探索混合雲的安全挑戰、安全元件，以及如何大幅降低網路風險
因為遠端工作者的大量出現和不斷變化的客戶需求造成了更高的業務敏捷性需求，也因此需要加速向雲端轉移。根據Forrester的資料，有94%的美國企業基礎架構決策者正在使用至少一種的雲端部署。
雖然有推動雲端原生的趨勢，但現實是多數企業會將關鍵資料或關鍵系統放在私有雲或本地端，同時利用公共雲進行業務運作和客戶服務。
這樣的混合雲架構需要一種現代化且全面的網路安全方法來保護關鍵資料及應用程式開發，同時不會拖慢運作流程和交付速度。本篇文章將會檢視關鍵的混合雲趨勢、安全迷思，以及加強網路安全成熟度的建議。
繼續閱讀本文討論什麼是 OPA、它的用途是什麼，以及我們在 Shodan 上找到 389 台暴露在外的 OPA 伺服器時發現了什麼，還有暴露在外的 OPA 可能對您應用程式的整體安全帶來什麼負面影響。
今年稍早，趨勢科技發布了一份報告 指出我們透過 Shodan 找到了 243,469 個暴露在外的 Kubernetes 節點。過程當中，我們也發現了 389 台暴露在外的開放政策代理 (Open Policy Agent，簡稱 OPA) 伺服器。OPA 是雲端原生運算基金會 (Cloud Native Computing Foundation，簡稱 CNCF) 底下的一個開放原始碼專案，使用 Go 程式語言開發，是許多政策貫徹工具的核心引擎，目前已累積超過 1.3 億次下載，其政策是使用一種名為「Rego」的特殊宣告式政策語言來撰寫。OPA 可用於各種系統和環境，如：Kubernetes、微服務、API 閘道，以及其他雲端原生工具。假使 OPA 伺服器未妥善保護，其政策將暴露在外，進而洩漏一些敏感資訊，包括使用者設定檔與使用中的服務。此外，這些暴露在外的政策還可能意外洩漏有關系統行為的資訊，讓駭客知道如何避開政策管制來發動攻擊。
繼續閱讀本文介紹一起針對 Alibaba Cloud (阿里雲) OSS bucket的惡意攻擊，此攻擊使用外洩的登入憑證來散布惡意程式並暗中挖礦。
先前我們介紹過駭客如何利用組態設定錯誤、或是利用強度太弱的密碼或惡意程式搜刮到的登入憑證來駭入 Huawei Cloud (華為雲) 等雲端環境並安裝虛擬加密貨幣挖礦惡意程式。
這一次，我們發現了一起駭客攻擊使用 Alibaba Cloud 的物件儲存服務 (OSS) 來散布惡意程式並從事虛擬加密貨幣挖礦。OSS 是一種可讓 Alibaba Cloud 客戶將網站應用程式的圖片和備份資訊等等儲存在雲端的服務。不幸的是，這已經不是第一次我們發現專門攻擊 Alibaba Cloud 的駭客，今年稍早我們也介紹過駭客停用了 Alibaba Cloud 的某些功能以便能暗中挖礦。
繼續閱讀【2022 年 7 月 28 日台北訊】全球網路資安領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 今日宣布根據 IDC 最新的雲端工作負載防護市場占有率報告註一，該公司在全球快速成長的雲端防護市場持續維持領先地位。
欲閱讀完整 IDC 獨立市場分析報告，請至：https://www.trendmicro.com/explore/idc-cloud-workload-security
繼續閱讀
趨勢科技資安研究員 Erin Sindelar 詳細解釋三種常見的雲端風險評估方式來協助資安長與資安領導人向董事會說明雲端資安風險。
資安風險的質化與量化一直是資安長 (CISO) 的一項挑戰。當您的基礎架構就在企業內部，而且您知道自己有什麼資產，並且知道資料都存放在哪裡時，這件事就已經是很難了。更何況隨著企業移轉至雲端，數位受攻擊面持續擴大，不僅基礎架構變得分散，而且企業內還有許多自主管理的雲端資源，這件事將變得難上加難。
為了協助資安長更簡單扼要地向董事會說明企業的雲端風險與資安情況，我們設想了一個問題：「如果資安長要用 15 分鐘的時間跟一張投影片來向董事會說明，那麼資安長該如何讓董事會了解企業的雲端風險？」
對資安長來說，這真是個大哉問，網路資安的影響層面太大，甚至超越了運算與內部應用程式，這基本上是雲端的一項挑戰。根據我們和客戶接觸的經驗，雲端風險的評估主要有三種方式。
繼續閱讀