「速度」是企業移轉到雲端上開發應用程式的主要原因，而且為了達到日益嚴苛的期限要求，許多營運開發 (DevOps) 團隊都轉而採用基礎架構程式碼 (Infrastructure as Code，簡稱 IaC) 來建立大量新的專案。但他們有採用安全的作法嗎？本文探討 IaC 的資安挑戰，並看看資安長 (CISO) 如何挑選適當的雲端防護工具來支援快速開發流程以驅動創新。
何謂 Iac? 對資安長 (CISO) 為何重要?
標籤: 雲端運算
SecOps 資安營運團隊在個人及工作上所面臨的挑戰
資安最前線：揭露 SecOps 團隊在個人及工作上所面臨的挑戰。一份新的研究顯示，資安團隊正因為超量工作而身心俱疲，但企業卻苦無對策。
人們很容易忘記，網路資安基本上是「人」的問題，網路攻擊是由人 (駭客) 所發動，網路釣魚郵件是由人 (企業員工) 所開啟，而數量不斷增加的資安威脅，同樣也必須是由人 (企業 SecOps 團隊) 來偵測與回應。儘管目前科技已相當發達，但還未發展到整個防禦體系都能完全自動運作的程度。所以，當您最珍貴的資源，也就是您的資安團隊，面對當前的工作量已經身心俱疲時，會發生什麼狀況？
根據趨勢科技最新的研究顯示，越來越多的企業正面臨同樣的問題，但很少人能提出一個滿意的答案。其實在這樣的壓力之下，SecOps 團隊需要更好的工具來交叉分析各種警示通知，以便判斷警示的優先次序，好讓團隊更有效率工作。
處於劣勢
趨勢科技研究針對全球 21 個地區大大小小的企業機構 2,303 名 IT 資安決策者進行了一份問卷調查。我們發現，有將近四分之三 (74%) 的受訪者正在處理已經發生的資安事件，或者預期未來一年之內可能會需要處理。
修補更新管理的惡夢：現況及未來
隨著資料的價值及用途不斷被人們 發現，一些專門利用系統漏洞的目標式攻擊 和威脅也越來越多。廠商與企業都已注意到這項趨勢，也一直試圖努力跟上趨勢的變化，但目前情況對 IT 團隊來說卻仍是憂喜參半。
為了降低資安風險，修補更新的追蹤及管理已經成為系統管理員和 IT 團隊的惡夢，更何況這還只是他們每天日常工作的一小部分，而且他們的人力越來越零散。在理想的狀況下，企業每幾年就會重新檢討一次企業的各項政策，包括資安政策和目標，並透過一些可持續達成的目標來確保永續性、效率及行動性。值得注意的一點是，中小企業 (SMB) 一直在努力 迎頭趕上大型企業，而且在系統的定期修補與管理方面有些時候甚至比大型企業做得更好，但整體而言，隨著技術與網路資安領域的不斷發展，企業的修補更新管理政策仍有許多改進空間。
繼續閱讀企業上雲 資安管理有跡可循！–趨勢雲端資安風險管理
企業積極擁抱數位轉型，但層出不窮的網路攻擊，或人為使用不當造成的資安危機，往往讓企業IT人員聞雲端色變，不少企業高層也對「雲」的安全性充滿疑問。趨勢科技目前在雲端服務供應商AWS中註冊超過600個帳號，也是AWS與Azure等雲端平台在台灣的重度使用者，希望藉由此文分享我們對資安管理的哲學、政策與經驗，讓台灣企業在上雲或考慮上雲時，提供台灣企業上雲的參考。
By 趨勢科技 全球資安長 Jonah Feng
雲端移轉的三大資安疑慮
對趨勢來說，資安三大疑慮分別為帳號遭竊、帳號使用透明度以及內部使用者的不當使用。首先，趨勢所使用的雲端帳號各自獨立，不會互相影響，但如果單一使用者使用不當，或是安全屏障不夠高，就有可能遭到入侵，最後只能被迫取消該帳號。其次是當一個雲端帳號建立後，使用者活動軌跡？使用了哪些資源？這些看不到的風險都可能造成資安漏洞。最後則是內部使用者的不當使用，雖然這個問題在地端也可能發生，但因為企業對雲端技術掌握度較低，無法及時修補資安問題，此疑慮在雲端的環境帶來的風險將遠大於地端。
縱深防禦的多層式雲端內防護
意見領袖討論今日網路防護的演進、現況及未來。在介紹完過去的歷史及重要觀念之後，順便告訴讀者為何資安團隊需要多層式雲端內防護。
入侵防護 (IPS) 與雲端的發展歷史，以及為何我們又將回到歡樂時光
在最近之前，網路防禦不僅似乎繞了一圈又回到了原點，而且還讓我們倒退到過去。在網路層次防範攻擊，一開始只能做到偵測，當偵測到惡意活動時，必須靠人工採取行動來降低損害，而且回應速度得夠快才行。此時防範的重點在於限制哪些流量可以通過閘道與防火牆，然後再交由 IDS (入侵偵測) 來偵測惡意活動。這聽起來似乎沒有很強，確實如此，所以後來才會進步到所謂的 IPS (入侵防護)。既然可以偵測到攻擊流量，那為何不乾脆加以攔截？