雲端安全迷思與事實：12 大迷思

自從十五年前雲端成為託管基礎架構的實用選擇以來，對雲端安全的誤解一直主導著 IT 產業。關於 雲端安全迷思，存在許多爭論，內容涉及在維持安全性與法規遵循的同時，是否適合在雲端託管服務。 

自那些早期以來，IT 領域與雲端都已發生了翻天覆地的變化，而雲端運算模型的實用性與優勢如今也已被廣泛接受。 

儘管雲端已經改變，雲端安全迷思 仍持續流傳，尤其是與雲端安全相關的迷思。先前版本的雲端安全迷思過於悲觀。如今，它們同樣傾向於對雲端合規與安全抱持過度樂觀的看法。

什麼是雲端安全？

雲端安全 是一套用於保護組織免受外部與內部威脅的程序與工具。隨著企業擁抱數位轉型，並將雲端型工具與服務納入其基礎架構，強大的雲端安全變得至關重要。這有助於保護敏感資料、應用程式與資源免受潛在風險影響，從而確保組織營運與資料管理擁有安全可靠的雲端運算環境。

由於數位世界變化迅速，安全風險已變得更加複雜，對雲端運算公司而言尤其如此。組織對其資料在雲端上如何被存取與傳輸，往往幾乎沒有控制權。若未積極提升雲端安全，企業在處理客戶資訊時，將在治理與法規遵循方面面臨大量風險。 

雲端安全迷思與事實有哪些？

以下是一些雲端安全迷思：

迷思 1：更多安全工具代表更好的安全性

人們通常傾向抱持 雲端安全迷思，認為擁有更多工具會提升雲端安全。

相反地，擁有更多安全工具並不會自動提升安全性。Oracle 與 KPMG 的《Cloud Threat Report 2020》指出，在受訪者中，有 70% 認為保護公有雲環境需要過多技術。平均而言，每家都採用了超過 100 種不同的安全控制。多家安全供應商、各式不同解決方案，以及封鎖各種攻擊管道，反而會造成缺口。而這些漏洞會讓攻擊者獲得可乘之機。

過多的安全選項，加上複雜的雲端基礎架構與彼此不協作的解決方案，會導致缺乏共享情報與高風險的設計。

若要彌補這些缺口，實作可簡化雲端安全管理並協助掌握安全控制的工具與資源至關重要。

迷思 2：只有 CSP 需要對安全負責

最大的雲端安全迷思之一，就是認為雲端供應商對安全負有全部責任。

根據廣為人知的「共同責任模型」，作為雲端客戶，終端使用者組織仍需保護其上傳至服務中的資料。由於您的責任會依所使用的服務而有所不同，因此在保護雲端原生基礎架構時，確切了解您的責任範圍至關重要。

組織未能實施多數可用於保護雲端資料的多種方法。

迷思 3：成功的資料外洩是複雜攻擊造成的結果

認為 雲端安全迷思 中的資料外洩是由複雜攻擊造成，這種說法並不正確。雖然確實存在高度複雜的攻擊者，但大多數成功的攻擊不一定是其日益精密所導致。絕大多數攻擊是由終端使用者錯誤與設定不當所造成。

迷思 4：雲端可視性簡單又容易

另一個雲端安全迷思是，雲端可視性簡單又容易。由於您付費使用雲端資源，因此必須充分掌握所有相關細節，例如您擁有多少帳戶、設計人員是否已發布任何新功能、是否已正確設定、存在哪些弱點等等。

不幸的是，追蹤所有這些資訊遠比大多數人想像的更困難。如果您看不到資源應有的行為方式，就無法發現其行為偏差。若沒有集中式儀表板，將極難及時識別威脅並做出回應。

迷思 5：使用雲端安全服務即可確保合規

我們今天要討論的另一個雲端安全迷思是，只要使用雲端安全服務就能確保合規。許多雲端服務供應商都宣稱其產品符合資訊安全法規。

例如，Amazon 的 S3 儲存服務已獲得符合 SOC、PCI DSS、HIPAA 及其他法規要求的認證。不過，這代表什麼呢？這並不表示以 S3 為基礎的資料儲存系統會自動符合這些標準。由於 S3 本身符合 PCI 規範，因此可作為符合 PCI 規範系統的一個元件，但前提是必須進行適當設定。任何建置於 S3 之上的系統都可能因為簡單的設定錯誤而變成不符合規範，而確保這種情況不會發生是使用者的責任。

好消息是，如果您使用 SentinelOne 的雲端安全工具，它可以協助您達成合規。

迷思 6：您不需要進行雲端安全稽核。

CSPM 與弱點管理或掃描能力，實際上是一種雲端安全稽核。但這些還不夠，且會遺漏其他領域。若要取得更廣泛的脈絡，您必須實施最佳雲端安全實務。領先的雲端安全工具與平台可提供有效執行全面稽核的能力。您必須從整體角度看待安全稽核，而不只是考慮 弱點管理 或合規。雲端安全工具與技術所處理的領域或要素各不相同。因此，為了獲得最佳結果，將頂尖安全解決方案與最佳安全措施及實務結合非常重要。

迷思 7：無伺服器函數與容器天生更安全

雲端安全迷思 中認為無伺服器函數與容器本質上更安全，這是錯誤的。容器與無伺服器函數的短暫特性，以及其生命週期通常較短的傾向，確實能提升安全性。攻擊者會更難在您的系統中建立持續性的存在。

雖然這個說法基本上正確，但使用來自多個來源的事件式觸發器，會讓攻擊者接觸到更多目標與攻擊選項。這些雲端原生技術若設定得當，確實可以提升安全性，但前提是必須正確實作。

迷思 8：雲端通常更安全

這一項在 雲端安全迷思 更像是一則似是而非的說法——結合了一些事實與一些虛構成分。

一般而言，雲端供應商在伺服器修補等作業上更可靠。將這些事情交由他們處理是合理的，而且雲端服務供應商也確實享有高度信任。 

然而，要在多個雲端環境中全面做好防護，涉及許多步驟，包括身分管理、存取安全與例行稽核。隨著工作負載日益分散於多個公有雲與私有雲，風險方面缺乏更完整的端對端脈絡。不一致的補救措施所帶來、無可避免的安全缺陷，只會讓這些問題更加惡化。

迷思 9：犯罪分子會避免將雲端作為攻擊目標

網路犯罪分子之所以鎖定雲端，是因為：

• 這是一項新技術，因此存在安全缺口。雲端在設計上或預設情況下都不是安全的。
• 雲端基礎架構可能變得愈來愈複雜。組織會擴展或縮減規模，也可能租用或移除新的或既有的雲端服務。雲端的互連特性再加上組織的規模，使其更容易受到攻擊。
• 攻擊者未必在乎攻擊面本身。他們在乎的是自己的任務。他們尋求濫用客戶的資源、取得敏感資料，並間接（或直接）操控對方交出機密資訊。而到了 2025 年，這種情況很可能會愈來愈常見，無論是在公有雲還是私有雲中。

迷思 10：企業正在離開公有雲

關於工作負載正從雲端回流的這類雲端安全迷思，主要是由那些若此事為真便能從中獲利的傳統供應商所編造。事實上，大多數企業並未將雲端工作負載遷回。大部分遷回案例來自 SaaS、主機代管與外包服務，而非雲端基礎架構（IaaS）。

這並不表示所有雲端遷移都會成功。企業更傾向於在問題出現時加以處理，而不是放棄其雲端策略並將應用程式遷回原始位置。

CNAPP Buyer’s Guide

Learn everything you need to know about finding the right Cloud-Native Application Protection Platform for your organization.

Read Guide

迷思 11：要夠好，就必須是雲端。

Cloud-washing，也就是把不是雲端的東西稱為雲端，可能是無心之過，也是合理混淆所造成的結果。但為了募資、提升銷售，以及滿足定義不清的雲端期望與目標，IT 公司與供應商會將各式各樣的產品稱為「雲端」。這導致了一種雲端安全迷思：IT 服務或產品必須位於雲端中才會有效。

不要依賴 cloud-washing，應該如實稱呼事物本身。虛擬化與自動化只是眾多可獨立存在能力中的兩個例子。

迷思 12：所有事情都應該在雲端完成

在某些使用情境中，雲端確實非常適合，包括高度變動或不可預測的工作負載，或是自助式佈建至關重要的情況。然而，並非所有工作負載與應用程式都適合雲端。例如，遷移舊有程式通常不是很好的使用情境，除非能夠產生可證明的成本效益。

並非所有工作負載都能從雲端同等受益。在適當情況下，不要害怕提出非雲端替代方案。

迷思 13：雲端外洩事件總是始於雲端漏洞

雲端外洩事件總是始於雲端漏洞，這是一種常見的誤解。事實上，多數重大外洩事件並非起始於雲端本身。相反地，攻擊通常始於遭入侵的端點、遭竊的身分，或外洩的機密資訊，而不論資源託管於何處。備受矚目的事件持續登上新聞頭條，原因並非雲端基礎架構存在固有缺陷，而是攻擊者利用混合環境、端點與身分中的數位安全缺口。傳統安全工具可能會遺漏這些威脅，讓即使是微小的弱點也可能成為惡意行為者的入侵點。有效的雲端安全不僅需要保護雲端工作負載，還必須保護整體環境。這將能在攻擊無論從何處開始時加以阻止，並提供可因應威脅於任何出現位置而調整的統一、自動化防禦。

迷思 14：與地端基礎架構相比，雲端較不安全

這些雲端安全迷思主要是認知問題，因為公有雲中的安全外洩事件其實非常少——大多數外洩事件仍然涉及地端環境。

任何 IT 系統的安全程度，都取決於為維持其安全所部署的防護措施。由於這關乎其核心業務，雲端服務公司可能更容易投資於強健的安全機制，打造更完善的基礎架構。

迷思 15：多租戶（公有）雲端比單租戶（私有）雲端更不安全

這個雲端安全迷思聽起來很合理：由單一專屬租戶組織使用的環境，比由多個組織共用的環境更安全。

然而，情況並不總是如此。正如一篇 CIO 關於雲端安全迷思的文章所述，多租戶系統「提供額外一層內容保護……就像公寓大樓中的住戶使用一把鑰匙進入大樓，再用另一把鑰匙進入各自的公寓，多租戶系統獨特地同時需要周界與『公寓層級』的安全防護」，這使得外部駭客更難存取您的系統。

為何選擇 SentinelOne 作為雲端安全方案？

當今的雲端環境需要統一且由 AI 驅動的安全方法，而 SentinelOne 的 Singularity™ Cloud Security 以其 AI 驅動的無代理 CNAPP 迎戰挑戰。  這是一個單一平台，可為您的整體環境提供深入可視性——容器、Kubernetes、VM 和無伺服器工作負載——讓安全團隊能夠即時偵測並消除威脅。透過無代理 CSPM，您可以在幾分鐘內完成部署、消除錯誤設定，並確保多雲合規性；而 AI-SPM 則可讓您探索 AI 管線、模型，並透過進階組態檢查和 Verified Exploit Paths™ 評估 AI 服務。但這還只是開始。

• CWPP 可在任何雲端或地端環境中提供主動式 AI 驅動防禦，而 CDR 則提供細緻的鑑識遙測與可自訂偵測，以利快速遏制與專業的 事件回應服務. CIEM 讓您能夠收緊權限並防止機密外洩，EASM 可發掘未知資產並自動化外部攻擊面管理，而 Graph Explorer 則可跨您的雲端、端點與身分資產，以視覺化方式關聯警示，讓您一眼評估威脅影響。透過與 CI/CD 管線無縫整合，SentinelOne 可在早期落實左移安全。它透過 1,000 多個開箱即用與自訂規則持續監控並偵測威脅。KSPM 可為容器化與 Kubernetes 環境確保持續防護與合規性。
• SentinelOne 採用無程式碼超自動化，內建 AI 安全分析師，並提供世界級威脅情報。
• 單一平台。涵蓋所有攻擊面。沒有盲點。零誤判。

Take A Tour

AI-powered cloud workload protection (CWPP) for servers, VMs, and containers, that detects and stops runtime threats in real time.

結論

負責雲端運算安全的組織領導者，必須了解圍繞雲端運算安全的常見誤解。能夠區分事實與 Cloud Security Myths 的人，將能從雲端運算中獲得更多效益，並利用它以安全且永續的方式推動業務發展並協助客戶。

採用雲端技術的企業必須建立適當的安全解決方案，以防禦雲端風險，並協助保護整體雲端攻擊面、資料與資產。