NIST 定義與基本特徵

根據 NIST SP 800-145，雲端運算必須具備五大特徵。作為網路防禦者，理解這些特徵有助於識別潛在的攻擊面。

• On-demand self-service (按需自助服務): 用戶可自行配置資源，無需人工介入。這意味著影子 IT (Shadow IT) 的風險增加。
• Broad network access (廣泛的網路存取): 服務可通過標準網路機制存取。防禦重點在於 API 安全與身分驗證。
• Resource pooling (資源池化): 多租戶 (Multi-tenancy) 架構。主要風險是資料隔離失敗 (Data leakage between tenants)。
• Rapid elasticity (快速彈性): 資源可快速擴展或縮減。需防範 DoS 攻擊導致的資源耗盡或費用激增 (EDoS)。
• Measured service (可計量服務): 按使用量計費。監控日誌對於取證至關重要。

雲端服務模型 (SPI Model)

不同的服務模型決定了客戶與供應商之間的管理範圍。

CASB (Cloud Access Security Broker)

CASB 位於雲端服務消費者與雲端服務提供者之間，用於執行安全策略。

• 功能： 可視性 (Visibility)、合規性 (Compliance)、資料安全 (Data Security)、威脅防護 (Threat Protection)。
• 應用場景： 發現影子 IT (Shadow IT)、阻止敏感資料上傳到未經授權的雲端儲存 (DLP)、偵測異常帳號行為。

IAM & Zero Trust

在雲端環境中，身分 (Identity) 是新的邊界。

• MFA (多因素驗證)： 防止帳戶劫持 (Account Hijacking) 的最有效手段。
• Least Privilege (最小權限)： 僅授予完成任務所需的最小權限。
• Zero Trust (零信任)： 永不信任，始終驗證。無論請求來自內部還是外部網路。

雲端網路流量監控

由於缺乏對實體交換機的存取權，傳統 Sniffer 難以部署。

• VPC Flow Logs： AWS/Azure 提供的功能，記錄網路介面的 IP 流量資訊 (類似 NetFlow)。用於偵測異常流量模式。
• Traffic Mirroring (流量鏡像)： 將流量複製到虛擬安全設備 (vIDS/vIPS) 進行深度封包檢測 (DPI)。

Container Security (容器安全)

隨著雲端原生應用普及，Docker/Kubernetes 安全至關重要。

• Image Scanning： 在部署前掃描容器映像檔中的漏洞 (CVE)。
• Isolation： 確保容器之間的隔離，防止容器逃逸 (Container Escape)。