<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/15-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">除了雲端硬碟、共編或線上即時工作的應用，伺服器的使用、應用程式的開發，也都是雲端服務的一部分。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>近年來，因應數位轉型，企業「上雲」勢在必行。然而，虎視眈眈的駭客集團，也將目標鎖定在雲端，伺機下手。雲端的強大之處與脆弱性是什麽？使用雲端服務時，又有哪些不得不做的防範措施？來自臺灣的研究團隊就將雲端的力量化為對抗駭客的利器，研發出可以隨網路攻擊變化而再進化的「智慧型安全分析與管理系統」！</p>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">為什麽要人「雲」亦「雲」？談談雲端的強大之處</span></strong></h2>
<p>雲端科技的發展，讓我們逐漸擺脫過去的工作模式，做小組報告可以全線上進行，還能透過編輯紀錄揪出誰在偷懶。除了個人層面的便捷，雲端化又如何影響組織和企業？</p>
<p>&nbsp;</p>
<p>「產業雲端化可以讓企業透過共享的方式，共同開發新的應用程式、創新商業模式，進而提升企業的競爭力與獲利能力。」</p>
<p>&nbsp;</p>
<p>中山大學資訊管理學系陳嘉玫教授細數雲端的種種優點，包括提供更快速、彈性、穩定的服務，同時減少成本與資源浪費。</p>
<p>&nbsp;</p>
<p>舉例來說，按用戶需求收費的雲端服務，讓企業不再需要砸下數百萬元來建置伺服器，大大降低投資門檻與維護成本。目前雲端部署模式大致可分為公有雲、私有雲，以及結合前兩者的混合雲：公有雲就像租公寓，不同的用戶共用整個儲存空間；私有雲則是專門為單一企業設置的雲端環境，就像有專屬個人空間的獨棟住宅。</p>
<p>&nbsp;</p>
<p>不過與無法彈性擴充的房產不同，當雲端資源的需求量提升（例如天王天后天團的演唱會開搶，瞬間湧入數十萬的巨大流量），企業只需向雲端服務商（Cloud Service Provider, CSP）加購額外設備，就可以將「公有雲」公寓擴建成豪宅，一旦結束服務，又能馬上縮回原本大小。而且雲端集中式的資料中心管理還能提高能源效率，有助降低碳排放。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/15-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">雲端的強大，在於可以提供更快速、彈性、穩定的服務。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">「上雲」後也不能高枕無憂！雲端資安的防範重點是什麽？</span></strong></h2>
<p>然而，近年來發生的不少重大雲端資安事件，如 2020 年知名化妝品牌雅詩蘭黛資料庫外洩 4.4 億筆資料、 2023 年臺灣 iRent 顧客資料外洩等新聞，都讓人對雲端服務的安全性產生疑慮。</p>
<p>&nbsp;</p>
<p>你也許會納悶，雲端化不就是將資安完全外包給 CSP 嗎？其實，雲端資安不只是 CSP 主責，用戶也需分攤責任。國立成功大學敏求智慧運算學院楊竹星教授解釋，一般端點資安著重終端用戶設備（如：桌機、筆電、手機）相關系統與應用程式的安全；網路資安會強化傳輸資料過程時，網路作為媒介的安全性和隱密性；雲端資安的防範重點，則關乎儲存在雲端基礎設施中的資料狀況，以及提供資料存取服務的方式，因此特別需要補強運營環境的弱點。</p>
<p>&nbsp;</p>
<p>那麽，用戶與 CSP 的資安責任要怎麽分攤呢？目前的業界做法，是依照雲端按需服務的三大類型——架構即服務（Infrastructure as a Service, IaaS）、平臺即服務（Platform as a Service, PaaS）及軟體即服務（Software as a Service, SaaS）來進行區別。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/15-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">雲端服務與一般端點資安和網路資安不同，大多與客戶採用共享責任模式。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>國立臺北科技大學資訊與財金管理系的魏銪志副教授說明了三者的差異：在 IaaS 上，網路安全與控制需由 CSP 和客戶共同管理，但作業系統的責任風險通常交給用戶；在 PaaS 方面，平臺的資料儲存、網路 <span data-component="tippy" data-content="API 是應用程式介面（Application Programming Interface）的縮寫，是使用一組定義和協定，讓兩個軟體元件彼此溝通的機制。例如，在氣象局開發的軟體系統中，有每日的天氣資料，而用戶手機的天氣應用程式則會通過 API 與此系統「交談」，藉此在手機即時顯示每日天氣概況。">API</span>、身分識別、存取控制，都由 CSP 和客戶分攤，平臺上開發的應用程式面則需客戶自行負責；如果是 SaaS 的話，身分認證與存取控制的責任分攤雙方都跑不掉，但客戶需要負責設定安全性。</p>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">雲端資安要做好，使用者意識不能少</span></strong></h2>
<p>雲端資安危機當前，又該如何降低風險？楊竹星教授提出三個面向的防範措施。首先，無伺服器架構可能面臨資料洩露或跨租戶攻擊的風險（例如駭客攻擊使用同一雲端軟體服務的不同企業組織），因此應加密敏感資料，並使用金鑰管理和儲存技術來保護資料。再來，組織需要嚴格把關身分驗證和授權機制，實施最小權限原則，只能存取履行職責所需的内容。舉例而言，行銷人員只擁有組織網站的内容更新修改權限，但並不能存取程式資料庫。為了及時回應和調查可疑行為，也需建立有效的日誌紀錄和監控機制，統整留存漏洞和資安事件的檢測技術。</p>
<p>&nbsp;</p>
<p>「個人或公司的使用者意識，在資安的環節中仍是重要一環。」</p>
<p>&nbsp;</p>
<p>楊竹星教授表示，臺灣資安廠商正著力整合雲端服務，以提供<span data-component="tippy" data-content="與傳統「以邊界（如防火牆）為基礎」的資安架構不同，零信任架構的假設前提是在確認可信之前，不信任所有連線、使用者或資產。">零信任網路架構</span>，提高使用者和公司的資安能量。</p>
<p>&nbsp;</p>
<p>另外，雲端服務的<span data-component="tippy" data-content="英文為 misconfiguration，即安全性相關的參數調整不當的問題。">組態設定錯誤</span>與不當存取控制，也會讓駭客有機可乘。除了技術層面的防範，陳嘉玫教授也強調，個人、企業和國家層面資安意識的提升，是應對雲端安全挑戰的重要軟實力。她建議雲端用戶不但要建立完整的資料治理框架，更可借助第三方安全工具，定時從雲端服務環境中獲取使用者、權限、群組和角色列表，然後雇用安全團隊進行分析。與此同時，制定雲端相關的安全政策、標準和法規，定期進行組織資安培訓、系統審核與更新安全策略，都是化解資安風險的不二法門。</p>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">怎麽衡量雲端資安的品質？臺灣雲端產業又表現如何？</span></strong></h2>
<p>不知道要依據什麽標準來選擇雲端服務？不妨透過 ISO 的國際雲端資安標準，以及雲端安全聯盟的 CSA Star 等級來評估各家 CSP 的資安品質。一些政府機關也會制定雲端資安評估標準，例如美國的「聯邦風險與授權管理計畫 」（FedRAMP）就是一套評估、監視和授權雲端運算產品和服務的標準化方法。如今的雲端服務龍頭，如 Amazon、Google 和 Microsoft，都有通過 FedRAMP 的嚴格規範。</p>
<p>&nbsp;</p>
<p>焦點轉向臺灣雲端產業，根據 IDC 調查，臺灣公有雲市場產值預計在 2025 年攀升到近 30 億美元，前景可期。魏銪志副教授表示，臺灣雲端業者的優勢在於在地化服務，可以提供符合臺灣法規需求的合規性佐證資訊。然而，在規模上，臺灣的雲端服務與國際 CSP 相比競爭力較弱，國際化程度亦較不足。</p>
<p>&nbsp;</p>
<p>不過，魏銪志副教授也期待「我國數位發展部數位產業署的『引領中小微型企業數位轉型戰略攻頂計畫』，藉由對中小微型企業申請補助及使用點數採購雲端解決方案，應可鼓勵企業使用雲服務，從而激勵雲服務業者提供更多的創新服務。」</p>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">本土研究團隊借雲端之力，對抗千變萬化的網路攻擊</span></strong></h2>
<p>網路攻擊不停演進變化，如何分析巨量資料以掌握敵人的模樣，成為資安防護一大令人頭痛的難題。陳嘉玫教授帶領的研究團隊，則運用了雲端運算的強大，研發出一套能有效偵測勒索軟體的智慧型安全分析與管理系統。</p>
<p>&nbsp;</p>
<p>這個系統就像可以打擊資安惡勢力的戰警，經由科學化的鍛煉而變得訓練有素。研究團隊在研發上採用了 Hadoop 開源雲端運算和軟體，來實現雲端運算的叢集系統。如同把多個大腦串連在一起，分散在不同節點的資料，能夠以平行運算的方式被處理，大大提高巨量資料運算的效率。該系統還可以讓使用者選擇多個機器學習的演算法來訓練模型，提高對惡意軟體的偵測率。傳統伺服器在重新訓練時，要花費大量時間重新讀取資料，但雲端服務能有效傳輸資料到各個節點，加速模型訓練、實現即時更新，因應網路攻擊日新月異的變化。</p>
<p>&nbsp;</p>
<p>研究結果發現，這個解方可以有效辨識勒索軟體，不會錯抓良性軟體，偵測率也比現行防毒軟體來得好，而且能夠正確辨別未知的勒索軟體，有望成為資安攻防中的重要戰力。</p>
<p>&nbsp;</p>
<p>雲端應用很好地説明了「越是方便，越是危險」的概念。在工業 4.0 講求高度客製化的時代，彈性高的雲端服務也形塑不一樣的資安責任共享模式，沒有任何一方可以置身事外。唯有一再提高資安意識、採取主動防禦的姿態，並巧妙運用科技優勢發展新防範策略，才能有效迎戰不斷升級的駭客攻擊。</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜中山大學資訊管理學系 陳嘉玫教授、臺北科技大學資訊與財金管理系 魏銪志副教授、成功大學電機工程學系 楊竹星教授；責任編輯｜曹盛威、劉品萱）</p>
