什麼是 CIEM（雲端基礎架構權限管理）？
雲端基礎架構權限管理（CIEM）對於將風險降至最低至關重要。了解 CIEM 如何強化您的雲端安全策略。
雲端基礎架構權限管理（CIEM）是雲端安全的關鍵組成部分。我們的指南深入探討 CIEM 的複雜性，說明其在管理與控制使用者對雲端資源存取方面所扮演的角色。了解 CIEM 的主要功能、其在降低資料外洩與未經授權存取風險方面的優勢，以及它如何融入整體性的雲端安全策略。透過我們對 CIEM 的專業見解，掌握先機並確保您的雲端基礎架構安全。
為什麼 CIEM 很有價值
大約 10% 的所有資安事件外洩屬於以身分為導向的勒索軟體攻擊，在這類攻擊中，惡意行為者使用簡單且有效的憑證存取網路，然後在未被偵測的情況下擴大其在網路中的存取權限。
2024 年，UnitedHealthcare 發生了史上最大規模的敏感個人資料外洩事件之一，可能影響全美三分之一的人口。在此案例中，攻擊者使用遭入侵的憑證取得遠端桌面的存取權，存取大量原本經過加密的檔案，然後在網路內部部署勒索軟體。
CIEM 透過提供身分管理、存取控制、持續監控與進階分析，從集中式資源落實零信任網路安全原則，藉此防範這類攻擊。
CIEM 的運作方式
在大量雲端環境組成的龐大組合中管理權限並落實授權，可能極為複雜。CIEM 工具透過以下核心能力，集中管理使用者權限並監控外洩事件。
使用者探索與驗證
管理使用者權限的第一步，是準確識別使用者。CIEM 解決方案可提供對組織多個雲端網路中所有使用者的洞察，無論其為內部、外部、人類、非人類或應用程式。
CIEM 解決方案也要求所有使用者都必須通過驗證，若未通過，則會將這些使用者自雲端環境中移除。驗證使用者有幾種常見方式，例如簡單的使用者名稱與密碼驗證，或更複雜的多重要素驗證（MFA）機制。
治理與權限管理
一旦使用者通過驗證，CIEM 解決方案便會使用進階分析來追蹤使用者權限與授權，識別潛在風險並蒐集資訊，以作為安全政策制定的依據。機器學習可用於稽核使用者授權，以判斷其是否未使用、過度使用或使用得當，並將其與預先定義的安全治理架構與存取控制進行比較。
例如，某跨國企業可能設有特定限制，防止特定國家或特定職務角色的使用者存取某些資源。CIEM 解決方案可評估多個雲端環境中的使用者授權並提供授權可視性，讓組織掌握其使用者狀況，以便依據其治理架構進行管理。
落實最小權限存取模型
CIEM 解決方案的一項常見特性，是能夠在其雲端基礎架構與資源中建立並落實政策，且通常符合最小權限原則（PoLP）安全模型。安全強制執行與 PoLP 模型旨在根據使用者的存取政策，限制甚至完全限制其對資源的權限。就功能而言，這可透過將過多權限降至最低來降低企業遭受攻擊的風險。
以具有國家或角色限制的跨國企業為例，CIEM 工具可強制執行安全政策，例如讓某些使用者僅能對特定資源進行唯讀存取，同時維持其他使用者的寫入權限。例如，面向客戶的支援專員很可能不應擁有軟體部署基礎架構的存取權。CIEM 工具可用於識別這些權限不一致情況並強制施加限制。這對於維持合規性特別有利。
在發生以身分為基礎的外洩事件時，PoLP 模型會大幅限制攻擊者存取或變更關鍵資源的能力。CIEM 工具會將其存取權限制在公司網路資源中的一小部分，僅限於其所使用之單一使用者的憑證範圍內。
持續監控與回應
組織內的雲端授權會持續變動，因為使用者可能確實需要額外的資源存取權，或應用程式的存取權已被編輯。CIEM 解決方案利用機器學習等進階分析技術，隨時間建立企業授權活動的基準，通常稱為使用者與實體行為分析（UEBA）。
UEBA 可用於即時監控與偵測行為異常、潛在威脅及安全事件。在大多數 CIEM 解決方案中，都提供集中式 UEBA 儀表板，以進行持續監控與威脅通知，甚至提供威脅回應措施。
例如，CIEM 系統可能偵測到前述支援專員正試圖存取其先前從未存取過的資源，而且發生在其通常不活躍的時段。接著，CIEM 工具可限制該使用者的所有存取權，直到進一步審查其行為，以判定其有效性或威脅程度。
CNAPP Market Guide
Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.
IAM 與 CIEM 有何不同？
雖然兩者在根本上相似，身分與存取管理（IAM）與 CIEM 仍有明顯差異。IAM 著重於管理整個組織 IT 基礎架構中的使用者身分、驗證與存取控制。另一方面，CIEM 是 IAM 的一種專門化實例，專門處理跨多個雲端服務的使用者身分與授權管理。IAM 的安全原則涵蓋地端與雲端環境的存取，而 CIEM 則聚焦於雲端運算與多雲環境。
PAM 與 CIEM 有何不同？
特權存取管理（PAM）也與 CIEM 不同。PAM 是用於管理管理員帳戶、超級使用者及其他通常與內部 IT 資源相關之高權限帳戶存取的方法論。PAM 與 IAM 方法論相似，都是廣泛的概念，可管理所有 IT 系統與基礎架構中的特權存取，包括地端與雲端環境，而 CIEM 則狹義地專注於管理雲端基礎架構中的授權。
雖然 PAM 與 CIEM 處理的是存取管理的不同面向，但組織通常會以互補方式部署這些解決方案，使高權限帳戶得以存在，同時仍確保對這些帳戶的全面控制。CIEM 平台可用於啟用 PAM 方法論，並將高權限存取延伸至多雲環境，同時維持集中式可視性、對授權的持續監控，以及針對這些帳戶與其他眾多帳戶的威脅回應。
IGA 與 CIEM 有何不同？
身分治理與管理（IGA）是 IAM 的特定子集，著重於管理整個 IT 組織中的身分與資源存取。此治理架構適用於員工到職、離職及特定角色的存取權，這在概念上與 CIEM 方法論相關。
然而，IGA 適用於所有 IT 資源，而 CIEM 的治理與存取部分僅專屬於雲端基礎架構。例如，IGA 實務可能包含針對特定員工的地端門禁卡存取治理架構，而 CIEM 的治理與存取則僅適用於其可存取的雲端資源。當然，驅動公司內 IGA 與 CIEM 策略的安全標準會採用相同策略，但 IGA 是更廣泛且更整體的身分治理框架。
結論 | 使用 CIEM 的雲端安全
雲端基礎架構權限管理解決方案提供一套框架，用於管理與監控複雜雲端環境中使用者身分與權限的行為。不同於 IAM、PAM 與 IGA 等傳統安全框架，CIEM 解決方案透過提供監控、控制、最佳化與管理組織雲端網路中授權的工具，專門因應雲端環境的獨特挑戰。
CIEM 解決方案透過存取探索、使用者驗證與治理、使用者與實體行為分析（UEBA）、最小權限存取強制執行，以及集中式監督等功能，確保組織具備安全的存取監控與控制能力。這項能力對於滿足合規要求與對抗網路攻擊至關重要，尤其是在遭入侵的憑證可能授予對敏感資源未經授權存取的情況下。
CIEM 常見問題
CIEM 代表雲端基礎架構權限管理。它是雲端安全解決方案中的一個專門類別，用於管理雲端環境中的身分與存取權限。CIEM 可協助組織控制誰可以存取其雲端基礎架構中的哪些資源。
它著重於管理多雲與混合雲架構中的存取權限，並維持可視性與控制能力。
CIEM 是一種安全解決方案，用於管理雲端環境中的權限與授權，確保只有經授權的使用者與應用程式可以存取資源。它可提供單一雲與多雲架構中誰可存取哪些資源的可視性。
CIEM 可協助您落實最小權限原則，方法是識別過多的權限並自動調整存取權限。
CIEM 可處理雲端權限的龐大規模 – 單一組織在其雲端環境中可能擁有數百萬個個別權限。若缺乏適當管理，這些權限會形成龐大的攻擊面，供攻擊者利用。
我們認為，超過 90% 的特權身分僅使用其獲授權限中不到 5% 的部分，因而形成所謂的 “雲端權限落差”。CIEM 有助於縮小這項落差，並防止因過度授予雲端權限而導致的入侵事件。
IAM 著重於管理整個技術套件中的身分，而 CIEM 則專門針對雲端運算供應商及其獨特需求。傳統 IAM 是為靜態的內部部署環境所設計，但雲端基礎架構是動態且短暫的。
CIEM 提供快速變化的雲端環境所需的細緻可視性與控制能力，並具備用於管理跨雲權限及在雲端特定情境中偵測異常行為的專門功能。
CIEM 可偵測權限過度授予的帳戶、具有常設權限的非作用中身分，以及可無限制存取雲端資源的“超級身分”。它可識別跨帳戶存取風險、前員工遺留的孤兒帳戶，以及執行異常活動的機器身分。
CIEM 也能發現錯誤設定、憑證弱點，例如尚未輪替的靜態憑證，以及可能表示攻擊者正在您的系統中橫向移動的異常行為。
首先識別所有第三方存取，並對所有雲端服務中的目前權限進行分類。在實作期間持續監控整合情況，以確保完整涵蓋雲端權限。先專注於可視性 – 在您進行變更之前，必須深入了解誰可存取哪些資源。
設定自動化修復與警示工作流程，並建立政策，以即時存取取代長期存在的權限，將其降至最低。
當您的組織高度依賴雲端服務或在多雲環境中運作時，您應該考慮採用 CIEM。如果您正經歷快速的雲端遷移，並且需要更妥善地控制雲端權限，這一點尤其重要。
金融、醫療保健和政府等高度受監管產業中的組織，通常需要 CIEM 來滿足合規要求。如果您難以追蹤不同雲端供應商之間的權限，或正面臨權限蔓延的問題，CIEM 可以提供協助。
深入了解 雲端安全
您的雲端安全——30 分鐘內完成全面評估。
與 SentinelOne 專家會面，評估您在多雲環境中的雲端安全態勢，找出雲端資產、錯誤設定、秘密掃描，並透過 Verified Exploit Paths™ 排定風險優先順序。
