端伺服器，您必須保護它們免受威脅，以防威脅進一步影響儲存在這些伺服器上的雲端資源。
  • 加密您的通訊，以防止攔截與中間人攻擊
  • 避免使用不安全的通訊協定，例如 FTP 或 Telnet。請改用 HTTPS 或 SFTP。
  • 確保您的雲端伺服器僅與安全的 IP、網路及其運作所需的對象連線
  • 控制帳戶權限，使其僅能存取其工作角色所需的資料
  • 使用 SSH 金鑰安全存取雲端伺服器，而非使用攻擊者可破解的密碼
• 管理合規： 資料保護法律與監管機構（例如 HIPAA、GDPR 和 PCI DSS）要求組織遵循其規範。不合規可能使您付出高額罰款與處罰。因此，您必須持續追蹤並管理企業營運所在地區的合規要求。
• 追蹤要求變更以維持合規
• 定期監控並檢視您的安全與資料保護措施，並加以調整
• 使用合規管理工具，自動化追蹤與管理要求的流程
• 培訓您的員工： 在整個組織內投資員工培訓，讓他們了解保護雲端的重要性。
• • 讓他們了解最新的網路安全趨勢與威脅，以及如何防範這些威脅
  • 教導他們安全最佳實務，以避免網路釣魚攻擊、資料外洩與竊取
  • 為您的安全團隊配備進階雲端安全工具，並提供其使用指引

雲端基礎架構安全漏洞的真實案例

• Kaseya：在 2021 年，一場勒索軟體攻擊鎖定使用 Kaseya 虛擬系統管理員（VSA）的 MSP。這場大規模網路攻擊由名為 REvil 的勒索軟體組織發動。它利用了系統中的多項弱點，例如零時差漏洞。攻擊者加密了超過 1,000 家公司的資料，並要求 7,000 萬美元贖金。該公司警告 MSP 在另行通知前停止使用該工具，並向他們提供 VSA 偵測解決方案，以找出並修補弱點。

• Cognyte：一名研究人員發現，未受保護的資料庫上發生的一系列安全事件，導致約 50 億筆記錄在線上曝光。根據報導，這個資料庫由網路安全分析公司 Cognyte 營運。該公司誤將其雲端資料庫置於未受保護狀態，進而導致攻擊發生，並使資料在無需任何驗證的情況下即可被存取。資料包含電子郵件地址、密碼、姓名等。多虧這名向 Cognyte 發出警示的研究人員，該公司才能處理此威脅並保護資料。

• Capital One：美國銀行 Capital One 在 2019 年發生資料外洩。攻擊者未經授權存取了該銀行信用卡客戶以及申請其信用卡服務者的機密資料。此次攻擊導致美國約 1 億筆紀錄與加拿大 600 萬筆紀錄外洩。事件發生的原因是 Capital One 雲端基礎架構中的弱點遭攻擊者利用而入侵。據報導，該銀行已開始修復此問題並與監管機構合作。

使用 SentinelOne 保護雲端基礎架構安全

SentinelOne 是領先的雲端安全解決方案供應商，可協助您保護雲端基礎架構與資源。它提供 Singularity Cloud Security，這是一個全面的 CNAPP 平台，可即時保護您的整體雲端基礎架構免受網路安全威脅。

以下是該平台提供的一些值得注意的功能：

• 識別未知的雲端部署與合規問題
• 找出並消除雲端錯誤設定
• 快速回應威脅
• 掃描 CI/CD 管線與儲存庫中的弱點
• 提供 AI 驅動的威脅情報與防護
• 執行機密掃描並提供完整的鑑識遙測
• 提供低程式碼／無程式碼的超自動化，以加速修復

結論

雲端基礎架構安全是保護您的雲端資源與環境免受資料外洩、內部威脅及其他網路攻擊的絕佳方式。因此，您必須使用強大的安全控制措施，例如 IAM、零信任、驗證機制與加密，來保護您的雲端資源。

如果您正在尋找一套全面的一體化工具，以保護您的雲端基礎架構免受威脅，SentinelOne 的 Singularity Cloud Security 是絕佳的選擇。它具備進階功能，可識別安全漏洞與威脅，透過 AI 驅動的威脅情報加以回應，並以超自動化為您節省時間。 申請免費示範 以開始使用。