意見領袖討論今日網路防護的演進、現況及未來。在介紹完過去的歷史及重要觀念之後，順便告訴讀者為何資安團隊需要多層式雲端內防護。
在最近之前，網路防禦不僅似乎繞了一圈又回到了原點，而且還讓我們倒退到過去。在網路層次防範攻擊，一開始只能做到偵測，當偵測到惡意活動時，必須靠人工採取行動來降低損害，而且回應速度得夠快才行。此時防範的重點在於限制哪些流量可以通過閘道與防火牆，然後再交由 IDS (入侵偵測) 來偵測惡意活動。這聽起來似乎沒有很強，確實如此，所以後來才會進步到所謂的 IPS (入侵防護)。既然可以偵測到攻擊流量，那為何不乾脆加以攔截？
雲端是今日的當紅炸子雞，善用雲端，就能發揮資源的最大效用、節省時間、提高自動化，也讓您減輕一些資安負擔。您知道駭客也已經跟上時代了嗎？犯罪集團正利用雲端資源來加速拓展版圖。
他們已開始將竊取到的登入憑證與使用者資訊存放在雲端，然後以訂閱或買斷的方式提供給其他犯罪集團使用。在一批含有一千個記錄檔的資料樣本中，我們總共找到了 67,712 個被駭的帳號網址。歹徒建立了所謂的「記錄雲」(Cloud of Logs)，透過訂閱方式來存取，每月費用在 350 至 1,000 美元之間，裡面包含了數千筆或數百萬筆熱門網站 (Google、Amazon、Twitter、Facebook、PayPal 等等) 的帳號和密碼。
到這裡下載有關這個新興市場的完整報告
這些失竊的登入憑證可能使企業遭駭客入侵，而雲端又讓駭客的攻擊更加如虎添翼。
您或許會想：「我們公司的系統百分之百都在企業內部，沒有上雲端，所以我不用擔心」或是「這些都只是個人資訊，並非可能對我不利的商業資料。」
其實這種虛幻的安全感反而讓歹徒更容易得逞，因為歹徒並非攻擊企業的雲端基礎架構，而是利用雲端技術本身來提升並擴大其攻擊行動。而且，不同的帳號重複使用同樣的密碼，是任何企業都很常見的使用者問題，因此，員工個人的資訊安全也是企業風險評估的重點之一。
繼續閱讀資安問題經常是因為應用程式未獲得充分的檢查與防護就貿然部署所導致。那麼，應用程式最大的資安風險是什麼？企業又該如何確保 DevOps 流程的安全？
為了因應產業變化的腳步，數位轉型是企業必經的重要過程。隨著全球因冠狀病毒疫情而陷入停滯，這樣的轉型不僅必要，也更加迫切。當企業開始拓展自己的數位足跡、打造現代化流程讓員工從任何地點都能隨時工作，企業也應思考如何在滿足客戶需求的同時，也簡化程式變更的流程。這股數位轉型趨勢在近幾個月來尤其明顯，各領域應用程式的使用率都明顯暴增 。
應用程式現在已扮演一個不可或缺的角色，許多企業和使用者不論在工作、教育、娛樂、零售及其他用途，都得仰賴各式各樣的應用程式。在這樣的情況下，應用程式開發團隊將扮演著關鍵的角色，不僅要確保應用程式能為使用者提供絕佳的便利性和效能，更要防範駭客攻擊。因為駭客隨時都在尋找弱點、漏洞、組態設定錯誤以及其他可利用的資安破口來發動惡意攻擊。假使企業為了保住業績和營收而急於讓應用程式上線，那麼資安的風險將更加令人擔憂。前一陣子推出的接觸者追蹤應用程式所引發的隱私權問題，就是應用程式開發和部署操之過急而帶來危險的最佳範例。今年五月，美國華盛頓郵報 (The Washington Post) 報導，接觸者追蹤應用程式雖然對政府單位與研究機構在控制疫情擴散方面很有幫助，但卻可能不小心讓駭客取得新冠肺炎 (Covid-19) 確診者的敏感資料。
不安全的應用程式所帶來的嚴重風險，突顯出應用程式防護以及在設計、開發、部署等階段發掘、修正及強化應用程式安全的必要性。本文探討應用程式可能面臨的資安風險與威脅，以及企業該如何將網路資安防護融入 DevOps 流程當中。
應用程式複雜性日益攀升，再加上第三方程式庫及其他問題，讓應用程式更容易遭遇資安風險和威脅。根據 2020 年一份 Forrester 報告指出，資安專業人員認為絕大部分外部攻擊都是瞄準軟體漏洞或網站應用程式。同一份報告也指出，開放原始碼軟體是應用程式安全的一大隱憂，開放原始碼資安漏洞自去年至今已成長 50%。
Ricoh USA, Inc. 企業與資安副總裁暨資安長 (CSO) David Levine 分享他對強化企業內部資安觀念的看法以及雲端優先的策略如何讓該公司營運順利邁入「新常態」
正當各行各業都在經歷劇烈轉變之際，企業 CXX 高階領導人應重新檢討自己的資安與技術架構是否足以因應。為了保護客戶並提升遠端工作人員的生產力及可用性，高階主管紛紛尋求可用的技術方案，例如導入雲端服務。
隨著疫情持續延燒，企業被迫必須實施在家工作的政策，越來越多企業都開始覺得有必要在永續性、安全與行動化方面做出改變。更重要的是，無論企業大小，這樣的改變都將為決策者帶來新的挑戰與契機。
Ricoh USA, Inc. 企業與資安副總裁暨資安長 (CSO) David Levine 對於該產業的演變早已司空見慣，包括網路資安與網路犯罪活動的演進，以及企業治理的觀念需要逐漸擴散到企業的各個層面。Levine 在該公司任職已有 25 年之久，憑著他在 IT 與資安產業的多年經驗，他對企業內的許多職務都不陌生：工程與專案管理、資安、基礎架構、網路中心、營運、法務支援、企業管理、存取管理、實體保全、電子化搜尋 (eDiscovery) 與訴訟支援等等。
繼續閱讀
雲端原生運算是一種在雲端內建構及執行可擴充式應用程式的一種軟體開發方法，不論在公有雲、私有雲、企業內或混合雲等環境，其結合了開放原始碼與非開放原始碼兩種軟體來部署應用程式，如包裝在個別容器中的微服務 (microservice) 即是一例。容器 (如 Docker 容器) 會將所有必要的軟體和應用程式包裝到隔離獨立的處理程序內部。由於企業經常跨多台主機執行多個容器，因此還需要使用 Kubernetes 這類的容器協調系統，並透過持續整合/持續交付 (CI/CD) 工具，遵循 DevOps 方法來管理和部署。最終，雲端原生技術將使企業能徹底發揮雲端資源的效益，不僅能減輕負擔、加快反應速度，而且管理起來也更輕鬆。
如同任何仰賴各種環環相扣的工具與平台的技術一樣，雲端原生運算環境的資安扮演著相當重要的角色。如果有什麼是資安專家們一致認同的看法，那就是：今日沒有任何現代化的複雜軟體系統是「完全無法駭入」的，沒有 100% 無法被滲透的系統、裝置或環境。也因此，才會衍生出一種所謂「縱深防禦」的資安防禦方法，這是一個從軍事領域借用到網路資安領域的概念。
縱深防禦的方法採用多層式控管，在企業內各個不同環節設置資安屏障來提供多重保障，以防萬一某個環節失效或遭駭，還有其他環節可提供保護。雲端原生防護就是採用這樣的方式，將雲端原生系統的防護策略劃分成如下圖「雲端原生防護 4C」所示的四個不同層次。
