IT大裸奔時代來臨

隨著網站、智慧型手機、人工智慧等各式IT應用的普及，我們身處一波波數位科技革新的浪潮之中，在工作與生活享受種種便利與彈性之餘，資安防禦的邊界卻面臨持續消弭的狀態。

回想過去，許多企業與組織可能都會限制使用者只能瀏覽特定網站，若要求存取單位提供的IT應用服務時，只能用公司配發的個人電腦，而且必須要在內部網路使用，或是透過VPN連回公司才行。

時至今日，許多規定早已鬆綁，BYOD是大家最熟悉的例子，不少單位開放員工自帶筆電到公司工作，以及用自己的智慧型手機連公司網路與應用系統，遠端工作也悄悄崛起，而在為期3年的COVID-19疫情之後，所有企業與組織為了維持業務運作，更是被迫開放員工在家辦公（WFH），或是在任何地點辦公（WFA），使得各種能讓大家遠端存取的模式大行其道，當時即便有資安顧慮，也管不了那麼多。

企業與組織所面對的IT門戶洞開態勢，其實，並不僅止於使用者層面，在系統層面，有越來越多的單位決定將既有應用程式遷移到雲端服務環境，或是直接使用雲端原生的應用程式、軟體即服務（SaaS）來滿足業務動態發展的靈活度要求；而且，大家所運用的架構可能更常是多雲（Multi-Cloud）、混合雲，而非內部的私有雲，因此，各種原本應該隱藏在內部網路的各種IT服務，如今卻以相對更大規模的方式直接暴露在網際網路，使得自身的資安風險處於節節高升的狀態。

或許有人會認為，IT架構暴露在外不應與必然蒙受資安威脅完全畫上等號，然而，層出不窮卻又難以杜絕的不當設定（misconfiguration）有可能產生更多防護漏洞，而導致攻擊者能夠滲透進來胡搞，甚至以公然、輕易的方式，即可直接取走、破壞、竄改、綁架這些環境當中的重要資料，或是濫用關鍵基礎設施的資源。而關於這類與暴露有關的資安風險，臺灣的資安界以「裸奔」來形容，相當貼切。

對照資安廠商Snyk去年9月公布的2022雲端安全現況報告，可以更進一步瞭解這類資安事故的成因。根據當中的統計，由於不當設定導致系統停擺的比例最高，達34％，其他如雲端資料外洩、環境遭入侵、被用於挖取數位貨幣，也經常肇因於管理者的不當設定。

而因為不當設定而引發資安事故的行為中，比例最高類型是以不安全方式進行資料備份；排名第二的，則有遺失記錄、以不安全方式進行傳輸；排名第三，有物件儲存服務不當設定、缺乏監控、用不安全的API金鑰、將生產資料放置在非生產環境；第四類，是以不安全的方式存取虛擬機器或容器，以及安全群組不當設定；至於第五類，是以不安全的方式儲存資料，第六類則是身分存取管理不當設定。

本文出自《CYBERSEC 2023 臺灣資安年鑑》