網路安全危機重重,企業怎麼解? Google Cloud 安全性高峰會分享四大趨勢

【為什麼我們要挑選這則文章】網路資安問題是企業營運的一大風險,Google Cloud 將如何提供全球用戶更安全的服務與使用體驗?(責任編輯:邵元婷)

本文經 Google台灣 授權

作者:Google Cloud 台灣技術副總 林書平

防範網路安全風險向來是所有組織的首要任務。在持續發展隱形安全技術的旅程中,我們始終專注於提供相關解決方案,讓政府與企業無論是使用我們值得信賴的雲端平台,或是透過軟體式服務(SaaS)產品,都能將我們的安全性功能導入地端部署及其他雲端環境中,進而享有更安全的使用體驗。

今年的 Google Cloud 安全性高峰會上,我們分享 Google Cloud 如何協助全球各地的客戶與政府處理最迫切的安全性挑戰,包括保護軟體供應鏈、加速採用零信任架構、提升雲端管理效能,以及改善安全性分析與作業。

保護軟體供應鏈

修補開放原始碼軟體中的安全漏洞,往往像是在玩高風險的打地鼠遊戲:修正了一個漏洞,接著又有兩個冒出來。在這樣的情況下,也說明了相關的研究顯示:在 2021 年,以開放原始碼軟體(Open Source Software, OSS)供應商為目標的網路攻擊比去年同期增加了 650%

而全球各地的政府也注意到了這個現象,因為利用廣泛部署的程式碼發動網路攻擊的事件,在醫院與發電廠等重要基礎建設機構都大幅增加。美國與世界各地政府也紛紛針對軟體開發生命週期和軟體供應鏈提出新的要求標準。上個月 Google 便與其他業界領袖、開放原始碼安全性基金會(OpenSSF)和 Linux 基金會共同召開會議,探討如何進一步推動 一月白宮開放原始碼安全性高峰會期間提出的計畫。

我們為了找出 OSS 安全漏洞所持續投入的努力,無論是在建構或運作規模上都相當龐大,非任何機構可以比擬。我們不斷透過模糊程式碼工具處理 550 個最常用的開放原始碼專案,截至 2022 年 1 月為止,我們已透過這項程序發現超過 36,000 個安全漏洞

為了進一步履行強化 OSS 軟體供應鏈的承諾,我們推出全新的 Assured Open Source Software (Assured OSS)服務。有了 Assured OSS 後,不論是企業或公部門的開放原始碼軟體使用者,都能將 Google 使用的 OSS 套件輕鬆融入自家開發人員的工作流程中。Assured OSS 服務囊括的套件具備以下特點:

  • 系統會定期對套件進行掃描、分析及模糊測試,以找出安全漏洞
  • 具有能整合容器/Artifact Analysis 資料的對應增強型中繼資料
  • Cloud Build 建構,符合 SLSA 規範驗證的證據
  • 通過 Google 驗證
  • 透過由 Google 保護的 Artifact Registry 發布

Assured OSS 能協助組織減少在開放原始碼依附元件安全管理上的開發、維護及執行複雜程序的必要性。這項服務預計於 2022 年第三季推出預先發布版。

台灣企業面長期經營風險中,超過 1/3 受訪者視「資安風險」一大挑戰。

立即報名 2022 資安知識快充線上特展,為企業資安充滿電!

採用零信任架構

隨著美國透過聯邦策略推動政府機關採用零信任架構英國國家網路安全中心也提出零信任設計原則,採用零信任架構的做法已刻不容緩。在前述的原則中,有許多都是我們十多年來一直在倡議零信任模型 BeyondCorp 的基本要素。

在零信任存取機制方面,我們已提供 BeyondCorp Enterprise 服務;如今我們更推出全新解決方案 BeyondCorp Enterprise Essentials,協助組織輕鬆快速地著手準備零信任架構導入作業。

BeyondCorp Enterprise Essentials 兼具 SaaS 應用程式或任何其他透過 SAML 連接的應用程式的情境感知存取權控管機制,以及資料遺失防護、惡意軟體與網路詐騙保護措施、網址過濾等威脅防護與資料保護功能。

這項解決方案已整合至 Chrome 瀏覽器,能以簡單且有效的方式保護工作團隊,特別是那些使用「自攜裝置(Bring Your Own Device)」的延伸工作團隊或使用者。管理員也可以透過 Chrome 資訊主頁,掌握未受管理的裝置上是否有不安全的使用者活動。

我們也很高興宣布,BeyondCorp Enterprise 應用程式連接器和用戶端連接器將同時於 2022 年第三季正式發布,讓大家有更多保護自家獨特環境的選擇。應用程式連接器可簡化連線程序,讓你在不必開啟防火牆或設定站對站 VPN 連線的狀態下,也能連至 Azure 或 AWS 等其他雲端環境中的應用程式。

用戶端連接器則可讓你透過零信任機制,存取託管於地端部署或其他雲端平台的非 HTTP 複雜