什麼是 Azure 端點安全？

我們都很熟悉藍畫面死當。Microsoft 的大規模中斷事件證明了錯誤更新如何讓業務營運陷入混亂。管理異質 OS 生態系並不容易，而且保護您的端點免受各種網路威脅非常重要。

我們相信，安全實務與 Gen AI 工具的使用需要協作努力。安全風險可能源自於透過紅隊測試生成式 AI 系統來產生內容。這些風險可能導致公平性問題、不準確性，而且系統可能需要手動探測以識別潛在盲點。Azure 端點安全解決方案 的設計宗旨是讓組織能夠以負責任的方式在全球推動創新。它們可延伸您的虛擬網路私人位址空間、身分識別，以及與 Azure 資源的安全直接連線。如果您使用 Azure 端點安全解決方案，則不需要任何保留的公用 IP 位址、閘道裝置或 NAT。

在本指南中，我們將探討如何使用 Azure 安全端點、它們為何如此有益，以及您可以實施的最佳實務。

什麼是 Azure 端點安全？

Azure 端點安全 是 Microsoft 提供的雲端原生安全解決方案，可協助保護組織的端點，例如筆記型電腦、行動裝置、桌上型電腦及其他裝置。它旨在防範各種網路威脅，並在您的所有端點上提供即時分析、防護與偵測。

Azure 端點安全會追蹤跨網路的使用者行為並封鎖進階攻擊。這些攻擊可能包括（但不限於）無檔案惡意軟體、零時差漏洞、防火牆入侵、資料外洩嘗試，以及未經授權的資料存取。Azure 端點安全也包含 資料外洩防護 (DLP)，這是任何強健雲端安全策略的關鍵組成部分。它可即時掌握您的端點安全態勢、產生合規報告，並主動進行弱點評估。

為什麼 Azure 端點安全很重要？

您的端點因各種原因而容易受到攻擊。

首先，它們是您公司安全態勢中最薄弱的一環。任何人都可以實體存取它們，而且預設情況下，大多數端點本身並不安全。端點非常容易受到社交工程威脅。使用者可能會在不知情的情況下透過這些端點下載惡意應用程式，或不小心點擊連結。這會讓對手未經授權存取其裝置，並有機會提升權限。

Azure 端點安全之所以重要，是因為它可保護 Azure 資源並保障敏感資訊。您的端點是通往組織的閘道，並為資產建立不同的進入點。Azure 的端點安全對於維持業務完整性與聲譽至關重要，並有助於防止各種財務損失。您可以避免遭受監管罰款及其他複雜訴訟。

如何保護 Azure 端點？

您可以透過保護端點來保護 Azure 資料與應用程式。 Azure Security Center 提供統一介面，可強化您資料中心的安全態勢。它將為混合式工作負載啟用進階防護。

登入您的 Azure 入口網站並前往 Azure Security Center 刀鋒視窗。按一下設定，並確認已從下拉式選單中開啟 Azure Security Center。現在我們已準備就緒，以下是開始的方法。以下是保護 Azure 端點的逐步指南：

步驟 1：設定您的安全性原則

首先建立自訂安全性原則，以處理常見的錯誤設定。您可以設定原則來自動停止 VM、停用資源、修復安全違規，並傳送通知。

步驟 2：持續端點監控與主動式威脅防護

您的 Azure Security Center 將掃描 Azure 資源並識別潛在風險。我們建議透過端點安全儀表板中的「Monitoring」索引標籤啟用端點活動監控。設定端點防護、端點威脅、網路防護及應用程式控制的狀態設定。儲存您想要的變更。

步驟 3：檢閱 Azure 安全性問題

Azure Security Center 將標示重大問題、根據嚴重程度進行排序，並排定優先順序。若要有效處理弱點，請使用 Security Center 的自動修復功能。如果您認為任何問題需要人工訪談，請參閱 Security Center 提供的文件與連結以取得額外協助。

最後一步：新增額外的安全措施

您可以透過啟用 多重要素驗證 (MFA) 來新增額外一層安全性。實作 Azure 角色型存取控制 (RBAC)，並對 Azure 資源套用最低權限存取原則。您應使用 Azure 網路安全性群組 (NSG) 來控制進出 Azure 資源的流量。

Azure 端點安全的優勢

您可以回報端點防護的執行狀態，並使用 Azure Defender for storage 偵測上傳至 Azure 儲存體帳戶的惡意軟體。Azure 端點安全可讓您最佳化網路流量並最佳化路由。安全的 Azure 網路會將您的流量直接從虛擬網路導向 Microsoft Azure 骨幹網路的服務。

端點管理員可讓您輕鬆管理多個裝置，同時保護企業資料。它可深入洞察裝置效能，並透過處理安全性原則與硬體問題來讓您更安心。

以下是 Azure 端點安全的一些優勢：

• 您可以將 VM 部署到 Azure Virtual WAN 中樞。Azure 端點安全可讓您安全地以任何規模移轉任何應用程式，而不會面臨任何效能下降。
• 它可協助您從經驗證的來源與環境下載容器映像。您可以使用 Azure 端點安全工具檢查網路與應用程式流量，以進行威脅分析。
• 使用 Azure 端點安全掃描網路上的使用者行為。您可以更深入了解組織內部正在發生的情況，並發現有助於消除內部威脅的跡象。進階威脅防護與自動化行為分析可立即封鎖複雜攻擊。
• Azure 端點安全在設計時已將可擴充性與易於自訂納入考量。它提供功能與控制措施以滿足您的合規需求。您可以降低安全分支的風險、將影響降到最低，並全面掌握端點活動的可視性。它還具備與 Azure Security Center 無縫整合的額外優勢。

Azure 端點安全挑戰

盤點企業擁有的裝置並找出哪些端點面臨風險至關重要。透過了解您所面對的情況，您可以更妥善地為未來威脅做好準備。並非所有端點安全工具都是安全的，因此灌輸這種認知至關重要。我們已在下方整理出 Azure 端點安全的主要挑戰清單：

• 駭客的目標不僅限於端點

Azure 端點會成為 駭客 的目標，但他們對 Blob 儲存體服務更感興趣。有各種工具可能挑戰 Azure 端點安全最佳實務，而遭棄用的 Microsoft Office 365 帳戶則是主要目標。Azure 環境常常遺漏安全更新與第三方修補程式，而且 Azure AD Federation Services 通常未正確設定以進行主動式驗證。

• 裝置激增與存取管制的缺點

Azure 環境中連接網路的裝置數量正急遽增加。裝置激增是一項真正的挑戰，而企業需要盡最大努力保護 BYOD 計畫。

安全管理員仍然難以實施適當的存取控制。大多數組織不會定期執行稽核；因此企業最終必須支付高額罰款。

• 遠端工作使 Azure 端點安全更加複雜

遠端工作讓員工能對其資料和裝置承擔個人責任。但這也帶來額外的挑戰。日益轉向遠端工作模式可能會削弱 Azure 端點安全。即使是最佳的端點安全措施，如果員工不重視自己端的相關事項，也無法發揮良好效果。例如，公司無法控制他們造訪哪些網站，或是否會不小心下載惡意連結。  也有可能會廣播其 WiFi SSID、使用過時的安全通訊協定，或設定容易被猜中的登入憑證來存取網路。

• 法規遵循要求的變化

有時候，問題不在端點本身，而是在於與其相關的資料儲存、傳輸與攔截所涉及的法律。維持法規遵循 對企業而言是不可妥協的，但不斷變動的要求可能使這件事變得困難。端點預設不會限制使用者存取權限和管理員權限。組織在監控這些裝置時，也不會重新評估其法規遵循策略，這可能對客戶造成負面影響，並導致集體訴訟。

Azure 端點安全最佳實務

使用 Azure 端點安全最佳實務，以免之後情況惡化時才採取行動。在 Azure 中，您需要處理多個元件——資料庫、網路、端點、儲存體，以及許多其他項目。Azure Security Center 可為您提供集中式安全管理、主動式威脅偵測，並簡化法規遵循。然而，要保護您的 Azure 雲端環境，還需要更多協作與更強大的安全措施。

以下是 Azure 端點安全的最佳實務清單：

#1. 使用專用工作站

您的員工每天都會在網際網路上存取各種檔案、連結和網站。在存取公司機密資料時，存在下載惡意軟體的風險。

專用工作站可讓您更輕鬆地處理有時間敏感性且簡單的日常任務。您可以使用 Microsoft 提供的 Privileged Access Workstations (PAW)，掌控 Azure 資源的存取、管理與使用權限。

#2. 記錄活動監控與警示

您可以登入 Azure 入口網站來啟用 Azure 活動記錄與警示。設定活動記錄選項、建立警示規則，並為您想要監控的事件類型設定條件。您可以新增 webhook URL、自訂電子郵件收件者，也可以使用 Azure Logic Apps 來自動化對這些警示規則的回應。

#3. 使用虛擬網路來保護對 Azure 服務資源的關鍵存取

您可以使用 Azure Private Link 存取 Azure PaaS Services。Azure Private Endpoints 可讓您將 Azure 服務資源限制為僅能透過您的虛擬網路存取。如此一來，您可以提升安全性，並完全移除 Azure 資源的公用網際網路存取。它也能防止資料外洩並封鎖對其他資源的存取。您可以私下連線到其他區域中的服務，而且設定與管理都非常簡單。

#4. 使用 Azure DDoS Protection

眾所周知，DDoS 攻擊會以過多請求淹沒應用程式並耗盡其資源。您可以利用 Azure DDoS Protection 即時防止DDoS 攻擊。DDoS 威脅會鎖定您的端點，而 Azure DDoS Protection 可輕鬆在任何新的或現有的虛擬網路上啟用。您將獲得許多優勢，例如即時自適應調校、DDoS 防禦分析、Azure DDoS 快速回應，以及交鑰匙式保護。

#5. 實作 Azure Virtual Network (VN) Peering 和 Azure Bastion

這兩項服務非常適合在不公開暴露 Azure 資源的情況下保護其存取。您可以保護遠端桌面連線、RDP、SSH，並使用 VNet Peering 將多個 Azure 虛擬網路連結在一起。若要管理您的私密金鑰，您可以使用 Azure Key Vault 並加密密碼。

#6. 採用零信任與網路分段

如果您想實現堅不可摧的 Azure 端點安全，最佳做法是採用零信任網路架構。套用網路分段來隔離 Azure 資源，並防止橫向移動的可能性。您也可以使用 Azure Active Directory (AAD) 服務來防止未經授權存取您的資料。使用 Azure Sentinel 取得即時威脅偵測、事件回應，以及雲端式安全資訊與事件管理 (SIEM) 功能。

使用 SentinelOne 強化 Azure 端點安全

SentinelOne 可以保護您的企業免受勒索軟體、惡意軟體、DDoS 威脅及其他形式的網路攻擊。它為 Azure Active Directory 提供 Singularity App，可直接從 Singularity Marketplace 下載。SentinelOne 是先進、自主且由 AI 驅動的網路安全平台，提供主動式威脅獵捕能力、雲端工作負載保護，甚至可保護 IoT 裝置。

其適用於 Azure Active Directory 的 Singularity App 會在端點面臨風險時自動發出警示。它更進一步，會觸發條件式存取原則來保護 Azure 企業資源。組織可以透過使用 SentinelOne 的關鍵功能，採用零信任方法來強化雲端安全。

以下是此平台在強化 Azure 端點安全方面所提供的功能：

• SentinelOne 可以封鎖對敏感資料和資產的存取；其 Azure AD Risky User API 可自動標記使用者身分，並將其標示為已確認遭入侵的風險狀態或高風險等級。
• SentinelOne 的 Azure AD Conditional Access Policies 可觸發多重要素驗證 (MFA) 提示、限制存取，並啟動多種回應。這些回應將使使用者脫離風險狀態並恢復正常。
• Singularity™ Endpoint 將為您提供攻擊面的完整視圖。您可以集中管理資料與工作流程，並對 Azure 端點取得延伸可視性與控制能力。動態裝置探索可讓您自動識別並保護未受管理、已連線至網路且已知會引入新風險的端點。
• Singularity Ranger 將提供即時網路攻擊面控制，以尋找並建立您網路上所有支援 IP 裝置的指紋。
• 使用 SentinelOne 保護 Azure 資源的另一項額外優勢是，它提供同級最佳的 EDR。您可以立即從頭到尾重建威脅，並利用專利 Storyline 技術關聯事件。RemoteOps 將協助您以無與倫比的規模遠端調查並回應 Azure 安全事件，同時降低 MTTR。Singularity 能以機器速度中和 Azure 端點威脅，並可執行惡意軟體分析。

結論

不要等到威脅潛伏在您的基礎架構深處或持續隱藏時才採取行動。請結合使用安全工具與服務來保護您的 Azure 環境。這將關係到企業的完整性與信任。透過採用我們上面概述的最佳安全實務，您可以大幅降低影響並防止發生資料外洩。

如果您使用它，SentinelOne 也能大幅強化您的 Azure 端點安全。而且由於它是自主且由 AI 驅動的，您可以放心自己始終保持最新狀態。