什麼是基礎架構即程式碼（IaC）安全？

根據 MarketsandMarkets 的報告，全球 Infrastructure as Code (IaC) 市場在 2022 年的價值為 8 億美元，預計到 2027 年將成長至 23 億美元。這代表在此期間的年成長率為 24.0%。雖然 IaC 的優勢顯而易見，但其安全影響卻經常被忽視。隨著組織越來越依賴自動化流程，強健的 IaC 網路安全至關重要。IaC 可簡化合規與稽核，並允許將強大的安全政策直接整合至基礎架構中。在本文中，您將了解什麼是 IaC 安全性、其重要性、涉及的風險，以及可用於確保基礎架構安全的 IaC 安全最佳實務。

什麼是基礎架構即程式碼（IaC）？

IaC 是使用機器可讀取的組態檔格式（例如 YAML（YAML Ain’t Markup Language）、JSON（JavaScript Object Notation）或 HCL（HashiCorp Configuration Language））來管理與設定運算資源的流程，而不是手動進行。

IaC 可讓您透過撰寫程式碼，自動化設定、擴展及管理伺服器、資料庫和網路等項目。

這種方法可確保您的環境具備一致性、可擴展性，且易於在不同系統間複製。IaC 不依賴手動設定或指令碼，而是使用可宣告式模型（指定期望的最終狀態）或命令式模型（定義達成期望狀態的具體步驟），並且可像應用程式程式碼一樣進行追蹤與版本控制。

常見的 IaC 工具，例如 AWS CloudFormation、Terraform 和 Ansible，可讓團隊使用程式碼來定義、監控及修改其基礎架構。這種方法不僅提供版本控制與追蹤能力，也大幅降低與手動組態相關的人為錯誤風險。

為什麼 IaC 安全很重要？

如果您的 IaC 組態存在任何網路安全問題，駭客就可能輕易利用設定錯誤的雲端服務、未受保護的 API 或開放連接埠。

例如，AWS CloudFormation 範本中設定錯誤的 S3 儲存貯體權限，可能導致敏感資料遭到非預期的公開存取。同樣地，Terraform 指令碼中的硬式編碼認證資訊，一旦程式碼儲存庫遭到入侵，就會帶來重大的安全風險。這可能導致資料外洩或服務中斷等嚴重問題。

這就是為什麼 IaC 安全在當今的雲端環境中如此重要。它將安全控制直接整合到基礎架構的定義中。這可能包括在 CI/CD 管線執行期間，依據 CIS 基準或 NIST 指南進行自動化合規檢查。您可以在開發階段及早發現並修正安全風險，這有助於防止潛在威脅進入正式環境。

IaC 安全的另一個關鍵面向，是能夠在不同環境中一致地套用安全政策與組態。這種一致性有助於降低人為錯誤的可能性。

IaC 的優點

IaC 可讓開發人員更快部署資源、建置可擴展且可重複的基礎架構，並自動化組態以節省時間與資源。以下詳細說明 IaC 帶來的一些優勢：

#1. 一致性與標準化

IaC 可確保每個環境（例如開發、測試和正式環境）都使用指令碼以相同方式進行設定。它可防止環境之間出現差異，降低從開發移轉到正式環境時發生問題的風險。例如，透過使用 Terraform 模組，團隊可以為所有環境中的網路安全群組定義標準化組態，確保安全政策一致。

這種一致性可將開發、測試與正式環境之間的差異降到最低，有效降低可能導致弱點的設定錯誤風險。

#2. 版本控制與稽核

IaC 可與 Git、Mercurial 和 Apache Subversion（SVN）等工具良好搭配，讓團隊能像追蹤程式碼一樣追蹤基礎架構變更，並可輕鬆追蹤一段時間內的變更。

如果部署引入問題，團隊可以快速回復到先前版本。它可為合規與安全目的（例如 HTTPS、SSH、GDPR 或 HIPAA）提供稽核軌跡，協助組織符合監管要求。

此外，多位團隊成員可以同時處理基礎架構的不同面向而不發生衝突，進而提升生產力。

#3. 冪等性

多次套用相同的程式碼，將始終產生相同的結果。

冪等性可防止不同環境（如開發、測試和正式環境）之間發生漂移，因為組態可以重複套用而不會引入不一致。

使用具備冪等性的 IaC 時，如果期望狀態已經存在，就不會有任何變更，從而降低非預期基礎架構修改的風險。

#4. 災難復原與備份

IaC 可讓您將整個基礎架構設定儲存在程式碼中。發生故障時，您可以透過再次執行指令碼快速還原所有內容，使復原更快速且更容易。IaC 透過自動化基礎架構管理來簡化多區域部署。這使組織能夠跨地理位置複寫資源，快速確保高可用性。

IaC 可在災難復原情境中實現快速重新部署與一致的組態，將停機時間降到最低。

#5. 降低人為錯誤風險

透過程式碼自動化基礎架構設定，可大幅降低人為錯誤的機率。一致地執行已定義的流程，可減少錯誤設定並提升基礎架構穩定性。  例如，您可以使用 Terraform 等工具，以程式碼定義雲端資源，並在多個環境中套用相同的設定，以確保部署一致性。此方法可降低手動流程中經常發生的意外錯誤機率。這將帶來可靠的基礎架構管理。

#6. 強化安全與合規

安全規則與合規檢查可內建於 IaC 指令碼中，確保所有基礎架構都遵循最佳實務。自動化測試可在進行變更前驗證安全性。例如，AWS CloudFormation 範本可包含 AWS Config 規則，以持續根據安全最佳實務評估資源組態。

IaC 安全風險有哪些？

儘管 IaC 提供許多優勢，但若管理不當，也可能引入網路安全風險。

讓我們來拆解一些常見疑慮：

• 機密資訊的不安全儲存與傳輸： 有時候，API 金鑰和密碼等硬式編碼機密資訊會嵌入 IaC 範本中。如果這些機密資訊外洩，攻擊者可能取得對重要系統的未經授權存取。

• 違反合規要求： IaC 也可能無意間造成合規問題。如果範本未遵循法規要求（例如 GDPR、HIPAA、PCI-DSS）或組織政策，設定錯誤的資源可能無法符合合規標準。這可能導致法律問題或財務罰款。例如，較輕微的違規可能導致 最高 1,000 萬歐元的罰款，或公司前一年度全球年營業額的 2%，以較高者為準。

• 組態漂移： 隨著時間推移，由於手動變更或未反映在 IaC 範本中的更新，組態可能偏離其原始狀態。這種漂移可能產生難以追蹤的弱點。例如，組織內使用的未經授權應用程式與裝置可能帶來重大安全風險，因為它們通常會繞過標準安全通訊協定，且可能未受到弱點監控。

• 廣泛的攻擊面： 自動化，尤其是透過 IaC 進行的自動化，會本質上擴大攻擊面，因為單一弱點可能同時危及多個資源。

這種廣泛的攻擊面使得在開發與部署的所有階段實施嚴格安全控制成為必要。

IaC 安全性如何運作？

基礎架構即程式碼（IaC）安全性是在透過程式碼管理雲端基礎架構的同時，確保其安全。

其運作方式如下：

1) 自動化 IaC 掃描： IaC 安全工具會自動掃描您的程式碼，找出如下問題：

• 不安全的存取控制設定
• 設定錯誤的雲端服務，可能導致敏感資料外洩
• 具有過多權限且違反最小權限原則的帳戶

靜態程式碼分析是一種自動化掃描形式，專門著重於在不執行程式碼的情況下進行分析。它會根據已知的安全政策與最佳實務分析您的 IaC 指令碼是否存在弱點，協助確保您的設定在套用前是安全的。

2) 整合至開發工作流程： 安全檢查會直接建置於軟體開發流程中。透過「左移」（在開發早期整合安全檢查），開發人員可以在程式碼上線前及早發現並修正安全問題。

3) 政策強制執行： 您可以建立中央政策引擎，根據 NIST 指南或公司特定的安全標準檢查您的 IaC 範本。這將自動標記或阻止不符合規範的部署。

4) 持續監控： 部署完成後，監控工具會持續評估您基礎架構的任何變更。它們會偵測「組態漂移」或偏離原始設定的情況，協助您長期維持安全性與合規性。

基礎架構即程式碼安全工具

以下是用於管理與保護 IaC 部署的工具摘要：

1. TFSec：一款專為 Terraform 程式碼設計的輕量級靜態分析工具。它可識別安全問題，例如過度寬鬆的 IAM 政策、不安全的資源設定，以及敏感資料暴露。它使用一組對應至 CIS 和 HIPAA 等合規框架的預先定義規則，依據安全最佳實務評估 Terraform 程式碼。
2. Jit: 它提供 DevSecOps 平台，可與多種安全掃描工具無縫整合，包括 Keeping Infrastructure as Code Secure (KICS)。它具備自動修復功能，並可針對超過 200 種基礎架構即程式碼（IaC）設定錯誤提供可採取行動的洞察。這使團隊能夠主動處理弱點，確保整個生命週期中的軟體開發安全且高效。
3. Checkov: 一款開源靜態分析工具，支援多種 IaC 語言，包括 Terraform、AWS CloudFormation、Kubernetes YAML 和 ARM 範本。它會掃描程式碼中的安全與合規問題，並提供可採取行動的修復洞察。Checkov 可整合至 CI/CD 管線，並為熱門 IDE 提供外掛程式，讓開發期間可獲得即時安全回饋。
4. Prowler: 它專為主要雲端平台的全面評估而設計，包括 AWS、Azure 和 GCP。它根據 CIS 和 NIST 等既有框架評估安全設定，涵蓋數百項控制措施。此外，此工具也支援事件回應、持續監控與合規驗證。這有助於組織識別弱點並強化其 雲端安全 態勢。
5. Conftest: 一款開源工具，用於針對結構化組態資料撰寫測試，支援 Terraform、Kubernetes YAML 和 JSON 等格式。它有助於在 IaC 檔案中強制執行安全政策與最佳實務。例如，團隊可以使用 Conftest 建立自訂政策，以防止部署公開的 S3 儲存貯體，或在所有資源上強制執行標記標準。

IaC 安全性的最佳實務

為了將 IaC 的安全效益最大化，將安全性整合到開發流程的每個階段非常重要。以下是一些最佳實務，可協助您確保 IaC 的安全：

#1. 使用靜態與動態分析工具

請務必將 Checkmarx SAST、Coverity 或 SonarQube 等靜態分析工具整合至您的 CI/CD 管線。如此一來，您就能在開發流程早期發現設定錯誤與弱點。

部署後，別忘了使用 Appium 等動態測試工具

或 Selenium 來檢查所有項目在即時環境中的行為，並確保其符合您的安全政策。

#2. 使用角色型存取控制（RBAC）

RBAC 可確保只有適當的人員才能變更您的基礎架構。透過實作最小權限存取，您只會授予團隊成員真正需要的存取權限，進一步提升安全性。例如，開發人員可能只需要部署應用程式的權限，而不需要變更網路設定。組織可根據角色限制存取，透過將 RBAC 與最小權限原則結合來提升安全性並降低風險。

#3. 實作 Secrets 管理

避免將 API 金鑰、密碼或認證等敏感資訊硬式編碼到您的 IaC 指令碼中。請改用 HashiCorp Vault 或 AWS Secrets Manager 等 secrets 管理工具，安全地儲存並存取這些關鍵認證。許多 IaC 工具都提供與 secrets 管理解決方案的原生整合。例如，Terraform 可以在資源佈建期間動態使用 Vault provider 來擷取 secrets。

#4. 以程式碼強制執行政策

利用 Open Policy Agent (OPA) 等工具，將您的安全性政策以程式碼形式強制執行。例如，OPA 可與 Terraform 無縫整合，在規劃與套用階段強制執行政策。組織可透過將 OPA 嵌入 Terraform 工作流程中，根據預先定義的安全性政策評估組態。此外，政策可防止建立可公開存取的 S3 儲存貯體，或禁止在不安全的區域佈建資源。這種主動式方法有助於在風險進入正式環境之前加以降低。

#5. 定期檢視與稽核設定

養成定期檢視與稽核設定的習慣，以確保其符合您的安全政策與產業法規。雖然自動化工具能提供協助，但也不要忽略人工檢視的價值，以找出任何可能漏網的潛在問題。

SentinelOne 如何提供協助

在基礎架構流程的每個階段，強大的安全性都很重要。SentinelOne Singularity Cloud 可為您的 IaC 部署增加關鍵的安全層。

SentinelOne Singularity Cloud 是完整的雲端原生應用程式保護平台（CNAPP），可保護您的整體雲端基礎架構，包括使用 IaC 工具建立的資源。

CNAPP 可在部署前掃描 IaC 範本，以識別潛在的安全缺陷。這種主動式掃描有助於防止重複部署設定錯誤的範本，避免弱點擴散到多個執行個體。

例如，如果 IaC 範本建立了未加密的 S3 儲存貯體，CNAPP 可以在資源佈建之前標記此問題，從而降低資料外洩風險。

它會即時監控威脅並以極快速度回應，無論您是在公有雲與私有雲中使用伺服器、虛擬機器或容器。

此外，它會記錄核心層級的工作負載資料，並將其傳送至安全資料湖，讓您更容易分析事件、有效回應並追查威脅。

如此一來，您就能在潛在威脅演變成重大問題之前及早發現並處理。透過從攻擊者視角自動化全面檢視您的整體雲端基礎架構，您可以找出經驗證的利用路徑。您可以使用 SentinelOne Singularity Cloud 保護您的雲端基礎架構。選擇主動式防護，在威脅升級之前即時發現威脅。

Take the Tour

AI-powered cloud workload protection (CWPP) for servers, VMs, and containers, that detects and stops runtime threats in real time.