什麼是雲端工作負載保護？

隨著組織日益聚焦於以雲端為基礎的架構來支援其業務營運與客戶體驗，安全性與合規性已成為不可妥協的要求。然而，在管理分散式環境以及處理雲端互動的高脆弱性網路方面所面臨的挑戰，使雲端成為網路攻擊極具吸引力的目標。IBM 在其最新報告中也證實了這一點，指出 33% 的雲端導向攻擊源於網路釣魚，而 39% 則源於商務電子郵件入侵 (BEC)。

然而，企業領導者唯有為雲端採取堅實不妥協的安全防護，才能實現其雲端願景，包括獲取生成式 AI 與自動化的效益。在這種情況下，Cloud Workload Protection (CWP) 能提供很大的幫助。

CWP 讓組織具備不僅能承受不斷演變的網路威脅，還能加以對抗的安全層級。對 CWP 缺乏了解，可能意味著讓雲端環境暴露於更大的攻擊面、更高的合規失敗機率，並最終對組織的品牌聲譽造成無法彌補的損害。

因此，在這篇部落格中，我們將協助您全面了解 CWP，從其定義到如何為您的雲端基礎架構成功實作它。

什麼是雲端工作負載保護？

雲端工作負載是位於雲端中的各種實體的統稱，例如應用程式、資料資產、容器等。這些實體可在整個軟體生命週期中支援於雲端上執行的作業。Cloud Workload Protection (CWP) 是一種安全方法，可協助企業在各種雲端環境中保護這些雲端工作負載。

CWP 的目標是確保雲端環境受到持續監控，以便主動偵測、調查並消除任何潛在威脅或偏離既定安全準則的情況。這也讓安全團隊能夠深入掌握雲端基礎架構（無論是多雲、混合雲或其他形式），以確保兼具動態性與可擴充性的 360 度防護。

為什麼雲端工作負載保護很重要？

傳統安全資源遵循所謂的城堡與護城河方法。也就是在需要保護的實體周圍建立一道邊界，使攻擊者無法存取它。然而，對於像雲端這樣去中心化且分散式的環境而言，這種方法可能過於受限。雲端工作負載彼此之間始終在互動，而在其周圍設置「護城河」會拖慢這些互動。

雲端工作負載保護最重要的是貼合雲端基礎架構的動態特性。因此，它非常符合其安全涵蓋需求、可視性細節與可擴充性期望。透過適當的 Cloud Workload Protection Platform (CWPP)，組織可以確保即時威脅偵測與回應，這對於穩定且可靠的雲端效能至關重要。

雲端工作負載保護的關鍵元件

CWP 的藍圖來自其承諾：在貼合雲端分散式特性的同時，主動進行威脅偵測與回應。這使我們得出一系列 CWP 不可或缺的基本元件。

• 可視性：雲端工作負載在各種雲端環境中都具備可視性極為重要，無論是多雲、混合雲或其他雲端基礎架構。實作 CWP 需要適當的方法來深入了解雲端資料、應用程式、VM 等，以支援即時監控與回應策略。

• 弱點管理：適當的安全管理要求安全團隊與管理員具備簡便的方法來識別、分類及排序弱點的優先順序。CWP 需要可靠的弱點管理功能，以確保像是錯誤設定這類弱點能在部署前受到管理。

• 即時防護：現代執行階段威脅對時間極為敏感，延遲回應可能造成重大損害。攻擊者可以迅速橫向移動於彼此互連的工作負載之間，並竊取敏感資料。CWP 必須具備即時防護功能，能警覺地標示雲端工作負載中的任何可疑行為，並在威脅發生時立即回應。

• 微分段：微分段是一種將網路劃分為多個彼此隔離且更易於管理區域的安全方法。雲端工作負載容易遭受未經授權的存取，這可能完全破壞其運作。然而，即使雲端中的某個進入點遭到入侵，微分段也能限制可能造成的損害。因此，它成為 CWP 的另一項必要元件。

• CI/CD 對齊：任何企業級解決方案都需要與持續整合與持續交付 (CI/CD) 管線對齊，以確保軟體生命週期中敏捷且有利於自動化的作業不受干擾。CWP 也需要與 DevOps 工作流程良好整合，才能提供有意義的安全功能。

雲端工作負載面臨的常見威脅

雖然雲端基礎架構的便利性加速了許多現代技術的採用，例如生成式 AI 與超自動化，但它也讓環境（以及因此讓組織）暴露於許多外部與內部威脅之下。這就是為什麼雲端安全市場規模龐大。根據近期市場報告，其價值已超過 370 億美元。以下是一些推動此市場成長，並促使像 CWP 這類安全模型介入的主要威脅。

• 錯誤設定：雲端基礎架構的不當設定或抽象化可能為雲端工作負載帶來許多安全弱點。不適當的存取權限、硬式編碼的機密資訊、設定寬鬆的 API，以及其他此類設定錯誤，實際上等同於邀請威脅行為者加以利用。近期的一個典型例子是對 Capita 資料的網路攻擊，其原因被歸咎於一個暴露的 Amazon S3 bucket。這起勒索軟體攻擊正是資源因過度寬鬆的存取權限而成為攻擊者入口的典型例子。

• 不安全的 API：API 對雲端環境不可或缺，因為它們對通訊有根本性的貢獻。然而，攻擊者可能利用其對雲端工作負載的直接存取來達成惡意目的。對PandaBuy 的網路攻擊（一家電子商務組織）就是因為攻擊者利用了他們所使用其中一個 API 的安全缺陷所致。

• 供應鏈攻擊：攻擊者可以輕易鎖定企業在未檢查某些安全相關細節下可能採用的第三方工具或應用程式。例如，不完善的軟體物料清單 (SBOM) 可能隱藏某些可被惡意行為者利用的相依性。2020 年的 SolarWinds 網路攻擊就是軟體供應鏈因弱點而遭利用的典型例子。

• 內部威脅：內部威脅是一個更廣泛的術語，可能涵蓋此清單中提到的其他威脅，但其根源在於內部存取權限。組織內部的人員可能有意或無意地讓雲端工作負載暴露於安全風險，進而導致具破壞性的攻擊事件。近期的一個例子是新加坡的一起事件，一名憤怒的前員工因報復遭解雇而刪除了關鍵業務資料。該事件是未受控存取權限的典型例子。

保護雲端工作負載的挑戰

我們現在已了解雲端工作負載所面臨的威脅。然而，即使出於最佳意圖，保護雲端工作負載也並非易事。其可擴展性、動態特性，以及由 DevOps 驅動的效能，可能輕易讓安全團隊措手不及。以下是一些使雲端工作負載安全變得複雜的挑戰。

• 共同責任： 雲端環境，尤其是混合雲或多雲環境，通常由多個團隊和實體分別負責不同的作業。這種共同責任從安全角度來看，往往會在問責上留下缺口，使得全面涵蓋雲端工作負載安全的各個面向更具挑戰性。

• 動態工作負載： 應用程式、資料、網路及其他雲端工作負載本身都是動態的。它們必須能靈活因應流量需求、使用者體驗需求，以及效能品質要求。這種動態性使安全團隊難以跟上傳統安全模型。

• 整合挑戰： 在整合不同的安全工具以進行監控、調查和回應時，相容性問題往往會造成阻礙。這使得與雲端安全事件相關的即時偵測與回應更具挑戰性。

• 資源限制： 保護雲端工作負載需要具備技能的團隊、稱職的工具，以及必要的技術。在兼顧已排定優先順序的弱點與內部組織限制的情況下管理這些資源，可能相當具有挑戰性。

• 合規挑戰： 處理雲端通常意味著要管理位於不同地理位置的工作負載，而每個地區都有其監管規範。若安全團隊未能審慎規劃，合規管理可能會相當困難。

雲端工作負載保護的最佳實務

為了實現可靠的雲端工作負載保護，組織需要採用符合即時威脅偵測、主動式安全回應，以及更深入雲端環境可視性的實務。以下是一些可確保達成這些目標的做法：

• 自動化威脅偵測： 雲端環境處理大量資料，無法僅靠人工安全作業來應對。威脅偵測自動化工具可確保關鍵雲端工作負載持續且警覺地受到監控，以發現任何與安全相關的異常，例如不尋常的登入嘗試、大量資料交易、突發性的高網路流量等。
• 以優先順序為基礎的弱點管理： 將弱點排定優先順序，可讓整體安全機制不致過度負荷。弱點可根據其嚴重性、潛在影響、遭利用的可能性等因素來排序。弱點優先排序也有助於為 CWP 策略建立情境脈絡，以推動更客製化的安全工作。
• 堅定不妥協的存取控制： CWP 解決方案必須在存取控制中提供零信任。嚴格的角色型存取與最小權限政策，有助於限制雲端工作負載暴露於惡意嘗試之下。
• 審慎的組態管理： 組態管理需要認知到安全優先事項。用於組態管理的自動化工具必須遵循安全與合規標準，包括資料保護、記錄，以及遵守如 General Data Protection Regulation (GDPR)、Service Organization Controls (SOC) 2 等法規與標準。
• 高可視性： 若無法清楚掌握雲端應用程式、資料、Application Programming Interfaces (APIs)、其他雲端工作負載及其相關活動，任何 CWP 策略實際上都毫無用處。對工作負載具備高度可視性，有助於集中式監控、主動式威脅偵測，以及警覺性的遙測等多項效益。

導入雲端工作負載保護解決方案的效益

CWP 解決方案本質上可強化雲端資源的整體安全態勢。這些解決方案處理雲端工作負載安全的各個面向，以提供以下效益：

• 縮小攻擊面： 它們可減少雲端環境中可能暴露於外部或內部威脅的區域。藉由微分段、存取控制、即時威脅偵測等功能，CWP 解決方案可阻擋任何潛在攻擊。
• 提升可視性： CWP 解決方案可集中呈現雲端工作負載在各種效能與安全層面的可視性。透過集中式儀表板與具情境脈絡的日誌等功能，它們甚至能協助提升對混合雲與多雲等更分散環境的可視性。
• 法規遵循： 有效的 CWP 解決方案具備用於合規檢查與組態稽核的自動化功能。這些工具會持續監控雲端工作負載，以標示可能偏離 GDPR、HIPAA、PCI DSS 等標準的情況。它們也能產生詳細的稽核報告，以支援未來的安全策略。
• 可客製化的安全性： 彈性是任何安全解決方案（包括 CWP）不可或缺的能力。每個組織都有其獨特的安全需求，而這些解決方案可據此協助落實客製化存取控制、特定產業的合規管理，以及符合可擴展性需求的安全措施等要求。
• 資料完整性與機密性： 雲端工作負載保護解決方案透過秘密管理、加密、即時監控等方法來確保資料保護。藉由防止未經授權的存取或竄改關鍵資料，這些解決方案可確保資料在各種雲端工作負載中皆可靠且安全。

使用 CWP 保護多樣化的雲端環境

CWP 解決方案在提供保護的同時，必須能靈活因應不同雲端環境的功能與營運需求。安全措施必須盡可能不對這些雲端環境的效能造成阻礙。

使用 CWP 保護多雲環境

多雲工作負載的保護工具需要符合互通性、集中式監控，以及統一安全回應的需求。

• 集中式安全管理： CWP 解決方案可透過儀表板、記錄、安全報告等集中式安全管理功能來保護多雲環境。這有助於確保各種雲端服務與工作負載之間維持一致的安全態勢。
• 互通性： CWP 解決方案可促進多個雲端環境之間具互通性的安全功能。它們有助於遵循組織所制定的標準化安全政策與互動協定。這也可確保 雲端安全 在這些工作負載上的順利實施，而不會因個別供應商而產生任何問題。
• 跨平台合規： 多雲環境在合規管理上需要額外關注，因為涉及多個雲端供應商。適用於多雲的 CWP 解決方案可協助組織遵循跨雲端平台的不同監管框架。
• 資料保護： 在多雲環境中，資料經常會因各種作業而在雲端平台之間流動。有效的 CWP 解決方案將透過 life secret management、暫時性憑證、加密等保護功能，協助保護敏感資料免於未經授權的存取。

使用 CWP 保護混合雲環境

適用於混合雲環境的 CWP 解決方案必須兼顧內部部署基礎架構與公有雲之間的整合式營運。這種平衡的安全方法可透過以下功能來確保：

• 公有雲安全： 公有雲更容易受到未經授權的存取，因此需要據此採取相應的安全處理。CWP 解決方案有助於為這些雲端工作負載強制執行加密、身分與存取管理 (IAM) 以及持續性弱點評估等安全功能。
• 私有雲安全： 適用於私有雲的 CWP 解決方案可確保內部部署資料中心與專用工作負載受到保護。它們提供存取控制、威脅情報與自動化威脅回應等功能，以保護私有雲環境。
• 整合式安全掃描： 工作負載在公有雲與私有雲之間遷移時，可能會暴露於安全缺口。CWP 解決方案可協助在遷移前與遷移期間掃描這些工作負載中的弱點。容器掃描、IaC 掃描及其他弱點掃描等功能，有助於主動識別混合雲中的威脅。
• 自訂資料保護： CWP 解決方案提供可因應不同業務資料安全需求的彈性功能。無論位於私有雲或公有雲，這些解決方案都可提供資料遮罩、權杖化、法規遵循管理等功能。

如何選擇合適的雲端工作負載保護平台 (CWPP)

選擇合適的雲端工作負載保護平台 (CWPP)需要令人滿意地符合以下要求：即時保護

• 持續監控各雲端工作負載，以即時標記威脅
• 適用於高流量環境的可擴充威脅偵測能力
• 可輕鬆與雲端原生安全工具整合

深度可視性

• 集中式監控與自訂記錄，以實現最大可視性
• 從應用程式層級深入了解各種工作負載的安全狀態
• 可針對任何可疑活動自訂警示
• 深入了解存取模式與身分行為

保護不同的雲端環境

• 多雲保護
• 混合雲保護
• 保護雲端原生工具，包括 Kubernetes、Docker 等
• 支援多樣化的雲端架構

AI 驅動的威脅情報

• 用於威脅偵測的機器學習模型
• 用於主動式安全回應的資料分析能力
• 工作負載行為分析，包括存取嘗試與網路流量

與 DevOps 保持一致

• 與持續整合與持續交付 (CI/CD) 管線整合
• 基礎架構即程式碼 (IaC) 掃描功能
• 容器安全功能
• 自動化弱點掃描

雲端工作負載保護如何與 DevOps 整合

CWP 提供的安全功能需要嵌入整個軟體開發生命週期，以確保軟體解決方案在部署前已修補任何安全問題。這要求 CWP 與DevOps以及進一步的 CI/CD 管線無縫整合。這包括以下內容：

• 與 CI/CD 管線整合： 首先，CWP 解決方案必須與 CI/CD 管線整合，以確保可針對程式碼建置、程式碼測試、程式碼整合以及軟體生命週期的其他面向實施自動化安全檢查。
• 自動化弱點掃描： 為確保 CWP 流程不會干擾 CI/CD 工作流程，弱點掃描必須自動化。持續檢查應用程式程式碼、容器、IaC 範本及其他雲端工作負載，將有助於使安全流程與 DevOps 保持一致。
• 左移安全： 為確保在部署前偵測並修補安全弱點，CWP 必須在軟體生命週期的初始階段導入安全流程。透過提供左移解決方案，CWP 可在建置階段及早偵測不安全的 API、硬式編碼的密鑰或過時的相依性等弱點。
• 部署的執行階段保護： 與 DevOps 一致的雲端工作負載安全也必須確保持續警戒工作負載，以主動消除執行階段安全問題。為避免權限提升或容器逃逸等風險，CWP 解決方案必須提供執行階段保護的安全功能。
• 角色型存取控制 (RBAC)： 雖然自動化安全檢查可以保護 CI/CD 管線，但它們對於防範由 DevOps 團隊造成的任何潛在安全疏漏也同樣必要。因此，若要讓 CWP 真正與 DevOps 整合，其角色型存取控制功能必須限制 DevOps 團隊對關鍵雲端工作負載的存取。

雲端工作負載保護的未來趨勢

截至 2023 年，雲端工作負載保護市場正以 24.4% 的複合年成長率成長，當時其估值預計約為 67 億美元。這表示 CWP 正逐漸成為如 CNAPP、CSPM、XDR 等可靠的雲端安全選項。

此外，CWP 解決方案與 DevOps 的易於整合，也使其成為掌握 DevSecOps 趨勢的可行選擇。憑藉其保護多雲與混合雲環境的能力，CWP 在雲端安全版圖中具備蓬勃發展的實際基礎，同時為 CISO 與其他業務決策者提供可靠的安全功能。

總體而言，憑藉深度可視性、即時威脅偵測與主動式安全回應，CWP 將在軟體安全市場中長期存在。

結論

雲端的動態性對於實現企業領導者對其產品與服務的數位化抱負至關重要。雲端工作負載保護（CWP）透過確保所有容器、資料庫、網路、應用程式及其他此類雲端工作負載皆受到全方位保護，成為這種動態性的守護者。藉由為不同類型的雲端環境（包括混合雲與多雲）提供深度可視性、即時防護與進階威脅情報，CWP 解決方案不僅有助於偵測潛在威脅，還能主動加以回應。

如果您希望有效地為您的安全需求實作 CWP，您首先必須了解自身的雲端基礎架構，評估您的企業可能面臨的威脅，並選擇適合您組織的 CWP 解決方案。同樣重要的是，CWP 必須保留您現有的 DevOps 流程並與其整合。

如果您不確定如何進行這些評估並選擇正確的 CWP 解決方案，您可以選擇像 SentinelOne Singularity Cloud Security 這樣由 AI 驅動的無代理雲端安全解決方案。您可以使用 SentinelOne，不僅協助您實現由 AI 驅動的即時雲端工作負載保護，還能涵蓋雲端安全的其他面向，例如 CSPM、CNAPP、IaC Scanning 等。