容器為企業帶來了各種很棒的效益：輕量化、彈性、擴充性，以及不同平台之間的一致性。
容器的特性之一就是，它們是在指定的命名空間與分開獨立的資源上執行。如果採用一般通用的作業系統來執行容器，會讓人有殺雞用牛刀的感覺，因為這類作業系統的許多功能和介面都將無用武之地。
網路資安一個很重要的原則就是要盡量減少暴露在外的介面，然後再套用最嚴格的組態設定，僅執行絕對必要的功能來強化平台的安全性。
開發人員若要在受限制的平台上部署容器 (例如在 AWS Fargate 上部署「無伺服器」容器)，就應採取不同的資安思維，除了向上溯源、超前部署，還要環顧雲端四周，尋找各種契機來妥善保護雲端原生應用程式。喔，還有別忘了要往外看…
繼續閱讀災難不會等您做好準備才來，很可能哪天就有駭客趁著您週末出遊時，不消幾分鐘就入侵了您的雲端基礎架構。
妥善的資安管理就如同做好防曬工作一樣。當下您或許還不會覺得陽光有多強烈，但過一陣子之後才突然驚覺皮膚已經曬傷。
企業移轉到雲端的理由，不外乎為了速度、靈活性、擴充性以及成本效益，但企業也都已意識到，雲端的效益要能發揮，還需配合嚴格的資安管理。隨著越來越多企業邁向雲端，資安團隊也開始在夜裡擔心自己的基礎架構是否安全。
也許在某個角落就有某個駭客將您鎖定為目標，正在暗中試圖突破您的防線。然而，妥善的資安管理就如同做好防曬工作一樣。當下您或許還不會覺得陽光有多強烈，但過一陣子之後才突然驚覺皮膚已經曬傷。
根據 Trend Micro Cloud One – Conformity 對其全球客戶的問題所做的分析指出，「資安」顯然是 AWS 基礎架構當中最具挑戰的問題。
根據 2019 年 6 月的一項內部調查顯示，有超過 50% 的問題都可歸類為「資安」問題。
我們當然有能力降低雲端基礎架構的資安問題，但首先我們必須先克服資安漏洞發生的原因。
1.未頻繁定期掃描帳戶
假使您一天之內會作好幾次部署服務和資源的動作，那麼您必須每隔一段時間就掃描一次您所有的環境和運算實體 (Instance)。像 Conformity Bot 這樣的工具會根據 530 項規則來掃描您的帳戶，涵蓋 AWS Well-Architected Framework 的五大架構支柱，協助您發掘潛在的資安風險並判斷優先處理次序。您甚至可以設定掃描的頻率，必要時也可手動掃描。
2.未投資預防性措施
一些看似無害的組態設定錯誤，有可能為您帶來巨大的損失，甚至迅速升級成資安事件。因此，您可花一點點時間預先掃描一下您的控制及測試環境所用的帳戶之後再啟動任何資源或服務。您可使用 Template Scanner 工具來根據 CloudFormation 範本掃瞄您的帳戶設定，確認沒有任何資安或法規遵循的問題之後再部署上線。
3.未監控即時活動
災難不會等您做好準備才來，很可能哪天就有駭客趁著您週末出遊時，不消幾分鐘就入侵了您的雲端基礎架構。因此，您必須要能隨時掌握即時的活動，才能立即對威脅做出回應而不發生延誤。有了 Real-Time Monitoring Add-on 這樣的工具，您就能即時追蹤您的帳戶活動，預先設好組態，一發現可疑活動就立即發出警示。例如，您可設定一些警示來監控來自特定國家或區域帳戶活動。
4.未適時通報風險
監控作業所獲得的資訊，如果未能送達適當的人員，好讓他們迅速採取行動，也是枉然。所以，維持資安營運順暢的最佳實務原則之一，就是將資安活動及事件融入資訊通報管道當中。Conformity 可讓您將 AWS 帳戶與 Jira、電子郵件、簡訊、Slack、PagerDuty、Zendesk、ServiceNow ITSM 以及 Amazon SNS 等資訊通報管道整合。不僅如此，還可以設定一些觸發條件來將通知與警示透過選定的通道發送給預先設定的團隊。
AWS 提供您建置應用程式和基礎架構所需的服務和資源，但請記住「資安」是一項共同分擔的責任，因此您必須扮演主動的角色。
看看趨勢科技如何協助您履行您在雲端資安方面的共同義務：https://www.trendmicro.com/zh_tw/business/products/hybrid-cloud/cloud-one-conformity.html
祝您一路平安！
原文出處：Four Reasons Your Cloud Security Is Keeping You Up At Night
幾年前，金融時報發生了一起差點釀成悲劇的攻擊。駭客 (事後證明是敘利亞網軍) 利用一個事先入侵的電子郵件帳號，在金融時報內部發送網路釣魚郵件，進一步取得了更多電子郵件帳號的登入憑證。當 IT 人員發現這起內部網路釣魚攻擊時，立刻透過郵件通知所有使用者，並附上一個連結讓使用者更改密碼。問題是，駭客也看到了 IT 人員的這封信，因此又重發了一次該信，但是將連結改成指向駭客架設好的網路釣魚網站。這下子駭客順利取得了所有他們想要的系統帳號密碼，不過最後，駭客覺得金融時報只是個小咖，因此轉而攻擊其他媒體機構。
案例一：竊取高達 87GB敏感資料的 EyePyramid,被誤認是國家級駭客的想發財兄妹檔!
案例二：內部 Office 365 登入憑證網路釣魚,詐財匯款得逞
案例三：駭客修改金融時報IT 人員發送給內部的密碼修改連結,差點釀成悲劇
今日資安人員日益擔心的一項問題就是「來自內部」的網路釣魚（Phishing）攻擊，也就是由企業機構內部同仁所寄來的網路釣魚郵件。內部網路釣魚郵件通常是駭客多個攻擊步驟的環節之一，駭客通常先讓使用者裝置感染惡意程式，以便掌控使用者的電子郵件信箱，或取得使用者的帳號密碼。接著，歹徒再利用這個郵件帳號在企業內部發送網路釣魚郵件以從事針對性攻擊，進而竊取企業資訊或從事勒索。除此之外，變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)也經常利用這類郵件來促使財務部門匯款。由於寄件者是內部的同仁，因此收件者很容易不疑有詐。
今年稍早遭到起訴的「Eye Pyramid」犯罪集團，多年來成功竊取了不少資料。他們最愛使用的技巧就是夾帶惡意附件的網路釣魚郵件，他們會先入侵一位使用者的帳號，然後再利用該帳號來入侵另一名使用者的帳號。其電子郵件附件所夾帶的惡意程式會蒐集使用者的資料，並將資料傳送給駭客，其中也包括電子郵件地址，因此他們就能尋找下一個攻擊目標。歹徒用這方法入侵了 100 多個電子郵件網域以及 18,000 個電子郵件帳號。如此龐大的規模看似是政府撐腰的駭客集團所為，但其實只是一位義大利核子工程師和他妹妹而已，兩人單純只是想靠竊取資料發財而已。