為什麼雲端安全需要 Agentless Scanning？
Agentless scanning 可協助您節省時間、金錢與資源，透過掃描潛在弱點而無需安裝專用代理程式。觀察網路、端點、主機，獲得持續性涵蓋範圍，並自動修正錯誤設定。
隨著各產業雲端原生應用程式開發快速成長，網路安全已成為數位時代的關鍵因素。這引出了這個問題：「在雲端執行的應用程式對於網路攻擊而言有多安全？」不斷擴大的網路安全攻擊面正面臨大量網路威脅，因此需要以雲端為基礎的安全解決方案，以在雲端預防網路攻擊事件。
無代理掃描是降低雲端原生安全風險的現代方法之一。這是一種快速、易於部署的安全解決方案，可協助在不於雲端基礎架構內放置任何程式碼或代理程式的情況下監控雲端資產。此外，它還能檢查雲端工作負載中的弱點與安全風險，而不會干擾執行個體的運作。如此一來，無代理掃描可協助您的安全團隊具備保護雲端環境所需的彈性與完整涵蓋範圍。
繼續閱讀本文，了解 agentless scanning 在 雲端安全中的重要性。
什麼是 Agentless Scanning？
無代理掃描是監控雲端工作負載的過程，目的是在無需安裝代理程式的情況下，取得整體雲端工作負載中漏洞風險的可視性。代理程式是一種安裝在工作負載上的軟體，用於執行與安全相關的功能，例如資訊蒐集、掃描及修補程式安裝。所有這些功能都可以透過無代理掃描來完成，方法是利用集中式 API 安全解決方案，為組織提供外部 API 的完整清單及其安全態勢，從而輕鬆進行漏洞掃描。可以將無代理掃描想像成一名披著隱形斗篷的人類間諜：這名間諜會監控並觀察你的一舉一動，但沒有任何實體證據可以證明這一點。或者，更貼切地說，它就像是雲端的 CCTV 攝影機。
Agentless scanning 最適合需要平台獨立性、可與任何雲端供應商搭配運作的雲端原生工作負載。 Agentless scanning 的目標是協助安全團隊在其雲端環境中識別、排序優先順序，並修正與雲端相關的風險及錯誤設定。
Agentless Scanning 在雲端安全中如何運作？
無代理掃描的基礎是推送技術與集中式設計。為了讓無代理掃描能夠在虛擬機器、無伺服器、容器、設備等雲端工作負載中發現弱點，必須蒐集系統設定檔與安全態勢的資料。這可透過使用各種雲端資產的 API 或方法來達成，這些資產會定期將資料推送至集中式遠端系統。安全團隊可利用雲端原生 API 部署，使用蒐集到的資料持續評估工作負載，以識別盲點與弱點風險。
為了開始執行，大多數無代理掃描解決方案會採用無代理代理程式，在雲端資產之間建立安全的網路連線。無代理代理程式會在雲端服務供應商帳戶層級，使用目標工作負載的原生 API 端點與服務。這使其能夠在所有雲端資產上提供 100% 的可視性、掃描雲端基礎架構內異常的能力，以及不受環境或實體位置影響且不造成效能下降的運作。無代理掃描可在即時環境中運作，涵蓋各種雲端伺服器平台，並在整個雲端資產網路中提供威脅偵測與系統回應。
Agentless scanning 解決方案越來越受歡迎，尤其是在組織日益採用動態且多雲原生環境的情況下。這是因為 安全弱點 與效能指標的準確性提升，而這些皆由用於雲端安全的 agentless scanning 解決方案所提供，進一步推動主動式弱點識別與修補的動能。
Agentless Scanning 的優點
Agentless scanning 已證明是一種非常高效的雲端安全解決方案，特別是因為它利用 Cloud API 連線來擷取有關工作負載的所有相關資料。透過 agentless scanning，使用者可在無需代理程式的情況下獲得雲端中的全端可視性，而這是在地端環境中無法做到的。
以下將深入說明 agentless scanning 的優點。
1. Agentless Scanning 與平台無關
使用 agentless scanning 尋找並掃描資產時，沒有作業系統相容性要求或疑慮。這使其能夠掃描路由器、交換器及其他以網路為基礎的IoT (Internet of Things)裝置，而不會干擾其執行。
2. 降低管理成本
Agentless scanning 系統具備足夠的可攜性，可快速且輕鬆地部署於工作負載上。因此，對於管理數十萬台虛擬機器的組織而言，這能大幅降低管理負擔，帶來極大效益。
3. 可擴充性
在 agentless scanning 中，從單一伺服器擴展到大型資料中心相當簡單。通常，它會利用可擴充且輕量的通訊協定來處理重要情境，協助建立雲端資產的網路連線，以進行全面的 agentless scanning。
4. 不會對環境造成負面影響。
無代理程式掃描會在每次掃描時擷取資源的快照，因此不同於以代理程式為基礎的方法，不會對資源本身進行任何變更。由於安全團隊無需執行資源維護，因此對無代理程式掃描器的任何變更都不會對環境造成影響。無代理程式深度掃描的磁碟區快照技術可確保不會對環境中的效能造成影響，因為連接器只是透過 API 讀取資料並進行頻外掃描，而不是依賴雲端環境的 CPU 資源來執行。
5. 網路掃描涵蓋範圍
Agentless scanning 在防護眾多端點的同時，為雲端網路提供完整可視性。這使工作負載的弱點掃描更加精準，涵蓋所有主機資產、連線裝置、作用中的應用程式及其相依性。因此，在資產識別與掃描方面不會出現盲點，且這些資訊會持續自動更新。
CNAPP Market Guide
Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.
結論
隨著多雲與動態基礎架構的採用日益增加，agentless scanning 是當今最佳的雲端原生安全解決方案之一。它運用 API 的力量來提升雲端資產的可視性，並在不降低效能的情況下，掃描雲端工作負載中的弱點。
Agentless Scanning 常見問題
Agentless scanning 會在不於每台主機上安裝軟體代理程式的情況下，檢查系統中的弱點或風險。相反地，它會使用原生 API、網路通訊協定或磁碟快照，遠端擷取中繼資料與資產清單詳細資訊。這讓安全團隊能夠在多雲環境中評估機器、容器或函數，而不會改變目標的效能或設定。
Agentless 雲端掃描器會呼叫供應商 API 或對 VM 磁碟建立快照，以複製作業系統中繼資料。該工具會在主機外分析該快照，完成後再將其刪除。透過 API 查詢 AWS EC2、Azure VMs 或 GCP Compute 等服務，它可收集軟體資產清單、修補程式層級與設定資料。由於沒有任何程式碼在工作負載內執行，因此即時系統在掃描期間不會受到影響。
由於不需要在每台主機上安裝代理程式，您可以在幾分鐘內為數千個雲端資源部署涵蓋範圍。由於掃描在主機外執行，且不會消耗正式環境工作負載上的 CPU 或記憶體，因此效能可維持穩定。它與平台無關，因此您可使用標準 API 掃描 Azure、AWS、GCP、容器與無伺服器函數。整體而言，它可大幅縮短部署時間並降低管理負擔。
Agentless 解決方案無法在主動威脅或執行階段行為發生的當下立即捕捉到它們。它們依賴定期快照或 API 呼叫，因此無法即時監控程序或網路活動。涵蓋範圍取決於 API 的可用性與權限；如果 API 設定錯誤或缺失，該資源就不會被掃描。與主機上代理程式的直接系統掛鉤相比，其細節深度較低。
Agentless scanning 適用於無法安裝代理程式的環境，例如不可變基礎架構、舊版工作負載或由第三方管理的系統。它非常適合用於新雲端帳戶中的快速安全掃描、暫時性或突發擴展的 VM，以及多雲部署環境。
您可以在 Azure Defender for Cloud 中啟用它、透過 CloudFormation stacks 在 AWS 上啟用，或透過上線指令碼在 GCP 中啟用，全程都無需觸及每台 VM 的作業系統。
Agentless scanning 著重於在掃描當下識別已知弱點、錯誤設定與機密資訊。它不會即時監控作用中的程序、網路連線或檔案活動，因此無法在主動惡意軟體行為或零時差漏洞執行時偵測到它們。
若要進行執行階段威脅偵測，必須以主機上代理程式或 EDR 工具搭配 agentless 掃描，才能捕捉即時攻擊與異常行為。
深入了解 雲端安全
您的雲端安全——30 分鐘內完成全面評估。
與 SentinelOne 專家會面，評估您在多雲環境中的雲端安全態勢，找出雲端資產、錯誤設定、秘密掃描，並透過 Verified Exploit Paths™ 排定風險優先順序。
