企業的下一個挑戰:如何為全公司的容器和大型應用程式提供最佳防護?


談到軟體容器防護,很重要的一點是,企業必須放眼大局,考慮容器如何影響企業整體資安需求以及開發營運 (DevOps) 未來的需要。好的方法能讓資安團隊建立一個面面俱到的資安策略,既可避免建構時期與執行時期發生資料外洩或遇到資安威脅,又不影響應用程式 DevOps 團隊的靈活性和速度。

雖然資安和 IT 人員必須解決 DevOps 快速靈活的腳步所衍生的資安問題,但卻面臨了企業組織及流程去集中化的挑戰。而既然工作負載和營運環境隨時都在變化,因此,網路資安問題並無單一解決之道,只能憑著手上現有的資訊來應變。為了應付當前的資安情勢,並且了解如何將容器環境納入資安防護,我們必須先問問自己幾個深入的關鍵問題。

工作負載的環境和以往有何不同?今日開發團隊的著眼點又在哪裡?(也就是:從虛擬機器到雲端,再到無伺服器環境、DevOps、微服務,以及根據交付與運轉時間為評量標準)。

許多年前,我們與客戶的對話大多圍繞在如何將傳統老舊的工作負載從資料中心移轉至雲端。在這「升級」的過程中,客戶必須考慮要在雲端內採用何種 IT 工具及資安防護才能讓營運流暢。許多客戶在移轉至雲端之前就已採購的一些傳統工具,在移轉至雲端之後將很難沿用,因為它們並非專為雲端而設計。

但近幾年來,這批將工作負載移轉至雲端的客戶,也開始採用一些雲端原生服務來開發新的專案和應用程式,並且在 Docker 容器以及 AWS Lambda、Azure Functions 和 Google Cloud Functions 等無伺服器環境開發新的應用程式。這些技術讓企業能夠採用 DevOps 營運流程,持續不斷開發各自獨立又互相配合的應用程式「零件」,以實現比開發大型應用程式更快的成果。這些新的開發計畫,也催生了所謂「持續整合/持續交付」(CI/CD) 流程的出現,透過 Git 來進行原始程式碼管理 (代管版本的 GitHub 或 BitBucket)、使用 Jenkins 或 Bamboo 來執行 DevOps 自動化,然後搭配 Kubernetes 來進行容器的自動化部署、擴充與管理。

繼續閱讀

IoT 物聯網裝置的四個資安風險

物聯網(IoT ,Internet of Thing)可說是今日應用最廣泛的技術之一。網際網路的無所不在、網路頻寬的不斷成長、連網裝置的多元化,都讓 IoT 充滿擴充性和多樣性。幾個 IoT 目前已徹底改變的產業包括:食品生產製造、金融、醫療能源,尤其是其延伸出來的工業物聯網 (IIoT)。不僅如此,IoT 也催生了智慧家庭智慧建築、甚至智慧城市

然而 IoT 的日益普及,也讓我們必須正視其可能帶來的後果。例如,在企業環境中,IoT 通常被歸類為辦公室自動化 (OA) 與營運技術 (OT) 領域。換句話說,企業內早已部署了各式各樣的 IoT 和 IIoT 裝置。在這樣的情況下,一些原本未曾出現網路資安風險的領域將有更多機會遭遇資安威脅。在這些相當普遍的領域當中,IoT 裝置的資料蒐集和監控能力很可能對一些關鍵系統帶來影響,例如企業內網路和資料庫伺服器。結果,即使看似無害的 IoT 裝置,如智慧馬桶智慧咖啡機,都有可能造成重大衝擊,視其所處的環境而定。
[延伸閱讀: 印表機,心臟輔助裝置, 咖啡機可在未經授權下存取連網設備 ]

所以,採用 IoT 很重要的一點就是必須預先知道這項技術可能對其應用環境帶來什麼樣的影響,特別是一些可能讓 IoT 系統和裝置遭到攻擊的資安考量。

IoT 的四個資安風險

IoT 系統及裝置的相關威脅之所以可能衍生更大的資安風險,原因就在於其底層技術的特性。這些特性雖然可以讓 IoT 環境變得更便利、更有效率,但卻很可能被歹徒所利用。

其中包括:

繼續閱讀

何謂託管式偵測及回應 ( MDR )?

「託管式偵測及回應」(Managed Detection and Response,簡稱 MDR) 是一種資安委外服務,專為企業提供威脅追蹤及應變服務,其中最重要的就是專業網路資安人才的投入:由資安廠商的研究人員和工程人員來幫 MDR 服務的客戶監控網路、分析事件、回應各種資安狀況。

MDR 能解決什麼挑戰?

MDR 能解決現代化企業面臨的一些重大資安挑戰,最其中最顯而易見的就是填補企業網路資安人才的空缺。一些較大型的企業或許有能力成立並訓練自己的專責網路資安團隊來執行全天候的威脅追蹤監控,但大多數的企業在資源有限的情況下卻很難做到這點。這樣的情況在那些經常成為網路攻擊目標、但卻缺乏充足人力的中大型企業更是如此。

然而,就算企業願意投入這樣的人力和財力,也不容易招募到合適的資安專業人員。根據研究,2016 年全球未填補的網路資安職缺約有 200 萬個,而且預計到 2021 年該數字將成長至 350 萬個。

繼續閱讀

留言就送玩具總動員4限量貼圖? 近五萬民眾被騙!

玩具總動員4上映了!詐騙集團也看準了這波行騙機會,成立 假 Facebook 臉書粉專,號稱進行留言就能下載貼圖的活動,可愛的手繪角色貼圖吸引近五萬人參與。

趨勢科技防詐達人再次呼籲民眾,留言按讚分享就送貼圖的活動並不常見,在臉書上十之八九都是詐騙集團。不要為了貪一時便宜就被騙走個資了!

留言就送玩具總動員4限量貼圖?   近五萬民眾被騙!

兩個假臉書粉專同步進行詐騙:粉專名稱分別是:” Line原創貼圖 ” 和” Disney影業 “

目前看到兩個假臉書粉專(粉絲專頁/粉絲團)同步進行詐騙:粉專名稱分別是:” Line原創貼圖 ” 和” Disney影業 ” ,目前兩者加起來的詐騙總數近五萬人 。

繼續閱讀

何謂容器(Container)?

什麼是「容器 (Container) 」? 「容器 (Container)? 」 是一個軟體單元,裡面包含了所有讓應用程式在各種不同環境 (如不同電腦硬體、基礎架構或雲端環境) 都能順利執行的必要元素,包括:程式碼、執行時期環境、系統工具、系統程式庫、軟體相依性等等。

採用容器,讓軟體開發更加方便。傳統上,一個軟體要從某個運算環境移植到另一個運算環境上執行,會遭遇許多困難。例如,當底層支援的軟體環境不同時,就可能帶來許多挑戰。而容器之所以能解決此問題,就是因為容器將所有必要的元素全部包裝在一起。如此一來,就能消除底層作業系統和基礎架構差異性所帶來的問題,因為容器執行時期環境已抽離這些差異性。

什麼是容器映像(container image)?

容器映像 (container image) 包含了可執行程式碼、支援程式庫、運算要求條件,以及在某種 IT 基礎架構上運作一個執行程序所需的其他物件。每個容器都需要載入一個容器映像來執行。

繼續閱讀