面對惡意的駭客攻擊,雲端運算有比較安全嗎?

雲端運算革命性改變了 IT 的世界,企業變得更容易部署基礎架構與應用程式,也更容易架設一些對外的服務。對許多企業來說,不必花費數百萬美元購置機房設備在企業內成立自己的資料中心,是個相當誘人的點子。此外,將資源移到雲端肯定是比較安全,對吧?雲端供應商必定會確保我們的資料和應用程式安全無虞,不讓駭客有任何機會。大錯特錯!我經常從許多客戶那邊聽到這種幻想,而且多到有點不太尋常。事實上,若是缺乏正確的組態設定與適當的雲端管理技能,並且正確落實良好的資安原則的話,雲端服務其實也會 (即使不一定更容易) 遭到攻擊。

繼續閱讀

資安基礎觀念:採用 RASP (執行時期應用程式自我防護) 來保護無伺服器與容器應用程式

近年來,容器與無伺服器技術的需求大增。根據市場研究顧問機構指出,全球容器市場規模預計將從 2018 年的 12 億美元成長至 2023 年的 49.8 億美元,而無伺服器架構也將 從 2020 年的 76 億美元成長至 2025 年的 211 億美元。企業對容器與無伺服器技術的需求之所以成長,原因在於它們能為企業提供開發和部署應用程式時所需的擴充性、效率及成本效益。

然而,如同任何其他新興技術一樣,容器與無伺服器技術對於資安威脅和風險也同樣無法倖免。駭客為了增加受害者,隨時都在擴大攻擊範圍,因此遲早會針對這些技術開發出各式各樣的攻擊手法,並增加攻擊頻率。在這樣的情況下,企業該如何強化這類應用程式的安全以防範潛在的攻擊?

本文將探討開發人員必須知道的一些資安考量,以及如何利用所謂的執行時期應用程式自我防護 (RASP) 將資安整合至執行時期的應用程式,為容器與無伺服器應用程式提供最佳的防護。

繼續閱讀

IoT/雲端匯流的資安指南

 物聯網(IoT ,Internet of Thing目前已一躍成為全球在面對新冠狀病毒(COVID-19)疫情困境時的救星。由於 IoT 在許多生活方面都能減少人跟人的接觸,所以在人們必須遠距上班並且保持社交距離的情況下,IoT 似乎成了一個完美的解決方案。不過,企業機構之所以能順利大規模部署 IoT,還要拜 雲端運算之賜。

IoT 與雲端運算的整合,例如各種支援 IoT 的雲端服務 (統稱 IoT 雲端),正為產業的運作方式開闢了一片新的疆土。也因此,IoT 及雲端各自存在的資安風險,以及兩者匯流之後的效應,實在不容小覷。

繼續閱讀

企業上雲 資安管理有跡可循!–趨勢雲端資安風險管理

企業積極擁抱數位轉型,但層出不窮的網路攻擊,或人為使用不當造成的資安危機,往往讓企業IT人員聞雲端色變,不少企業高層也對「雲」的安全性充滿疑問。趨勢科技目前在雲端服務供應商AWS中註冊超過600個帳號,也是AWS與Azure等雲端平台在台灣的重度使用者,希望藉由此文分享我們對資安管理的哲學、政策與經驗,讓台灣企業在上雲或考慮上雲時,提供台灣企業上雲的參考。

 By 趨勢科技 全球資安長 Jonah Feng

雲端移轉的三大資安疑慮


對趨勢來說,資安三大疑慮分別為帳號遭竊、帳號使用透明度以及內部使用者的不當使用。首先,趨勢所使用的雲端帳號各自獨立,不會互相影響,但如果單一使用者使用不當,或是安全屏障不夠高,就有可能遭到入侵,最後只能被迫取消該帳號。其次是當一個雲端帳號建立後,使用者活動軌跡?使用了哪些資源?這些看不到的風險都可能造成資安漏洞。最後則是內部使用者的不當使用,雖然這個問題在地端也可能發生,但因為企業對雲端技術掌握度較低,無法及時修補資安問題,此疑慮在雲端的環境帶來的風險將遠大於地端。

繼續閱讀

基礎架構程式碼:資安風險與如何防範?

基礎架構程式碼 (IaC) 是 DevOps 實務中實現軟體開發靈活性很重要的一環,在這份報告當中,我們點出了 IaC 實務上的一些資安風險以及對應的最佳資安實務原則。

由於 IT 基礎架構所承受的要求以及持續整合/持續交付 (CI/CD) 流程的風險不斷升高,因此,一致而可擴充的自動化顯得日形重要。這就是「基礎架構程式碼」(Infrastructure as Code,簡稱 IaC) 所扮演的角色。IaC 是一種利用機器可解讀的檔案格式來配置、設定與管理基礎架構的實務方法。有別於手動設定企業內及雲端環境的作法,系統管理員和系統架構師可透過 IaC 來將上述工作 自動化。IaC 與基礎架構服務  (Infrastructure as as Service,簡稱 IaaS) 兩者絕配,而且也廣獲眾多企業採用,不僅可 加速開發及擴充雲端環境,又能降低成本。

IaC 在概念上類似撰寫腳本來將 IT 流程自動化,不過 IaC 採用描述性語言來實現更彈性的資源配置與部署 (也就是由軟體本身來負責啟動基礎架構變更),而且 IaC 對雲端運算與 DevOps 尤其重要。

IaC 工具大致可分成兩類:一種是協調工具,用來配置、組織與管理基礎架構元件 (如 CloudFormationTerraform);另一種是組態管理工具,用來安裝、更新、管理基礎架構元件內所執行的軟體 (如 AnsibleChefPuppetSaltStack)。這類工具可讓開發人員和雲端架構師消除一些容易出錯的手動流程,讓大規模的組態設定與管理作業得以簡化。

繼續閱讀