什麼是 CASB（雲端存取安全代理）？
雲端存取安全代理（CASB）是管理雲端安全的關鍵。深入了解 CASB 如何保護敏感資料並確保合規。
雲端存取安全代理（CASB）是保護雲端型應用程式與資料的重要工具。我們的指南將深入探討 CASB，說明其在為雲端服務提供可視性、控制與安全性方面所扮演的角色。
了解 CASB 的主要功能，包括使用者與實體行為分析、資料外洩防護，以及威脅防護。探索 CASB 如何協助您落實安全性原則、偵測並回應威脅，以及在以雲端為核心的環境中確保合規。
解析雲端存取安全代理（CASB）的四大支柱
以下四大支柱定義了 CASB 解決方案的基礎組成要素。這些支柱共同確保 CASB 能正常運作，為企業提供有效且靈活的安全解決方案。
可視性
在受管理與未受管理裝置之間，組織安全團隊的其中一項關鍵關注點是可視性。CASB 讓組織能夠使用並善用當今持續發展的雲端服務，同時也能管控對這些服務內資料與活動的存取。例如，雲端代理服務可提供對已核准產品套件的存取，但僅限於受管理裝置上的使用者。公司因此能夠安全地使用該產品，而不必承擔未受管理裝置也能對使用該產品建立與管理的資料擁有相同存取權限的風險。
採用 CASB 解決方案也能確保組織真正掌握其 雲端支出 的實際情況。CASB 可用於探索所有使用者正在使用的全部雲端服務——這表示團隊能更清楚地界定與分析授權成本、重複項目等資訊，這些不僅是寶貴的財務資訊，同時也是一項安全措施。
合規
法規遵循 已成為當今商業環境中的關鍵課題。雖然有些企業選擇將其系統與資料儲存外包至雲端，但它們仍需對企業資料隱私與安全相關的合規法規與控制措施負責。合規的設計宗旨在於確保企業與使用者資料的安全，如今已成為組織領導者的主要關注重點，尤其是在涉及 雲端 中資料時更是如此。
CASB 可協助安全領導者推動其合規歷程，確保組織走在正確的軌道上，遵循適用於其業務特定產業、地區或客戶群的正確框架控制，包括但不限於 PCI-DSS、GDPR 與 HIPAA。使用 CASB 也能讓安全領導者判斷在合規方面風險最高的領域，並提供更明確的方向，使安全團隊能集中其工作重點與資源。
資料安全
近年來，各種規模與產業的組織都逐漸轉向雲端基礎架構，利用其支援遠端工作團隊、快速擴展營運，以及強化協作的能力。隨著這股趨勢持續發展，如何保護雲端已成為首要問題，因此需要以與資料中心相同的等級來 保護企業雲端 環境。
CASB 是現代技術環境中企業 雲端安全 的關鍵要素。由於它可在組織所有雲端型資產中實施存取管理與 資料外洩防護（DLP），因此能讓安全團隊主動保護雲端，並在疑似威脅出現時迅速採取行動。您可以將 CASB 解決方案視為守門人與協調者，既能支援組織的技術安全需求，也能支援日常業務需求與實務。
威脅防護
雲端環境因其提供的可擴展性與靈活性而廣受歡迎，如今也承載著越來越多敏感且對業務至關重要的資料。能夠偵測並防止未經授權存取雲端服務與資料，是當今安全團隊肩負的重要任務。
當安全團隊持續監控惡意軟體、勒索軟體及其他雲端型威脅的跡象時，他們也需要確保自家員工不會引入受感染的檔案或 錯誤設定。CASB 可協助組織防範這些痛點，確保組織能在遭入侵的第一時間識別問題，並對潛在問題維持即時回應。這是透過彙整並監控組織雲端基礎架構中的典型使用模式來達成。CASB 能識別可能是攻擊早期指標的異常行為，並可經過訓練以辨識惡意活動。
雲端存取安全代理（CASB）如何運作？
CASB 解決方案的運作方式，是檢查所有進出雲端的流量，並能封鎖任何違反組織企業原則，或對其所保護的雲端基礎架構構成潛在安全風險的流量。CASB 會為組織使用的所有雲端服務實施資料保護、威脅預防、存取控制，以及可視性。
這是透過三個主要步驟完成的：
- 探索 – CASB 解決方案使用自動探索來彙整任何第三方服務與應用程式的清單。該解決方案也會彙整這些服務與應用程式的相關使用者，以了解雲端使用的範圍。
- 分類 – 接著，該解決方案會根據其中資料的類型，以及其管理與分享方式，判定與每項服務和應用程式相關的風險等級。
- 修復 – 在判定風險後，該解決方案會設定符合企業需求的原則，讓組織得以滿足其預先制定的安全需求。CASB 可設定為在任何一項這些原則遭違反時發出通知與警示。
該解決方案可以透過 API 整合，以建立其監控進出雲端流量所需的可視性與存取控制；或者，也可以設定為處理來自其他企業雲端解決方案、且會通過組織基礎架構的流量。
CNAPP Market Guide
Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.
企業如何使用雲端存取安全代理（CASB）
隨著現代勞動力對雲端採用率提升，CASB 現已被視為企業安全的關鍵要素，可協助安全領導者管理其所有雲端應用程式與平台中的企業資料，無論資料是在傳輸中還是靜態儲存。
以下是現代組織在其長期安全策略中，逐步採用雲端存取安全代理的三大主要業務原因：
雲端使用控制
雖然 CASB 以能為整個組織提供全面可視性而聞名，但它們也能協助安全團隊以更細緻的層級治理組織的雲端使用情況，根據相關服務、身分、活動、資料及／或應用程式提供更精細的控制。這意味著要擺脫傳統「一體適用」但過於僵化且無法擴展的方法。
透過雲端代理，雲端政策可根據特定風險與服務類別進行定義，讓組織能為每項政策設定相應動作。封鎖、建立警示、略過、加密與隔離等動作，都是 CASB 允許資安團隊與各項政策關聯的客製化動作範例。
資料安全與資料外洩防護 (DLP)
隨著時間推移，資料只會持續不斷地被建立、擷取與使用。根據最新的報告，全球資料量在 2020 年達到 64.2 ZB，預計到 2025 年將攀升至歷史新高的 180 ZB。隨著線上資料量持續增加，CABS 可協助現今的組織識別並補救處理業務關鍵資料所伴隨的所有風險。
CASBs 在支援組織內部的 DLP 計畫方面扮演關鍵角色。它們不僅能保護並防止組織所使用的各項雲端服務中的敏感資料遺失，CASB 解決方案也能保護已核准與未核准雲端服務中的資料，無論使用者是在內部部署環境或遠端、使用行動裝置或透過瀏覽器存取皆然。CASBs 支援加密、權杖化與上傳防護，這些都是 DLP 策略的關鍵面向。
威脅防護與風險管理
隨著雲端技術增加以及現今企業對其使用日益普及，雲端型威脅以及對雲端環境的攻擊案例也隨之攀升。CASB 解決方案能透過偵測雲端應用程式與服務中的異常行為，協助組織對抗惡意軟體與勒索軟體。CASBs 在協助資安團隊縮小受害使用者、未授權應用程式及任何高風險組態的範圍方面至關重要。
由於 CASBs 的設計宗旨是自動偵測並緩解雲端基礎架構的威脅，資安團隊可大幅降低組織雲端攻擊面的風險，並限制攻擊成功的機率。
Shadow IT 管理
這是遠端工作與Bring-Your-Own-Device(BYOD) 與安全團隊正以前所未有的努力來掌握其所保護系統的可視性。透過提供對組織所使用之所有雲端應用程式與服務的可視性，CASB 可協助安全團隊管理所有已核准與未核准的執行個體。這包括能夠發現其組織的雲端應用程式使用程度、報告有多少支出流向雲端，以及持續評估風險，以維持適當且長期的存取政策。
團隊也可以訓練 CASB 解決方案建立所有雲端活動的完整報告，讓企業領導者也能針對安全措施、防禦策略，以及支援性技術解決方案與產品的投資做出明智決策。
實作 Cloud Access Security Brokers (CASBs) 的提示
實作 CASB 意味著必須清楚掌握企業需求，並設定代理機制以最符合組織的特定系統。資安主管可聚焦於以下步驟，以確保順利部署：
- 清楚評估您的數位環境並擬定計畫。 掌握目前已存在的雲端服務與應用程式、涉及哪些雲端型風險，以及符合您企業與產業特定安全與法規遵循需求的邊界為何。
- 選擇適合企業的CASB 解決方案。 為確保適配性良好，企業可執行詳細的概念驗證 (PoC)，或蒐集資安分析師的研究資料。
- 決定 CASB 的部署位置。 CASBs 可部署於內部部署環境或雲端。 Proxy-based CASB 部署位於使用者與 SaaS (Software-as-a-Service) 應用程式之間。可選擇三種部署模型：
- API Control – 這非常適合取得雲端中資料與威脅的可視性。它支援更快速的部署，並提供全面性的安全涵蓋範圍。
- Reverse Proxy – 這非常適合位於網路安全門檻之外的裝置。在此模式中，代理更靠近使用者，由使用者的裝置或網路將流量導向代理。
- Forward Proxy – 這非常適合與 VPN 用戶端或 端點防護搭配運作。在此模式中，代理更靠近雲端服務供應商 (CSP)，由雲端服務將流量導向代理。
- 將 CASB 與企業的雲端服務、使用者目錄及安全政策整合。 參考您產業中任何與分享政策、加密及使用者存取相關的特定控制措施或要求。使用者存取可透過單一登入 (SSO) 與驗證措施加以保護。
- 啟用即時監控與威脅偵測。 隨著業務需求持續演變，定期檢視並審查雲端政策，並與 CASB 密切合作以反映任何變更，至關重要。
See SentinelOne in Action
Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.
結論
隨著雲端採用持續增加，傳統網路安全工具的效果已大幅降低，無法提供對抗影子 IT 所需的涵蓋範圍。雲端存取安全代理透過讓安全團隊重新取得對企業資料的細緻且可擴展控制，同時防止資料遺失與雲端威脅帶來的風險，發揮作用。
CASB 作為組織所有雲端環境進出活動的守護者，提供可視性、安全政策強制執行、資料保護與威脅偵測。它們讓企業能夠有信心地採用全新且創新的雲端技術，同時確保控制能力以及遵循嚴格的法規遵循控管。
CASB 常見問題
CASB 是位於使用者與雲端服務之間的安全把關者。它可部署於地端或雲端，檢查往返 SaaS、PaaS 或 IaaS 平台的流量。CASB 會針對存取、資料保護與威脅防護強制執行政策。它們可探索雲端使用情況、套用控制並產生警示，讓您看見誰在您的雲端應用程式中做了什麼，並在高風險行為造成損害前加以阻止。
隨著雲端應用程式無所不在，IT 往往會失去對資料存放位置以及誰正在接觸資料的可視性。CASB 可協助您找出未經核准的工具，並在所有服務中強制執行存取規則。您可以封鎖敏感檔案上傳、要求多重要素驗證檢查，並發現異常登入。如此一來，您就能控制影子 IT、降低資料外洩，並證明您正在控管雲端風險。
CASB 涵蓋四個關鍵領域：存取控制（例如強制執行 MFA 或封鎖高風險裝置）、資料安全（DLP、加密或權杖化）、威脅防護（惡意軟體掃描與異常偵測），以及法規遵循（稽核記錄與政策報告）。
透過將這些功能與雲端應用程式連結，您可以阻止未經授權的分享、偵測受感染檔案，並向稽核人員證明您的雲端使用符合監管規則。
CASB 可透過 API 連線、將流量重新導向經由 Proxy，或結合兩者的混合模式運作。API 模式會直接與各雲端供應商通訊，以對活動進行對應並對靜態資料套用政策。Proxy 模式會即時攔截使用者流量，讓您能在動作發生前加以封鎖。混合式部署結合兩者，因此您可在不拖慢使用者的情況下，獲得深入洞察與即時強制執行。
以下是 CASB 的四大支柱：
- 可視性： 探索所有雲端服務與使用者活動。
- 法規遵循： 強制執行政策以符合 HIPAA 或 GDPR 等標準，並擷取稽核記錄。
- 威脅防護： 掃描惡意軟體、偵測異常行為，並隔離受感染檔案。
- 資料安全： 對傳輸中與靜態的敏感資料套用 DLP 規則、加密或權杖化。
您可以選擇 API 型、Proxy 型或混合型。API 型會直接連線至雲端服務，以監控及控制儲存的資料。Proxy 型則位於資料路徑中，對即時流量強制執行規則。
混合型結合兩者，使用 API 進行深入報告，並使用 Proxy 進行即時封鎖。請選擇符合您效能需求與涵蓋需求的模型。
組織使用 CASB 來阻止機密資料的檔案分享、對雲端儲存強制執行加密，並對高風險應用程式要求 MFA。它們也會透過發現異常登入來偵測遭入侵的帳戶，並封鎖上傳中的已知惡意軟體。
CASB 也會對所有雲端服務使用情況進行對應，讓團隊能淘汰未經核准的工具，並確保只有經核准的應用程式會處理敏感資訊。
CASB 無法涵蓋每一種利基應用程式，未受支援的服務可能會漏網。Proxy 模式可能增加延遲或需要變更網路。API 模式僅管理儲存的資料，不管理即時工作階段。混合式設定需要更多整合作業。為避免誤判而微調政策需要時間，而且如果使用者覺得控制過於嚴格，可能會嘗試繞過控制。
深入了解 雲端安全
您的雲端安全——30 分鐘內完成全面評估。
與 SentinelOne 專家會面，評估您在多雲環境中的雲端安全態勢，找出雲端資產、錯誤設定、秘密掃描，並透過 Verified Exploit Paths™ 排定風險優先順序。
