認識資訊安全

資訊安全是用來保護電腦系統、網路和資料等各類資訊技術的完整性，以避免遭受攻擊、毀損或出現未經授權的存取動作。企業若想在數位轉型領域具備競爭力，就必須了解如何從設計階段開始就採用資安解決方案。這就是所謂「前期資安保護」的意思，也就是愈早將安全機制融入基礎架構和產品生命週期中愈好，如此便能確保擁有主動且反應迅速的安全機制。

持續資安防護是由負責回饋和調整作業的常態系統所提供，通常是利用自動查驗點來處理。自動化可確保快速有效地進行回饋，而不致拉長產品的生命週期。若以這種方式整合網路安全機制，企業就能視安全範圍的變化情形，快速且全面地更新和因應事件。

傳統的資訊與網路安全措施著重於強化、維護和監管資料中心的邊界，但現代這個界限正在消失。我們開發、部署、整合和管理 IT 的方式開始有了巨大變化，多重供應商之間的法規和資料安全責任正因公有雲和混合雲而重新劃分。在大規模採用容器時，企業需要運用新方法來分析、保護和更新應用程式的交付。不僅行動應用程式遍佈各式各樣的裝置，而且也有愈來愈多的基礎設施從硬體轉變為軟體型式。由於傳統的資安管理方式無法與時俱進，因而數位轉型作業也需在各項資安服務與計畫方面有所改變。在數位世界中，安全機制必須具備持續性、整合度和靈活性。

對於某些企業而言，做好資安工作的方式，就是聘用企業資訊安全專員。資安專員在企業內部，從設計、交付到採用，全程參與產品的生命週期。他們通常會與安全分析師一起向資訊安全長（CISO）報告，確保妥善管理和整合每個階段的安全計畫與問題、平衡各項安全需求和企業風險，以保證產品能如期快速交付。

Security-Enhanced Linux（SELinux）是一種適用於 Linux® 系統的安全架構，能讓管理員進一步掌控存取資訊系統的對象。這套架構最初是由美國國家安全局（NSA）使用 Linux Security Modules（LSM）所開發的一系列 Linux 核心修補程式。

SELinux 於 2000 年在開放原始碼社群發佈，隨後於 2003 年整合到上游 Linux 核心中。

零信任方法會假設每次互動都從不信任的狀態開始，並以此前提來設計網路安全架構。這與傳統架構中，以通訊是否起始於防火牆內來決定是否信任該通訊的概念正好相反。更具體地說，零信任希望能填補仰賴絕對信任模式和一次性驗證的安全架構落差。

零信任架構之所以廣受歡迎，是因為全球網路安全威脅形勢已有所轉變，動搖了長期以來對網路活動本質上值得信任的假設。組織嚴密的網路犯罪分子不但能招募人員，還會持續翻新手法，以入侵傳統安全防護架構。技巧高明的駭客和商業化勒索軟體即服務平台也日益猖獗，讓新型態的經濟型網路犯罪更頻繁地發生。所有這類網路威脅都可能使有價值的資料外洩、干擾企業和商業活動，並影響日常生活。

DevSecOps 是結合 DevOps 實務和安全策略，以協助企業提升資安和降低軟體環境風險的措施。與傳統資安策略相比，DevSecOps 能讓企業更快速、更大規模、更全面地防護軟體環境。

容器能在不同環境和部署目標中，輕易地建構、封裝和升級應用程式或服務。不過，容器在安全方面卻始終存在一些問題。由於有愈來愈多企業採用容器技術，資安團隊應運用新式反制模型以資對抗，同時採用新型態的基礎架構元件來加以防護。

靜態安全策略和檢查清單無法擴及企業內部的容器；供應鏈需要更多的安全政策服務；而負責團隊則需要平衡容器的各項網路和監管需求。成功的企業容器安全計劃必須要能從容器生命週期的建構、部署到運作的所有階段，以及底層的容器基礎架構中執行主要控制措施。

不知從何著手嗎？

觀看本系列網路研討會，透過專家的觀點了解整體容器應用程式堆疊和生命週期的安全需求和價值。

許多人雖然了解雲端服務的好處，卻也因資安方面的威脅而有疑慮。我們深知，在無定形資源和實體伺服器之間以網路傳送的這些東西不容易理解，因為這是一種動態的環境，事物永遠處於變化中，而資安威脅也是一樣的。

雖然採用雲端原生技術會衍生新的資安問題，但同時卻也創造了強化現有安全策略的機會。有效的雲端原生安全策略應該要讓團隊在建構更安全系統的同時，亦能交付更高水準的軟體。

混合雲環境提供使用者諸多選擇和靈活性。您在將重要或敏感資訊存放於公有雲以外的位置時，還是可以利用雲端供應商來使用不具類似風險的資料。這裡我們提供您有關混合雲安全性的問題，以及解決這些問題所需的各項工具。

一般人不會把錢放在床墊下，大多數人會將積蓄存放在值得信賴的環境中（如銀行），並以不同機制分別進行授權和驗證付款。API 所採取的就是類似的安全措施，而您則需要一個提供驗證與授權策略且值得信賴的環境。

API 安全性的最佳實務包括採用權杖、加密與簽章、配額和節流，以及 API 安全閘道等，但最重要的是，API 的安全性仍須仰賴良好的API 管理。

舉凡損害使用者利益的軟體皆是。從勒索軟體、廣告軟體再到殭屍網路，惡意軟體負責破壞數據、侵犯隱私並浪費大量時間。惡意軟體有時透過網路釣魚詐騙傳遞，不僅會感染桌上型電腦、筆記型電腦或裝置，甚至可能會影響受感染設備以及與之通訊的任何其它設備。雖然惡意軟體攻擊的威脅甚鉅，但有效的資安措施可以減少貴公司的安全漏洞和網路攻擊風險。

Kubernetes（又稱為 k8s 或 kube）為開放原始碼容器調度平台，可將部署、管理和擴展容器化應用程式的諸多手動流程加以自動化。資安團隊需充分了解 Kubernetes 和雲端原生技術，以實施有效的預防措施和風險管理。

Kubernetes 原生安全工具可提供更深入的觀點、更快速的分析和更簡單的操作，以減少執行安全措施所需投入的時間、精力和人力。

CVE 是 Common Vulnerabilities and Exposures 的縮寫，為公開揭露的電腦安全漏洞清單，也是用來為安全漏洞編號的 CVE ID 的簡稱。CVE 有助 IT 專業人士互相協調工作，以決定各漏洞的優先處理順序，解決這些漏洞可讓電腦網路更加安全。

由於容器和混合雲技術讓資安環境變得益發複雜，資安團隊逐漸發現，要因應這些技術所帶來不斷變化的風險、法規要求、各項工具，以及架構的改變等並非易事。光靠以界限為主的傳統網路安全措施是不夠的，資安團隊必須重新評估他們的做法。

Red Hat 的分層、深度防禦安全即程式碼的做法，可有助客戶在整體基礎架構、應用程式堆疊和生命週期中執行安全措施。

我們希望您能放心採用持續資安防護策略，並為您提供企業級開放原始碼技術以達成此項目標。我們的目標是讓貴公司在保有競爭力、靈活度和調適力之外，同時還能維持資訊安全性和合法性。

透過 Red Hat 獨特的訂閱模式，客戶可與全天候支援我們技術的專家團隊聯絡。這裡我們提供專屬您的開放原始碼安全解決方案中的部分內容。