什麼是雲端原生安全？

什麼是雲端原生安全？

雲端原生安全是一種整體性的安全策略或實務，將安全性內建於整個軟體開發生命週期（SDLC）中。它可協助開發人員依據雲端原生原則設計安全的產品。雲端原生架構中的每一項設計決策都會被納入考量，其目標是撰寫安全的程式碼。然而，重要的不只是程式編寫，後續的開發、部署、散佈與正式環境中的運作同樣關鍵。雲端原生安全平台很快就會成為每個組織中的核心配置。

雲端原生安全整合了技術、工具、工作流程與實務做法，以因應現代雲端環境日益增長且複雜的需求。而且這些需求每一天都在持續變化，因此這些工具也會不斷演進以跟上變化。實作雲端原生安全應該是任何組織首先要做的事，尤其是在他們於線上共享或協作使用資源時。

這種方法標誌著從為靜態應用程式設計的傳統安全方法，轉向專為雲端短暫性環境量身打造的安全技術；在這種環境中，資源可在極短時間內建立、擴展或刪除。

雲端原生應用程式由各種鬆散連結的資源組成，例如容器、資料庫、微服務、Kubernetes 協調平台、API 與無伺服器架構，單一安全工具無法涵蓋所有這些資源。因此，雲端原生網路安全將廣泛的安全工具整合在一起，包括 CSPM, CWPP，以及 IaC 解決方案，納入單一雲端原生應用程式保護平台 (CNAPP)，以使用雲端原生安全措施保護雲端資源免受威脅。

保護雲端原生軟體將包括以下安全措施：

• 在微服務之間實作安全的 API 閘道
• 定期掃描容器映像檔中的弱點
• 對傳輸中與靜態資料進行加密
• 使用執行階段防護即時偵測並回應威脅

這些措施以及其他更多做法，可因應分散式、容器化架構的獨特安全挑戰，確保應用程式的每個元件都受到保護，同時維持雲端原生設計的靈活性與可擴展性優勢。

雲端原生安全的重要性

隨著企業日益依賴雲端原生應用程式，他們也面臨新的複雜安全疑慮，範圍涵蓋資料竊取與外洩、DDoS 風險等。雲端原生安全將安全性整合至軟體開發流程中，以因應這些風險。 雲端原生安全平台 提供 即時威脅與異常偵測 功能，專為雲端原生基礎架構設計，確保主動且具適應性的安全防護。

它們透過為偵測到的問題提供可執行的建議，加快事件回應速度。當 AI 與 ML 功能整合至這些平台時，便可自動化安全風險預測與回應。

此外，雲端原生安全平台會強制執行嚴格的存取控制政策、保護機密資訊並實施加密，從而確保雲端原生資料安全，防止未經授權的存取與竄改。它們也協助各產業的組織維持對必要法規標準的合規性，包括 GDPR、PCI DSS、DORA 等。

請考慮一家正在轉型至雲端原生電子健康紀錄 (EHR) 系統的醫療機構。在此情境中，雲端原生安全至關重要，原因如下：

• 確保病患資料的機密性與完整性
• 維持對 HIPAA 等法規的合規性
• 防範可能中斷關鍵醫療服務的勒索軟體攻擊
• 讓醫療提供者能夠跨多個地點安全存取

這個範例說明，雲端原生安全不僅關乎資料保護，也關乎確保關鍵服務的持續運作，以及維持客戶與監管機構的信任。

雲端原生安全的關鍵要素

在安全、營運與開發團隊能部署更有效的雲端原生安全解決方案之前，他們首先需要掌握其中涉及的關鍵要素。這些包括：

• 資產盤點與分類：你無法保護看不見的東西。擁有所有資產的準確盤點與適當分類至關重要，才能確保安全團隊可識別整個軟體堆疊中的任何潛在弱點。
• 合規管理：系統必須建置為能持續符合產業與法律法規要求，這點非常重要。這表示要遵循標準組態、安全最佳實務，並使用受信任的登錄來源以維持合規。
• 網路安全：保護資產與網路流量需要分析所有流量流向。此處的目標是確保系統與資訊的機密性、完整性與可用性維持不受影響。
• 身分與存取管理 (IAM) 安全：將雲端存取限制於正確的人員是必要條件。這包括存取治理、特權監控，以及由機器學習驅動的使用者行為分析 (UEBA) 等活動。
• 資料安全：保護儲存資料涉及正確分類資料、防止資料遺失，以及掃描雲端儲存中的惡意軟體。
• 弱點管理：你需要在整個應用程式生命週期中持續關注弱點。這包括持續監控雲端中的所有主機、映像檔與功能。
• 工作負載安全：雲端中的每個工作負載都需要受到保護。這可提升跨工作負載的可視性，且應包含弱點掃描與執行階段安全。
• 自動化調查與回應：理想情況下，您的安全工具應提供自動修復、與您的安全營運中心 (SOC) 整合，並在必要時與第三方工具協同運作。
• 雲端原生事件回應：鑑於雲端的分散式特性，以及因眾多微服務、工作負載和影子 IT 的存在而擴大的攻擊面，雲端原生事件偵測與回應系統將協助您更有效地管理及回應攻擊。

雲端原生安全性的關鍵組成元件

以下是雲端原生安全架構的關鍵組成元件：

CSPM、CWPP、CIEM、CASB

CSPM 是雲端安全態勢管理，這是一種涉及監控、偵測及解決關鍵雲端安全問題、風險與錯誤組態的實務。它可處理在 IaaS、PaaS 和 SaaS 環境中發現的問題。CSPM 可讓您更深入掌握雲端安全狀態，也讓您更容易維持對最新安全標準的合規性。它可與您的 DevSecOps 工作流程整合，以提升整體雲端安全性。

CWPP 是雲端工作負載保護，可保護您的雲端型應用程式與服務，並在執行階段保護工作負載。CWPP 解決方案可用於套用修補程式、修復弱點，以及降低相依性。

CIEM 管理您的雲端權限、身分與許可。它透過強制執行最小權限存取原則來縮小攻擊面。它可用於持續監控及管理機器與人類身分的存取權限。CIEM 有助於建構零信任安全架構，並可因應許多雲端原生安全挑戰。

雲端存取安全代理（CASB）位於您的使用者與雲端應用程式之間。它會監控所有流向 Office 365 或 Salesforce 等 SaaS 平台的資料。CASB 可防止敏感資訊遭到不當分享，並封鎖未經授權的雲端應用程式。它也會強制執行資料外洩防護政策，並根據使用者位置與裝置安全性套用條件式存取。CASB 的進階威脅防護可用於阻止以您的雲端資料為目標的帳戶接管與內部威脅。

機密外洩與 IaC 掃描

雲端原生安全中的機密外洩防護，涉及保護您的 API 金鑰、密碼，並防止意外曝露。您可使用平台來保護敏感憑證，並自動輪替機密，以確保持續安全。您也必須套用加密與嚴格的存取控制，以在整個生命週期中保護機密。

雲端原生安全中的身分與存取管理 (IAM) 涉及管理 IAM 原則。IaC 掃描工具可自動化審查 IaC 範本，並識別您程式碼中的弱點與錯誤組態。它們可在部署前強制執行 IaC 安全原則，並確保這些原則符合最佳 IaC 安全實務。

容器/Kubernetes 與無伺服器保護

Kubernetes 安全性是每個雲端原生安全架構的關鍵組成部分。它可保護您的叢集、Pod、Kubernetes 工作負載、組態和容器。它不僅能提供容器的可視性，還能讓您掌握組態與部署的可視性。您可以了解工作負載如何彼此隔離，以及它們如何相互互動。這不僅限於命名空間，您還能深入掌握網路政策設定的可視性。Kubernetes 安全性也會將 Kubernetes 視為所有安全營運、政策、DevOps 與網站可靠性工程團隊的事實來源。

在無伺服器保護中，我們著重於實作細粒度存取控制，並掃描相依性與組態中的程式碼弱點。我們監控可疑的執行階段行為，並使用如 API 閘道安全性以及跨雲端環境的持續可觀測性等技術。無伺服器保護也包括弱點掃描、組態稽核、資料安全性，以及左移安全。它也是每個 Cloud-Native Application Protection Platform (CNAPP) 的一部分，並保護整個雲端原生生命週期。

API 與微服務安全

雲端原生 API 與微服務安全涵蓋分散式安全、API 保護，以及保護服務間通訊等關鍵面向。去中心化 IAM 解決方案可用於管理對個別微服務的存取並處理互動。這些關鍵元件也包括保護靜態與傳輸中的敏感資料。重點在於記錄、監控，以及向管理分散式微服務環境的團隊產生適當的警示。每個組織都應將這些元件整合到其整個軟體開發生命週期（SDLC）中，從設計到部署與營運。

雲端原生安全的 4C

若要制定有效的雲端原生安全策略，您必須了解雲端原生基礎架構的四個層級——程式碼、容器、叢集和雲端——以及如何保護它們。

1. 程式碼： 程式碼或應用程式層具有最大的攻擊面，且需要最高等級的安全控制。程式碼層的典型安全問題包括不安全的程式碼、不足的風險評估、針對應用程式與伺服器通訊的網路威脅，以及第三方軟體相依性的弱點。

為了將這些安全威脅降到最低，請採用安全編碼實務，並使用靜態程式碼分析（SCA）工具來識別並消除存在弱點的第三方元件。此外，請定期掃描第一方與第三方軟體，以便及早偵測程式碼弱點與軟體供應鏈風險。採用傳輸層安全性（TLS），並限制暴露的 API 端點、連接埠與服務，以防止惡意流量存取您的應用程式。這將可確保對中間人（MITM）、跨網站指令碼（XSS）與跨網站偽造要求（CSRF）攻擊的韌性。

2. 容器： 在此階段，安全的程式碼（也就是說，如果已在程式碼層成功實作安全性）會被容器化。與此層相關的常見弱點包括使用來自未驗證來源的容器映像、薄弱的權限設定，以及上文容器安全中討論的其他問題。可透過掃描容器與主機中的已知弱點，並強制執行 IAM 與最小權限，來處理容器風險。

3. 叢集： 叢集層管理您的容器協調平台狀態。在 Kubernetes 中，叢集安全包括保護控制平面與工作節點及其元件，例如 kube-api-server——主要的 Kubernetes 介面，以及 kubeadm join——負責將節點新增至現有叢集。

常見的叢集安全風險包括錯誤組態叢集、使用預設組態，以及未加密通訊。可透過實作 TLS 來加密 Kubernetes 元件之間的通訊，以提升叢集安全性。此外，請透過 RBAC 強制執行叢集驗證與授權，並實作 Pod 與網路安全原則。

4. 雲端： 雲端層是應用程式執行的位置。由於雲端沒有邊界，因此也是最複雜、最難保護的層級。當您使用雲端服務供應商 (CSP) 設定伺服器時，大部分基礎架構安全責任由供應商承擔。然而，您仍負責設定服務、保護您的資訊，以及管理雲端環境中的安全性。

典型的雲端層安全弱點包括自動化攻擊與錯誤組態。錯誤組態，包括未修改的預設設定或對管理主控台寬鬆的存取控制，都可能遭攻擊者利用。善用安全資訊與事件管理 (SIEM) 和 CSPM tools 內嵌於 CNAPP 中，以自動化偵測您雲端中的弱點。

雲端原生安全策略

近來有幾種雲端原生安全策略受到關注，各自提供不同程度的成效：

• 共同責任模型： 在此模型中，雲端供應商負責保護基礎架構，而客戶則負責保護自己的應用程式、資料與存取。這是大多數現代雲端原生安全策略的基礎。
• 多層式安全： 雲端服務通常由七個層級組成：設施、網路、硬體、OS、中介軟體、應用程式和使用者。多層式安全會監控所有這些層級，以偵測風險並降低弱點。雖然此方法會使用各種工具，例如具雲端感知能力的防火牆與端對端加密，但管理如此多工具可能會變得相當麻煩。
• 與雲端無關的安全平台： 最有效的策略是使用與雲端無關的安全平台。這些平台可提供跨多個生態系的可視性，降低對特定雲端供應商的依賴，並協助負擔過重的安全團隊簡化警示與工具。

實作雲端原生安全

為了保護雲端原生環境，企業必須制定雲端原生安全策略，優先採用安全最佳實務（如下所述），並採取各種策略，包括以下內容：

• 安全設計： 此策略將軟體安全性內建於軟體開發生命週期 (SDLC) 中，而不是事後才補強。這包括僅使用安全的軟體元件、採用安全最佳實務，以及實作 DevSecOps，讓 IT 團隊承擔更多責任，並專注於建構具韌性且無弱點的應用程式。
• 左移安全： 將安全性左移至 SDLC 的前端，意味著從專案一開始就保護應用程式，這代表從應用程式完全建置完成後才執行安全測試的模型轉變。 Shift-left security 通常需要採用 cloud-native security tools，其具備在程式碼交付前掃描應用程式程式碼弱點的能力。此技術可及早發現弱點、改善雲端原生環境的整體安全態勢，並降低修復風險的成本。
• 零信任安全： 此模型假設沒有任何實體——無論來自您的網路內部或外部——是天生可信的。它會驗證每一個使用者與服務的存取請求，並確保即使系統中的某一部分遭到入侵，攻擊也不會導致整個技術堆疊全面崩潰。如此一來，零信任可將攻擊成本降至最低，並提升客戶信任。
• 雲端原生安全工具： 最佳的雲端原生安全工具可提供涵蓋監控、自動化弱點掃描與報告、合規性及治理的全面解決方案。運用這些工具可協助您自動化雲端安全的許多面向，例如日誌分析、弱點掃描、報告，以及合規政策執行。像 SentinelOne 這類 CNAPP 解決方案可提供整體整合的方案，確保具成本效益且具韌性的雲端安全。

雲端原生系統的主要安全疑慮

雲端原生環境帶來多種安全風險：

• 擴大的攻擊面：隨著更多微服務與元件存在，也會出現更多潛在的安全缺口。 attack surface 會隨著元件與組態數量增加而擴大，使攻擊者更容易識別進入系統的切入點。妥善管理並保護這些元件中的每一個，對於降低遭入侵風險至關重要。

• 可調適且短暫的特性：在雲端原生環境中維持一致的安全性，可能因其持續變動的特性而充滿挑戰。就在您以為已經全面完成防護、修正所有錯誤設定、發現並加密所有資料時，一個舊的 pod 及其附帶的儲存體被銷毀、新資料進入您的系統、需要新的儲存設定，而這個循環又一再開始。在這樣的環境中維持一致的安全標準與可視性，可能會成為一大阻礙。

• 錯誤設定： 安全疏失可能源自設定不當的元件。由於雲端原生系統相當複雜，在設定雲端資源、網路安全、存取控制或加密時很容易出錯，進而讓系統暴露於攻擊之下。必須建立適當的組態管理與自動化檢查機制，以降低此風險。

• 供應鏈風險： 由於外部元件中的缺陷，可能會產生安全問題。若這些元件未經充分審查或包含惡意程式碼，便可能引入弱點。供應鏈攻擊是指攻擊者入侵受信任的第三方元件，這可能對整個系統的安全造成毀滅性影響。

不幸的是，解決這些風險並不像單純實作雲端原生安全策略那麼容易。首先，雲端是無邊界的，這意味著與傳統環境不同，您無法只保護預先定義的邊界後就高枕無憂。這也使得完整可視性變得繁瑣；若無法確切了解雲端資源是如何設定的、它們位於何處、資料位於何處、誰正在存取哪些資源，以及他們如何使用這些存取權限，就幾乎不可能保護雲端原生應用程式。這正是採用正確工具與最佳實務發揮作用之處。

雲端原生安全中的 AI 與 ML

MLOps 正在雲端原生時代興起，我們很快就會看到 AI/ML 工作負載在 Kubernetes 與無伺服器架構上的擴展大幅增加。

以下是一些值得關注的未來趨勢與預測：

• 72% 的公司 已將 AI 整合至至少一項業務功能中，而且多數公司正採用 Gen AI 技術。AI 將要求每一層都具備安全性，而雲端原生安全將納入多層式 AI 安全。 47% companies 已經在客製化其現有模型，並且此刻正將 AI 安全納入考量。
• 61% 的企業 認為若未在雲端原生安全中使用 AI 與 ML，便無法偵測新興的入侵嘗試。AI 與 ML 模型可經訓練以偵測模式、惡意行為，並標記潛在威脅。它們可即時分析大量資料，並持續從新資料與歷史資料中學習，以提升既有的偵測與修復能力。
• 用於 MLOps 的 Kubernetes 將成為雲端原生 AI 的基礎。混合式 Kubernetes + 無伺服器方法將帶來低運算成本與隨需效能，從而平衡成本。

效益與 ROI：風險降低、合規、降低誤判

將 AI 驅動的監控整合至您的雲端原生資料倉儲後，您可實現可衡量的安全成本下降。當自動化威脅偵測以 94% 的準確率每秒處理 850,000 個事件時，組織回報每年可削減超過 $3 million annually 的資料外洩相關支出。您將看到政策違規會被即時標記，這可將人工合規檢查減少多達 85%，並將稽核準備速度提升 91%。

若您部署符合 NIST SP 800-57 的加密金鑰管理，將會發現金鑰暴露事件下降 95%。您也將受益於信封式加密與用戶端加密，兩者結合可在資料傳輸期間阻擋 99.9% 的未授權存取嘗試。

當您的系統將強化學習應用於遏制工作流程時，您應可預期誤判會大幅減少。企業可將誤報降低 89%，讓安全團隊能專注處理真正的威脅，而不會淹沒在警示之中。也將有更多能力投入主動式任務：預測分析可在攻擊發生前預防 82% 的攻擊，而可解釋 AI 則提供可滿足 HIPAA、PCI DSS 與 GDPR 架構監管要求的稽核軌跡。

若您將零信任微分段與持續監控結合，將可把入侵影響降低 95%，並將平均偵測時間縮短至一分鐘內。當自動化合規報告將工時減少 76% 時，您還可進一步提升 ROI，並轉化為跨多雲環境的可觀節省。

6 項雲端原生安全最佳實務

為了克服這些挑戰，組織應遵循以下最佳實務：

#1 採用 DevSecOps 文化

與其在軟體部署後才實施安全性，不如將安全性整合至所有 DevOps 流程中。這需要將安全工具整合至 CI/CD 管線，並鼓勵開發、營運與安全團隊之間的協作。採用 DevSecOps 文化可確保您程式碼中的安全弱點在部署前及早被偵測到，從而促進更快速且更安全的軟體發布週期。例如，在具備 DevSecOps 文化的情況下，當開發人員撰寫程式碼並將其提交至 Git Hub 時，系統會自動觸發掃描，以在 CI 流程中發現任何弱點。

#2 實施持續合規

雲端的彈性使資源能夠因應不斷變化的需求而快速變動。由於這些快速變化意味著弱點可能隨時被引入，安全與治理團隊必須持續稽核組態與基礎架構，以確保符合 PCI DSS 與 HIPAA 等安全標準。雲端原生安全工具可協助自動化這些檢查，並即時提醒您的團隊注意政策違規。

#3 使用 AI 與自動化

AI 驅動工具具備機器學習能力，可協助其學習您獨特的業務環境與安全需求。這些工具會持續監控您環境中的變化，以偵測傳統工具可能無法發現的異常與潛在安全威脅。例如，AI 驅動工具可偵測錯誤隔離的資料，這可能導致資料暴露，並自動執行修復措施。

#4 定期更新安全政策

威脅行為者總是在開發新的 TTPs 並尋找新的弱點，因此定期檢視與更新政策以跟上不斷變化的威脅態勢非常重要。例如，您的 Kubernetes 設定可能需要調整網路政策，以因應零時差弱點。

#5 加密敏感資料

對靜態資料與傳輸中資料進行加密，並在祕密管理系統中保護加密金鑰。使用 TLS 與 HTTPS 等安全通訊協定來加密傳輸中的資料。

#6 教育員工

培訓 IT 工程師採用安全優先的思維，讓每個人—Devs、Ops 和安全團隊—都朝著保護雲端原生應用程式的目標努力。

使用 SentinelOne 實現雲端原生安全

SentinelOne 提供多種方案，協助您打造最佳的雲端原生安全：

• Singularity™ Cloud Native Security可提供無縫的無代理程式上線體驗。它專注於重要的警示；可消除誤報，並減少警示疲勞。Singularity™ Cloud Native Security 可協助您掌握最新的漏洞利用與 CVE，並快速判斷您的任何雲端資源是否受到最新弱點的影響。它還搭載獨特的 Offensive Security Engine™，以攻擊者的思維運作，自動化對雲端安全問題的紅隊測試，並提出以證據為基礎的發現。我們稱之為 Verified Exploit Paths™。CNS 不僅僅是繪製攻擊路徑圖，還會找出問題，自動且以良性方式進行探測，並呈現其證據。
• SentinelOne 的 Cloud Security Posture Management (CSPM) 支援在數分鐘內完成無代理部署。您可以輕鬆評估合規性並消除錯誤設定。如果您的目標是建立零信任安全架構，並在所有雲端帳戶中落實最小權限存取原則，那麼 SentinelOne 可以協助您做到這一點。它也支援領先的雲端服務供應商，例如 AWS、Azure、Google Cloud 等。此外，它也是該公司完整 CNAPP 的一部分，可在數分鐘內連接至多雲環境。
• Singularity™ Cloud Workload Security 是排名第 1 的 CWPP。它可保護多雲環境中的伺服器、雲端 VM 和容器。根據業界領先的 MITRE ENGENUITY ATT&CK Evaluation，CNAPP 客戶對 SentinelOne 給予高度評價，而它可提供 100% 偵測率並減少 88% 的雜訊。您可連續 5 年獲得卓越的分析涵蓋範圍且零延遲。SentinelOne 還透過自動化資產探索降低您的雲端攻擊面，並以經驗證的可利用風險讓 Dev、SOC 和 IT 保持一致。
• Singularity™ Cloud Security來自 SentinelOne 的產品是市場上最全面且整合度最高的 CNAPP 解決方案。它提供 SaaS 安全態勢管理，並包含以圖形為基礎的資產清冊、左移安全測試、CI/CD 管線整合、容器與 Kubernetes 安全態勢管理等功能。SentinelOne 的 CNAPP 可管理雲端權限。它可收緊權限並防止機密外洩。您最多可偵測 750+ 種不同類型的機密。Cloud Detection and Response (CDR) 提供完整的鑑識遙測資料。您也可獲得專家的事件回應服務，且其內建預先建置且可自訂的偵測資料庫。它也提供 IaC 掃描，而由 AI 驅動的 CNAPP 可讓您對環境具備 Deep Visibility®。您可主動防禦 AI 驅動的攻擊，並進一步獲得將安全更早左移的能力。

結論

我們已在這篇文章中探討了雲端原生安全的 4 個 C、雲端原生安全工具，以及更多相關內容。到目前為止，您應該已了解在建立或改善雲端原生安全策略時需要留意的事項。先從稽核開始，盤點您的資產，並從那裡逐步推進。與您的團隊和利害關係人溝通，並保持透明。思考您組織的使命、價值觀與長期目標。並在這些考量之下將安全性納入其中。如果您在開始採用雲端原生安全實務、工具或其他任何事項時需要協助，請聯絡 theSentinelOne 團隊。我們很樂意提供協助。