雲端錯誤設定：主要風險與實用檢查清單

服務簡介

雲端錯誤設定是指雲端帳號中任何讓資料或系統暴露程度超出預期、或讓您無法察覺問題並從中復原的設定。隨著團隊擴大、專案快速建立、暫時性變更變成永久設定，這類問題往往會不斷累積。在 AWS、Microsoft Azure 與 Google Cloud 中，主要類別大致相同。身分與存取：角色權限過寬、長期有效的存取金鑰、共用帳號以及未啟用多重要素驗證。儲存：任何人皆可讀取或分享範圍過廣的儲存貯體、Blob 或快照。網路：對所有位址開放的安全群組或防火牆規則、暴露在外的管理連接埠，以及缺乏區隔的扁平網路。機密資訊：存放在程式碼、環境檔或容器映像檔中的憑證。日誌：稽核日誌被停用、未予保存或從未審查。加密：敏感資料未加密儲存，或金鑰管理不善。韌性：備份缺漏、未經測試，或與其所保護的資料存放在同一帳號中。治理：不明帳號、未加標籤的資源，以及無人負責的專案。

適用對象

本清單適用於：

• 雲端環境在缺乏正式設計的情況下快速擴張的新創企業與中小企業
• 正在為客戶資安審查或盡職調查做準備的團隊
• 計畫在雲端執行 AI 或資料工作負載的組織
• 從前員工或前供應商手中接手雲端帳號的管理者

有助釐清的問題

逐項完成本清單，有助於釐清：

• 誰擁有管理員權限，這些權限是否受到保護、是否仍有必要
• 哪些資料可被公開存取，無論是有意還是無意
• 您能否察覺可疑活動並進行調查
• 如果某個帳號遭到入侵，您能否復原關鍵系統

包含內容

• 為所有人工使用者強制啟用多重要素驗證，尤其是管理員與根帳號或擁有者帳號
• 盡可能以角色或短期憑證取代長期有效的存取金鑰
• 依最小權限原則審查角色，並移除未使用的使用者與權限
• 預設封鎖對儲存空間的公開存取，並審查任何例外情況
• 將管理連接埠與資料庫的存取限制在已知網路或私有存取範圍內
• 將機密資訊移至代管的機密管理服務，並掃描程式碼儲存庫以找出外洩的金鑰
• 在使用中的每個帳號與區域啟用稽核日誌，並安全地保存日誌
• 為高風險事件設定警示，例如新增管理員、日誌被停用或儲存空間被公開
• 對靜態儲存的敏感資料進行加密，並控管誰可以管理金鑰
• 將關鍵資料備份到獨立的帳號或位置，並測試還原
• 維護帳號、專案與資源負責人的清單
• 使用基礎設施即程式碼，並在變更套用前進行審查

不包含內容

• 宣稱經過審查的環境不會遭到入侵
• 正式的雲端稽核、認證或合規核准
• 滲透測試，除非另行確定範圍
• 持續監控或代管維運，除非另行約定

適用時機

當您已有一段時間未審查雲端帳號、在客戶或投資人進行資安審查之前、在人員或供應商異動之後，以及在導入 AI 或大型資料工作負載之前，請使用本清單。如果您無法迅速回答誰擁有每個帳號的管理員權限，就從這裡開始。

我們的方法

首先處理身分問題，因為大多數其他控制措施都仰賴於它。接著消除公開暴露、保護好機密資訊，並確保日誌與備份能支援偵測與復原。將修正工作視為有負責人與變更控管的工程工作，而不是一次性的清理。我們的 Cloud Platform & Production Engineering 服務針對約定環境，涵蓋架構決策、發布管線、可觀測性、備份以及復原作業手冊，且僅在核准的計畫與明確書面授權下進行正式環境變更。如果您首先需要一份有據可查的現況評估，Security Baseline Review 可以提供依嚴重程度分級的觀察結果，而 AI & Cloud Readiness 評估則可提供著重於 AI 工作負載基礎的準備度評分卡與決策紀錄。針對雲端代管應用程式的滲透測試可以另行確定範圍。請定期重新檢查本清單；隨著團隊與專案的變化，設定會逐漸偏離。

Cloud Platform & Production Engineering

常見問題

相關文章