Microsoft Defender for Cloud創新技術如何強化雲端原生的防護能力
本文作者: 雲端安全性企業副總裁 Shawn Bice
隨著組織擴大運用雲端原生服務，以開發、部署和管理多雲端和混合式環境中的應用程式，安全性團隊所面臨的受攻擊面也日益擴大。這些挑戰更與不完整的能見度、各自為政的程序，以及缺乏優先順序的防堵機制交相加乘，讓防禦者經常只能在發生漏洞後被動因應威脅。遺憾的是，不法人士正搶先利用開發生命週期內的程式碼弱點，藉此達到獲利的目的。雪上加霜的是，不法人士採用的攻擊策略總是日新月異，讓整個局面更顯複雜。向來採用有限思維來營運，且認為問題只需解決一次的企業，也因此倍感挫折。組織需要運用面面俱到的雲端安全性方法，以減輕從程式碼到雲端的風險，從而讓這些威脅迎刃而解。鑑於雲端安全性正面臨史無前例的創新速度和複雜度，我們也應把握機會，從不同角度來擴大思考。
Microsoft 致力於運用無限思維來推行雲端安全性。在今日瞬息萬變的環境中，我們會使用威脅情報、人工智慧 (AI) 和自動化作業，以建立良性的信號循環，藉此與時俱進，並加速回應不法人士和事件。我們致力於透過Microsoft Defender for Cloud 實現此一願景，這款整合式雲端原生應用程式解決方案可同時運用在混合式和多雲端環境中。Microsoft Defender for Cloud能強化安全態勢、加速抵禦現代化威脅，並降低整個雲端應用程式生命週期的風險，繼而確保組織安全無虞。
很高興在此宣布，為了擴大我們的雲端安全性願景，Microsoft Defender for Cloud推出多項創新技術，包括Microsoft Defender for DevOps 和 Microsoft Defender 雲端安全性態勢管理 (Defender CSPM) 的預覽版。
- 將跨越多個管道環境的 DevOps 安全性管理與Microsoft Defender for DevOps ：安全性團隊將可透過單一主控台，一手掌握跨越多管道環境的深入解析，包括 GitHub 及 Azure DevOps 等領先業界的平台 (日後將繼續擴充)。Microsoft Defender for DevOps 可連結其他關聯式雲端安全性情報，進而為整體應用程式開發生命週期的程式碼弱點修復作業的排定優先順序。
- 使用 Defender CSPM 取得完整的涵蓋範圍、排定優先順序，並修復最嚴重的風險：Defender CSPM 會以Microsoft Defender for Cloud之現有安全態勢管理功能為基礎，可協助安全性團隊掌握混合式和多雲端環境的完整涵蓋範圍、排定優先順序，並使用關聯式雲端安全性和攻擊路徑分析來主動修復最嚴重的威脅。
有了這些新功能，組織就能採用無限思維來推行雲端安全性，並坐收事半功倍之效。
為安全性團隊提供跨越多管道環境的整合式 DevOps 安全性管理
鑑於組織內存在許多互不相連的安全性工具，以及多個 DevOps 和雲端平台，安全性團隊往往難以掌握 DevOps 安全態勢的全貌。除了安全性和開發團隊持續各自為政，安全性工具也難以跟上開發人員的速度。這些互不相連的工具堆疊不僅無法提供企業風險內容，更難以在開發生命週期內有效進行修復。安全性團隊需要浪費寶貴的資源，以找出可修復已識別問題的正確擁有者。此一現象導致安全性從業人員必須面對存在於生產作業中的大量安全性問題。隨著不法人士利用的零時差弱點數量持續創下新高，安全性團隊必須憑藉統一且整合的方式，為雲端應用程式提供完整的生命週期保障1。
Microsoft Defender for DevOps 能協助安全性團隊整合、強化和管理 DevOps 安全性，藉此實現更安全的程式碼開發，並強化整體雲端安全性。它能跨越多管道與多雲端環境，完整監控 DevOps 清查，以及應用程式程式碼和資源設定的安全態勢。基礎架構即程式碼和容器映像掃描，則有助於避免雲端設定錯誤對生產作業環境造成影響。安全性團隊可簡化修復程式碼安全性錯誤的程序，並連結程式碼到執行階段資源等關聯式深入解析，進而排定優先順序，並於程式碼中進行修補。
Microsoft Defender for DevOps 能整合 GitHub 進階安全性，以便在 GitHub 和 Azure DevOps 等領先業界的平台上啟用自動化工作流程，進而讓 SecOps 和開發人員團隊更密切地協同合作。Microsoft Defender for DevOps 體現了我們在客戶「左移安全性」的過程中，與之建立的緊密設計合作關係。參與本產品創建過程的其中一名客戶，也於近期表示：
「如果我們將安全性設計提前，並直接交付至開發人員手中，程式碼部署將可享有嚴密的保護。我可以將 DevSecOps 成果整合至Microsoft Defender for Cloud中，並透過單一平台掌握生產作業的情況、程式碼品質，以及管道中新增哪些項目，這樣一來，就再也不必查看眾多地方和報告，以揪出程式碼錯誤，對我們而言，這一切儼然就是無價之寶。」
Rockefeller Capital Management 平台開發部門主管 James Rajeshvincent
主動排定優先順序，並修復最多雲端資源內最嚴重的風險
安全性團隊需要排除雜訊，並快速聚焦對企業帶來重大衝擊的嚴重問題上。然而，由於採用多雲端部署、多項工具，加上無法監控威脅或各項資源對企業帶來的價值，光是找出要從何處著手進行修復，就已難如登天。
Defender CSPM 能提供以新款智慧型雲端安全性圖表為基礎的關聯式深入解析，以及攻擊路徑分析，藉此協助企業節省時間，並專注在切身相關的資訊上。它能透過無代理程式掃描功能，跨越多雲端環境進行即時評估，以展現完整的監控能力。Defender CSPM 可為安全性團隊串連各點，將雲端工作負載提供的深入解析、來自Microsoft Defender for DevOps 之信號，以及 Microsoft Defender Exteranl Attack Surface Management予以整合。相較於逐一篩選一長串的弱點資源清單，客戶可以使用主動式攻擊路徑分析，一舉減少高達 99% 的建議雜訊，同時僅著重在最容易遭到利用的弱點及潛在的攻擊路徑上，進而著手進行修復。
安全性團隊也可獲得來自 Microsoft Entra Permissions Management的整合式建議，這款由 Microsoft 開發的雲端基礎結構權利管理 (CIEM) 解決方案，可跨越身分識別和資源的範疇，一手掌握與未使用或過度權限數量息息相關的風險等級。此外，新的 Microsoft cloud security benchmark可為基本的雲端安全性原則提供標準化架構，並隨附詳盡的技術指引，這樣一來，團隊就能跨越多個雲端平台實作最佳做法。Microsoft 為市面上唯一有提供全方位雲端安全性基準的主要雲端提供者，不僅能跨越多個雲端，現在也可使用Microsoft Defender for Cloud做為統一介面，透過一致的方式，在多個雲端內確保安全性與合規性。
我們旗下有眾多蓬勃發展且滿懷熱情的客戶，致力於以Microsoft Defender for Cloud管理不同雲端的安全性。今天很榮幸能介紹當中的多項新功能，而在此也要分享我們客戶 Rabobank 的感想：
「我們擁有各式各樣的平台，因此，確認自身可完整監控安全性，實為一大難事。先前，我們期望享有不受地點限制的防護和監控能力。正因如此，我們才決定選用適用於雲端的 Defender：它可透過單一介面，賦予我們跨越混合式和多雲端環境的監控能力。」
Rabobank 網路防禦中心全球服務負責人 Raoul van der Voort
深入了解Microsoft Defender for Cloud
Microsoft Defender for Cloud 平台可憑藉情報技術，協助您坐收事半功倍之效，從程式碼到雲端，皆能因應自如。敬請運用無限思維來推行雲端安全性，並深入了解Microsoft Defender for Cloud新增了哪些安全性產品組合。歡迎透過這些嶄新創新技術的預覽版，立即一睹為快。
如需深入了解 Microsoft 安全性解決方案，請前往我們的網站。歡迎將安全性部落格加入書籤中，一手掌握 Microsoft 專家所提供的安全性建議。此外，也請透過 @MSFTSecurity 關注我們，以獲得網路安全的最新消息和更新資訊。
1 2021 年的零時差駭客攻擊數量創下新高，Patrick Howell O’Neill，2021 年 9 月 23 日。
