CIEM 與 SIEM：有何差異？

到 2025 年，85% 的組織將優先採用雲端運算來提供 IT 服務。隨著雲端基礎架構的採用日益增加，Cloud Infrastructure Entitlement Management (CIEM) 與 Security Information and Event Management (SIEM) 已成為關鍵工具。CIEM 可協助組織管理並保護對雲端資源的存取，而 SIEM 則提供由應用程式與網路硬體產生之雲端安全警示的即時分析。

本文將探討 CIEM 與 SIEM 的差異、其運作方式，以及為何它們對組織至關重要。

什麼是 CIEM？

Cloud Infrastructure Entitlement Management (CIEM)（發音為「Kim」），亦稱為 Cloud Identity Governance (CIG)，是一種自動化雲端安全解決方案，可協助 IT 團隊與資安專業人員管理並降低雲端環境中的存取風險。它可識別並分析整個雲端基礎架構中的權限，涵蓋混合雲與多雲部署，確保只有適當的實體能夠存取資源。

Gartner 於 2020 年在其 Hype Cycle for Cloud Security 報告中提出 CIEM 一詞。該報告深入剖析持續演變的雲端運算情勢，也聚焦新的安全挑戰，並為組織在遷移至雲端時如何強化防禦提供建議。

為了更了解 CIEM，讓我們先了解什麼是 entitlements。

什麼是 Entitlements？

Entitlement 指定雲端身分被授權可執行的工作，以及其在組織雲端基礎架構內可存取的資源。

這些 entitlement 定義了雲端身分的權限，例如：

• 與特定雲端應用程式或資料互動的人類使用者
• 已連線的裝置，例如 IoT 感測器或伺服器，具有受限存取權限以執行其功能
• 代表使用者行事的 AI 系統，在雲端網路內執行工作或分析資料

CIEM 實際上做些什麼？

在 CIEM solutions 出現之前，組織在掌握與控制雲端身分及其相關權限方面面臨困難。隨著雲端環境擴展，管理存取權限變得愈加複雜。資安專業人員面臨權限過大的身分與安全風險等問題。由於缺乏可強制執行安全政策並防止未授權存取的細緻控制，雲端基礎架構因此變得脆弱。

CIEM 透過在雲端 entitlement 上強制執行 Principle of Least Privilege (PoLP)，有效管理並保護存取權與權限。CIEM 可確保各種身分——人類使用者、已連線裝置或 AI 系統——僅擁有執行其特定工作所需的存取權。鑑於即使只有一名具有過多帳戶權限的惡意行為者，也可能導致毀滅性的資料外洩（如這家美國醫療保健供應商的案例），採用 CIEM 可大幅降低攻擊面並限制權限遭濫用的可能性。

在 entitlement 定義雲端身分的權限之後，系統會確保每個身分——無論是使用者還是 AI——僅能存取其角色所需的特定資源。這表示雲端基礎架構會持續監控誰可以存取哪些內容，以及哪些內容不可存取。

例如，如果使用者只需要存取特定雲端應用程式，則不會被授予其不需要的敏感資料庫或資源之權限。這可將意外或蓄意濫用存取權的風險降至最低。

從使用者角度來看，此結構可提升安全性，並簡化使用者與系統的互動。使用者只會看到並存取其工作所需的工具與資料，從而減少混淆並防止違反政策。

對組織而言，這將帶來更精簡且更安全的環境，其中角色與存取層級皆有明確定義。當角色變更，或有使用者新增至系統與自系統移除時，這也使權限管理更加容易。

CIEM 提供四項基本能力：

• Entitlement 可視性
• 雲端權限的適當調整
• 進階分析
• 合規自動化

作為現代雲端安全完整策略的一部分，CIEM 會與其他專門解決方案搭配運作，例如 Cloud Security Posture Management (CSPM) 與 Cloud Access Security Brokers (CASBs)，以在各種雲端環境中提供分層防護。

CIEM 的主要元件有哪些？

CIEM 的六大主要元件包括：

1. Cloud Identity Governance (CIG)

CIEM 以 Identity and Access Management (IAM) 的核心原則為基礎運作，但它透過為雲端環境中的使用者與應用程式定義存取權限，進一步提升傳統 IAM。它會指定可存取哪些雲端資源，以及可執行哪些動作，例如讀取、寫入或刪除資料。

例如，用於資料分析的雲端 AI 系統，可能僅被授予處理所需特定資料集的唯讀存取權，但不得修改或刪除資料。

2. Entitlement 可視性

CIEM 提供集中式平台，可檢視各種雲端環境中的所有使用者權限與 entitlement。這種可視性對資安團隊、IT 管理員與合規主管至關重要。

• 資安團隊仰賴它來偵測並修正未授權存取所帶來的潛在風險。
• IT 管理員使用它來有效管理並簡化多個雲端環境中的使用者權限，確保營運一致性

• 法規遵循主管可藉由這種可視性受益，確保組織遵守法規要求，並使存取控制保持最新狀態。

這種可視性對於追蹤與了解誰可存取哪些資源至關重要。它使組織能夠快速識別並處理過多或過時的權限，避免其導致安全弱點。

例如， 某組織使用 CIEM 監控其雲端平台（例如 AWS、Azure 和 Google Cloud）中的權限。透過集中式儀表板，IT 管理員可以控制前員工的有效存取權限。藉由這種可視性，安全團隊可立即撤銷過時權限，防止任何潛在的未經授權存取。

3. 最小權限強制執行

CIEM 透過持續監控與調整使用者權限和存取權，嚴格套用最小權限原則。系統與應用程式會被設定為授予最少的初始存取權，只有在經過徹底審查與授權後，才會提供額外權限。

主要而言，IT 管理員與雲端安全團隊負責在 CIEM 中設定最小權限強制執行。他們設定系統與應用程式，為使用者提供最少的初始存取權，確保僅授予必要權限。這是透過為每位使用者或系統實體定義特定的 role-based access controls (RBAC) 或以政策為基礎的存取管理規則來完成。

一旦這些設定就緒，CIEM 系統便會持續監控使用者活動與存取要求。當使用者需要額外權限時，該要求會由安全團隊或自動化政策系統進行徹底審查，確保在核准前該存取確有必要。

這種持續監控與審查流程有助於維持對存取權的嚴格控制，並降低權限過度授予的風險。

關鍵機制包括：

• 以角色為基礎的存取配置: CIEM 強制執行嚴格的角色型存取控制，根據使用者的工作職責指派權限。 例如， 在醫療環境中，護理師 可被授予病患病歷的存取權，而 帳務人員 則只能存取財務資料。
• 暫時性權限提升: 透過 Just-In-Time (JIT) 控制，CIEM 會針對特定任務暫時提高使用者權限，並在任務完成後還原。 例如， 開發人員可能會取得對正式環境的暫時存取權以修正問題。完成後，CIEM 的 JIT 控制會自動將權限還原為標準層級。
• 細粒度存取控制: CIEM 將雲端資源劃分為較小的區段，以便進行精確的權限設定。 例如， CIEM 會分割資源，使得 HR 人員 只能存取 HR 資料，而 Finance 則僅限存取財務記錄，確保只授予必要且精確的權限。

4. 進階分析

CIEM 解決方案為網路安全團隊提供進階分析功能，例如機器學習和 User Entity Behavior Analytics (UEBA)，以評估權限並偵測異常或可疑的存取模式。例如，CIEM 使用機器學習和 UEBA 來標記異常行為，例如銷售人員嘗試存取財務資料，並提醒安全團隊調查潛在威脅。

5. 存取政策實作

CIEM 與 Identity Governance and Administration (IGA) 系統整合時，可依據組織的特定需求，詳細定義並強制執行存取政策。例如，承包商僅能在有限時間內存取特定專案資源。專案結束後，系統會根據預先定義的政策自動撤銷存取權。

這些政策可根據各種條件設計，例如：

• 角色專屬權限: 權限會連結至特定工作角色。這可確保授予使用者的存取權與其職責相符。
• 以位置為基礎的存取控制: CIEM 可根據使用者的地理位置限制存取，有助於遵循區域性資料保護法規。
• 以時間為基礎的存取控制: 權限可在非營運時段或敏感期間受到限制。
• 裝置專屬存取: 存取可限制於已授權裝置，降低與可能遭入侵硬體相關的風險。

6. 特權帳戶監控與控制

CIEM 與 Privileged Access Management (PAM) 和 Just-In-Time (JIT) 系統協同運作，以保護具有較高存取層級的帳戶。透過提供雲端權限的洞察，CIEM 可協助這些系統偵測異常行為並降低潛在入侵風險。

什麼是 SIEM？

安全資訊與事件管理 (SIEM)（讀作「Sim」）是一種結合安全資訊管理 (SIM) 與安全事件管理 (SEM) 的技術，用於監控即時安全威脅，並分析跨網路、伺服器與應用程式的資料。

它有助於識別異常活動，例如未經授權的存取嘗試或異常的網路流量。此外，SIEM 還提供用於管理事件與進行攻擊後分析的工具，協助企業維持整體安全態勢。

SIEM 一詞由 Gartner 於 2005 年提出，表示正式承認一種將安全資訊管理 (SIM) 與安全事件管理 (SEM) 合併為統一解決方案的技術，用於 全面性的安全管理。

SIEM 透過彙整並關聯來自各種來源的日誌資料，可有效監控與分析整個組織 IT 基礎架構中的安全事件。這些來源可包括：

• 使用者活動日誌
• 網路裝置
• 應用程式
• 安全硬體

SIEM 系統會從各式各樣的來源收集並分析日誌，包括：

• 端點安全工具
• 入侵偵測 (IDS) 與入侵防護 (IPS) 系統
• 防火牆與整合式威脅管理 (UTM) 系統
• Web 過濾解決方案
• 應用程式伺服器
• 無線存取點
• 路由器
• 資料庫
• 交換器
• 雲端服務供應商
• 蜜罐
• 身分與存取管理 (IAM) 系統

SIEM 的主要元件有哪些？

由於 SIEM 解決方案源自 SIM 與 SEM 技術的融合，因此其涵蓋的能力包括：

• 資料彙整與正規化
• 事件關聯
• 即時監控與警示
• 事件回應與管理

讓我們詳細討論這些內容。

1. 日誌管理

日誌管理是 SIEM 的基石。它涵蓋從組織網路內各種來源收集、儲存及分析日誌資料。

這些資料包括：

• 使用者活動
• 系統作業
• 錯誤訊息，建立詳細的事件時間軸

有效的日誌管理會將多樣化的日誌資料標準化並整理為一致的格式，以利精準分析與威脅偵測。

例如，利用 SIEM 的日誌管理功能，網路管理員可監控使用者登入日誌，以偵測異常活動，例如來自單一 IP 位址的多次登入失敗嘗試。

2. 即時安全事件監控 (SEM)

SEM 會彙整並關聯日誌資料，以即時偵測可疑流量模式與異常。例如，SEM 偵測到伺服器的對外流量激增，進而觸發警示，促使安全團隊進行調查並阻止潛在的資料外洩企圖。

SEM 工具會根據預先定義的條件產生警示，例如：登入失敗嘗試、異常的網路流量激增、未經授權存取敏感檔案，或連接埠掃描活動。這使安全團隊能夠快速回應此類威脅。

3. 安全資訊管理 (SIM)

SIM 著重於安全相關資料的長期儲存、分析與報告。它為安全事件提供歷史脈絡，使組織能夠進行鑑識調查並滿足法規遵循要求。

對使用者而言，SIM 的好處在於確保其資料持續受到保護，因為歷史分析有助於識別並處理長期威脅，同時維持法規遵循。對安全團隊與 IT 經理而言，SIM 可提供對過往安全事件的寶貴洞察，讓鑑識調查得以揭露攻擊模式。

一個範例 SIM 作為解決方案的用途之一是– 安全分析師如何使用 SIM 檢視六個月前的日誌，以追溯資料外洩的來源，為鑑識分析提供關鍵資訊。

4. 事件關聯

事件關聯會連結相關的日誌項目，以識別顯示安全事件的模式。

例如， SIEM 會關聯相關的日誌項目，例如來自不同 IP 位址的多次登入失敗嘗試，以及從敏感資料庫進行的非預期檔案下載，從而揭露旨在入侵系統的協同攻擊。安全團隊使用 SIEM 連結這些事件，並及早偵測及回應威脅。

透過分析來自多個來源的資料，SIEM 系統可以關聯事件以揭露複雜的攻擊向量，並為事件回應提供可採取行動的洞察。此能力可透過揭示看似無關事件之間的關聯，協助安全經理進行威脅偵測。

5. 警示與通知

SIEM 系統包含警示機制，會根據關聯事件通知安全團隊已偵測到的事件。 例如， 當 SIEM 偵測到可疑活動時，例如未經授權的使用者存取敏感資料，便會為安全團隊產生高優先順序警示。這些警示會依嚴重性排序，協助團隊專注於最關鍵的威脅。自動化通知可確保迅速回應，將攻擊者可乘之機降至最低。

6. 事件回應與管理

此元件涉及處理安全事件的流程與工作流程。 例如，在收到警示後，SIEM 系統會開啟事件工單並將其指派給安全團隊，自動追蹤調查進度，並確保所有回應步驟都有文件記錄。

SIEM 系統可簡化：

• 事件追蹤
• 工單管理
• 安全團隊之間的協調

將例行工作自動化並記錄回應內容，可提升事件管理效率並促進協作，確保以一致的方法處理威脅。

7. 威脅情報整合

SIEM 解決方案可納入威脅情報饋送，以增強偵測能力。 例如， 它會整合回報新型網路釣魚活動的饋送，使系統能夠偵測並封鎖針對組織電子郵件伺服器的類似攻擊。

透過整合有關已知威脅、弱點與攻擊模式的外部資料，SIEM 系統可提升識別與回應新興風險的能力。此整合為安全事件提供更豐富的情境，有助於做出更充分的分析與決策。

The Industry’s Leading AI SIEM

Target threats in real time and streamline day-to-day operations with the world’s most advanced AI SIEM from SentinelOne.

Get a Demo

CIEM 與 SIEM：有何差異？

以下是突顯 SIEM 與 CIEM 差異的比較表。

簡單來說， CIEM 就像那位支援你各項活動的辦公室行政人員，並把你獲准進入的房間鑰匙交給你。你無法進入你不該存取的區域。

另一方面， SIEM 就像一名保全，透過監視攝影機監看所有辦公室房間。如果他們發現可疑活動，就會發出警報並採取行動。

CIEM 與 SIEM 的主要優勢是什麼？

SIEM 相較於 CIEM 的主要優勢如下。

CIEM 優勢

• 最佳化的雲端安全： 透過管理與微調存取權限來保護雲端環境；其對使用者的好處是提供安全的雲端環境，確保他們只能存取所需的資源。
• 降低風險： 降低未經授權存取與資料外洩的風險，尤其是在複雜的多雲基礎架構中。
• 合規支援： 提供對雲端權限與存取控制的詳細監督，協助遵循 GDPR、HIPAA 和 CCPA 等雲端特定法規。
• 營運效率： 自動化存取權管理可減輕 IT 團隊的管理負擔並降低人為錯誤風險，從而提升效率。IT 團隊得以從例行工作中解放，將精力轉向強化安全措施與最佳化系統效能。

SIEM 優勢

• 全面的安全框架： 透過識別並關聯安全事件來保護雲端、地端與混合環境，確保所有儲存使用者資料的平台都能獲得一致的保護。
• 即時威脅偵測： 透過更快速的監控與分析，迅速偵測並回應威脅，降低網路攻擊造成損害的風險。
• 合規報告： 提供記錄與稽核功能，以符合 GDPR、HIPAA 和 PCI DSS 等法規，透過遵循關鍵法律來確保使用者資料受到保護。
• 集中式安全營運： 透過統一事件監控與回應來簡化安全管理，將停機時間降至最低並改善使用者體驗。

SIEM 與 CIEM 的限制是什麼？

了解 SIEM vs CIEM 的限制，對企業就其雲端安全策略做出明智決策至關重要。雖然這兩種工具都提供必要的安全功能，但了解各自的不足之處可協助組織補足缺口，並選擇適當的解決方案來保護其資料。

以下是 SIEM 相較於 CIEM 的限制：

SIEM 限制

• 警示數量龐大： SIEM 工具通常會產生大量警示，其中包括誤報。這可能使安全團隊不堪負荷並導致警示疲勞，進而忽略真正的威脅。
• 雲端特定功能有限： 雖然 SIEM 提供廣泛的安全涵蓋範圍，但在管理雲端特定權限與存取控制方面，可能無法像 CIEM 一樣提供相同程度的細緻度。
• 威脅偵測中的記錄： SIEM 系統有時可能難以進行即時威脅偵測，尤其是在未妥善最佳化，或組織網路產生大量資料的情況下。
• 依賴關聯規則： SIEM 高度依賴預先定義的關聯規則，而這些規則需要定期更新，才能跟上不斷演變的威脅。如果這些規則已過時或設定不當，系統可能會漏掉新的或複雜的攻擊。

CIEM 限制

• 聚焦範圍狹窄： CIEM 明確是為管理雲端環境中的存取與權限而設計。這表示它無法為地端或混合式 IT 基礎架構提供全面的安全涵蓋。
• 威脅偵測能力有限： 與 SIEM 不同，CIEM 並不專注於監控與關聯整體 IT 環境中的安全事件。這使其在偵測更廣泛的安全威脅或事件時，效果較差。
• 依賴雲端環境： CIEM 高度依賴雲端基礎架構，因此在以地端系統或混合式解決方案為主的環境中，其有效性會降低。
• 整合挑戰： CIEM 在與其他安全工具和系統協同運作時，可能面臨整合挑戰，尤其是在具有多個雲端服務供應商的多樣化 IT 環境中。
• 報告能力較不全面： 雖然 CIEM 在雲端環境中提供強大的合規支援，但它可能無法像 SIEM 系統那樣，提供同等程度的詳細跨環境報告與鑑識能力。

何時在 CIEM 與 SIEM 之間做出選擇

重點如下： 如果您採用雲端優先策略，並正在尋找用於管理雲端身分與權限的專業解決方案，請選擇 CIEM。如果您在混合式環境中營運，請選擇 SIEM，因為 SIEM 可針對地端與雲端資源中的安全資料彙整與分析，提供全面性的解決方案。

但事情不只如此。

以下是一些使用案例的詳細分析：

1. 以雲端為中心的需求：CIEM 專為處理雲端環境的細微差異而打造。它透過提供控制雲端身分與權限的工具，來應對動態權限管理、分散式工作負載及多雲合規等挑戰。

SIEM 雖然功能全面，但缺乏有效管理雲端特定權限與存取設定所需的專業能力。

該如何選擇？

如果您的基礎架構採雲端優先，CIEM 可提供管理雲端身分與安全性所需的細緻度，並符合雲端原生架構的動態特性。

1. 混合式基礎架構： SIEM 在混合式環境中表現出色，可將地端與雲端資源的資料整合到單一可視化介面中。它讓您能夠監控整個基礎架構中的安全事件，提供串聯傳統系統與雲端系統的洞察。

CIEM 僅專注於雲端資源，因此在具有大量地端基礎架構的環境中，其實用性受到限制。

該如何選擇？ 

在混合式架構中，SIEM 是更有效的解決方案，因為它可統一所有環境中的安全監控，確保可視性沒有缺口。

1. 威脅偵測能力： SIEM 採用進階分析、行為分析與機器學習來偵測潛在威脅，包括跨多種環境的異常與可疑活動。其偵測能力涵蓋雲端資產。

CIEM 相較之下，主要設計用於識別設定錯誤與過度配置的權限，特別是在雲端環境中，但缺乏更廣泛的威脅偵測範圍。

該如何選擇？

若需要涵蓋多環境異常偵測的全面威脅偵測能力，SIEM 的功能更符合完整安全營運的需求。

1. 事件回應能力： SIEM 提供廣泛的事件回應功能，包括與安全工具整合、自動化工作流程，以及案件管理系統。這些功能對於快速識別與解決安全事件至關重要。

CIEM 有助於簡化雲端特定的事件管理，尤其是在雲端權限方面，但無法提供 SIEM 所具備的更廣泛事件回應框架。

該如何選擇？

當事件回應速度與效率至關重要時，SIEM 是更優越的選擇，尤其是在涵蓋雲端與地端資源的環境中。

1. 雲端安全計畫成熟度： SIEM 可作為剛開始雲端旅程之組織的基礎安全層，提供橫跨雲端與傳統環境的廣泛可視性。隨著雲端採用持續推進，整合 CIEM 可透過處理雲端特定的身分與權限風險，強化您的雲端安全態勢。

CIEM 雖然具備專業性，但在雲端採用初期可能過於繁重，因為此時仍需要更廣泛的可視性。

該如何選擇？

SIEM 非常適合早期階段的雲端環境，因其具備全面監控能力；而隨著您的雲端基礎架構日趨成熟，並需要更聚焦的雲端安全管理時，CIEM 的價值也會愈加提升。

總結：整合 CIEM 與 SIEM 以實現強健的安全防護

CIEM 與 SIEM 對於保護組織基礎架構的不同面向都至關重要。CIEM 著重於管理雲端身分與權限，而 SIEM 則處理跨系統的即時威脅偵測。在以雲端為基礎的環境中，身分、權限與安全事件更加動態且分散，整合這些工具可提供全面性的方法。

CIEM 共同控制雲端特有的存取風險，而 SIEM 則持續監控整個網路中的安全威脅，從而建立更強大的防禦，以對抗現代雲端與混合式基礎架構威脅。

透過將這些工具與 SentinelOne 結合，組織可以主動管理其安全態勢，確保雲端特有挑戰與更廣泛的 IT 安全需求都能獲得有效因應。

透過 SentinelOne，組織可以：

• 無縫整合 SentinelOne Singularity AI SIEM 與 Singularity Cloud Native Security，其具備 CIEM 功能，以實現統一的安全態勢，結合進階威脅偵測與全面的存取管理
• 對您的伺服器、網路與雲端環境享有無與倫比的可視性與控制能力
• 實現即時威脅偵測與主動式事件回應，確保您的組織能領先因應新興威脅。

立即申請示範，與 SentinelOne 一同體驗 CIEM 與 SIEM 在保護貴組織數位環境方面的無縫整合。

結論

CIEM 和 SIEM 對於實現整體性的 雲端安全 都同樣不可或缺。一者管理權限，另一者則處理日誌以進行分析。CIEM 控制可因應雲端特有風險，並可主動管理雲端安全態勢。雖然 CIEM 非常適合雲端採用的早期階段，但 SIEM 則非常適合擴大可視性。我們建議同時使用兩者以獲得最佳成效。