💡 先搞懂問題：「上雲」到底把什麼交出去了
以前一家公司要架網站，得自己買伺服器、找機房、拉網路線、裝作業系統、定期上修補，從電力空調到應用程式全部自己處理，這種做法叫地端（On-premises）。它的麻煩很實際：採購一台機器要等好幾週，活動期間流量暴增時不夠用，平常又大半閒置，而且每一層都需要有人顧。
雲端運算（Cloud Computing）把運算、儲存、網路這些資源變成可以透過網路隨時租用、用多少付多少的服務。可是「上雲」這兩個字很模糊：租一台虛擬機、用一個開發平台、直接用線上軟體，三者要自己負責的範圍差很多。許多雲端外洩事件並不是雲商被入侵，而是客戶以為安全已經交給雲商，結果把儲存空間設成公開、管理帳號沒開多因素驗證，這些都是雲商不會替你決定的事。
用「找地方住」來想會清楚很多。自己蓋房子，從地基、水電、牆壁到家具、門鎖全部自己來；租一間毛胚屋，房東給你建築結構和水電總管，裝潢與家具自己弄；租附家具的公寓，家具家電都備好，你只要把生活安排好；住飯店，連打掃和餐點都有人處理。越往後，交給房東的事情越多。但不管住哪一種，你帶進房間的貴重物品、房卡交給了誰、出門有沒有把門關好，永遠是你自己的事。
← 左右滑動看完整圖 →
圖 1 住宿方式與服務模式對照。藍色是房客（客戶）自己要顧的，灰色是房東（雲商）負責的。
除了「住哪種房子」，還有「和誰住在同一棟」的問題，這就是部署模式。美國國家標準與技術研究院（NIST）在 SP 800-145 把部署模式分成四種：公有雲、私有雲、社群雲、混合雲。它們回答的是「資源給誰用、和誰共用」，和服務模式是兩個獨立的維度，例如公有雲上一樣可以租 IaaS，也可以用 SaaS。
圖 2 四種部署模式。方塊顏色代表不同的使用者或組織。
- 飯店房間之間有實體牆。公有雲的「多租戶」（Multi-tenancy）常常是不同客戶的虛擬機跑在同一台實體主機上，彼此的隔離靠虛擬化軟體（Hypervisor）與存取控制，這一層若有漏洞，就可能跨越租戶。
- 你可以走進房東的大樓看看，卻進不了雲商的機房。客戶通常只能透過契約條款、第三方稽核報告與驗證（例如 ISO/IEC 27017、CSA STAR）確認雲商有沒有做好他那一半。
- 房門忘了關，要剛好有人經過才會被發現；雲端資源預設就連在網際網路上，自動化掃描工具隨時在找公開的儲存空間與全開的連接埠，設錯的東西可能幾分鐘內就被找到。
- 開一間房要到櫃檯辦手續，雲端則是任何有權限的人用一行指令就能開出新的主機或儲存空間。設定變動的速度遠快於人工檢查，這是後面要介紹 CSPM 這類自動化工具的原因。
🎮 互動實驗室
五個實驗室由淺到深：先看責任線怎麼移動，再練習判斷責任歸屬，接著親手修一份設錯的雲端組態、替情境挑對工具，最後把一個容器映像檔從撰寫走到上線。畫面上的帳號、儲存桶與金鑰都是虛構的示意，不會連到任何真實系統。
1共同責任模型滑桿：責任線會移到哪裡
拖動滑桿（或點下方四個按鈕），從地端一路換到 SaaS。每一層會即時變色：藍色是客戶要顧的，灰色交給雲商。點任一層可以看這一層在目前模式下具體要做什麼。
2這件事是誰的責任？
每張情境卡會標明服務模式。判斷這件事該由雲商還是客戶負責，按下去立刻看解析。共 10 題。
3雲端組態體檢：替「雲朵旅行社」修好設定
下面是一家虛構旅行社的雲端帳號設定清單，有的設錯、有的沒問題。你可以先自己找，再按「執行 CSPM 掃描」讓工具逐項比對安全基準。對設錯的項目按「修正」，看風險指數怎麼下降。
4CSPM、CWPP、CASB 配對
三種工具的名字很像，差別在「看的是什麼」：CSPM 看雲端帳號的設定，CWPP 看正在執行的主機與容器，CASB 看員工怎麼使用各種雲端服務。替每個情境選出最對症的工具。
5容器映像檔的一生：掃描、簽章、最小權限部署
容器映像檔（Container Image）是容器的「母版」，同一個映像檔會被複製成許多個執行中的容器。先選一種情境，再按「下一步」讓映像檔一步步走過管線，看它在哪一關被放行或擋下。
← 左右滑動看完整圖 →
📘 原理補完：把住宿比喻接回雲端的技術細節
1. NIST 怎麼定義雲端：五大基本特性
不是把伺服器放到別人機房就叫雲端。NIST SP 800-145 用五個特性來界定雲端運算，考題常拿其中一項和一個「看起來很像」的敘述混在一起。點下圖任一項看說明與住宿版的對照。
圖 3 NIST 雲端運算五大基本特性
支撐這些特性的基礎技術是虛擬化（Virtualization）：把一台實體主機切成多台虛擬機，讓資源可以集中成資源池、依需求快速分配。虛擬化常被歸納出三項特性：切割（一台實體機分給多個虛擬機）、隔離（虛擬機彼此互不影響）、封裝（整台虛擬機可以存成檔案，方便搬移與複製）。其中「隔離」正是多租戶安全的關鍵，也是比喻裡「飯店房間有實體牆」不成立的地方。
2. 共同責任模型：責任線是一道階梯
把實驗室 1 的四種狀態並排，就會看到責任線像一道往上走的階梯。雲商負責「雲本身的安全」（Security of the Cloud）：機房、硬體、虛擬化與基礎網路；客戶負責「放在雲裡的東西的安全」（Security in the Cloud）。越往 SaaS，客戶要顧的層數越少，但最上面三層永遠不會交出去。
← 左右滑動看完整圖 →
圖 4 各服務模式的責任歸屬。深藍是任何模式都屬於客戶的三層，紅色虛線是客戶與雲商的分界。
| 服務模式 | 客戶主要負責 | 雲商主要負責 | 常見例子 |
|---|---|---|---|
| IaaS | 作業系統與修補、中介軟體、應用程式、資料、帳號權限、虛擬網路與防火牆規則 | 機房、實體主機與儲存、實體網路、虛擬化層 | 虛擬機、物件儲存空間、虛擬網路 |
| PaaS | 自己的應用程式與資料、帳號權限、平台提供的安全設定 | 上述再加上作業系統、執行環境與中介軟體 | 應用程式代管平台、託管資料庫 |
| SaaS | 資料、帳號與權限、分享與登入政策等設定、使用者裝置 | 應用程式本身與以下所有層 | 線上郵件、線上文件、客戶關係管理系統 |
實務上有一些灰色地帶是雙方分工的。例如 PaaS 的網路控制，雲商提供功能，客戶負責開哪些規則；SaaS 的身分驗證服務由雲商維運，但誰能登入、有沒有強制多因素驗證、權限給多大，是客戶的設定。各家雲商公布的責任圖細節略有差異，最後要以契約和官方文件為準。這也是為什麼企業在雲端的維運人員，優先關注的是身分與存取、組態設定、加密與監控，而不是機房門禁；後者是雲商的責任，客戶透過第三方稽核報告來確認。身分與存取的做法可以延伸閱讀存取控制與零信任兩頁。
3. 常見雲端威脅：大多數從客戶那一側開始
雲端安全聯盟（Cloud Security Alliance，CSA）整理的主要雲端威脅包括：組態錯誤、身分憑證與存取管理不足、帳號劫持、不安全的介面與 API、資料外洩、惡意內部人員、進階持續性威脅（APT）與濫用雲端服務等。下圖把其中常考的六種畫成攻擊路徑，點上方按鈕或圖上的元件看它怎麼發生、該由誰防。
← 左右滑動看完整圖 →
圖 5 常見雲端威脅的攻擊路徑（示意）
六種威脅裡，前四種的起點都在客戶那一側：一個公開的儲存桶、一把寫在程式碼裡的金鑰、一個沒開多因素驗證的管理帳號。只有多租戶隔離失效主要是雲商的責任，而雲端跳躍則提醒我們，你委託的託管服務商（MSP）也是攻擊面的一部分。考題常見的對應是：雲端資料庫設定不慎導致外洩屬於「安全設定錯誤」；沒有使用強密碼或多因素驗證屬於「身分、憑證與存取管理不足」；先入侵服務商再跳到它的客戶，稱為「雲端跳躍（Cloud Hopping）」。
4. CSPM、CWPP、CASB：各自盯著不同的地方
雲端資源可以由開發人員隨時自行開立，一個誤設的儲存桶可能幾分鐘內就被掃到，人工逐一檢查跟不上。於是出現了幾類專門工具，名字相近，差別在它們「盯著哪裡」。點下圖任一個工具，看它位在哪、保護的是什麼。
← 左右滑動看完整圖 →
圖 6 雲端安全工具的位置：CASB 在使用者與 SaaS 之間，其餘三者看自己的雲端帳號
| 工具 | 看的是什麼 | 典型情境 | 不是它的工作 |
|---|---|---|---|
| CSPM 雲端安全態勢管理 | 雲端帳號的組態設定，比對安全基準與法規 | 公開儲存桶、全開的安全群組、未加密的磁碟；持續監控並可自動修正 | 偵測容器裡正在跑的惡意程式 |
| CWPP 雲端工作負載保護平台 | 執行中的虛擬機、容器等工作負載 | 弱點、惡意程式、挖礦程式、執行期異常行為 | 檢查帳號層級的設定是否合規 |
| CASB 雲端存取安全代理 | 使用者與各種 SaaS 之間的使用行為與資料 | 影子 IT、機密檔案上傳到個人雲端、限制非公司裝置下載 | 管理自家 IaaS 帳號的組態 |
| CIEM 雲端基礎架構權限管理 | 雲端上的身分與權限 | 找出權限過大、長期閒置的角色與存取金鑰 | 掃描作業系統弱點 |
CSPM、CWPP、CIEM 整合在一起的平台常稱為 CNAPP（雲端原生應用程式保護平台）。同樣的組態檢查也可以往前移到基礎架構即程式碼（Infrastructure as Code，IaC，例如 Terraform 範本）階段，在資源建立之前就攔下錯誤設定。
5. 容器與 Kubernetes：母版乾淨、權限縮小、壞了就換
容器把應用程式與它需要的函式庫打包成映像檔，Kubernetes（簡稱 K8s）則負責在許多主機上自動部署、擴充與重啟這些容器。好處是部署快、環境一致；風險也來自同一件事：映像檔是所有容器的共同來源，基礎映像檔一旦被植入惡意程式或帶著高風險弱點，每次部署都會自動長出一批有問題的容器。實驗室 5 走過的「掃描、簽章、准入控制」處理的是母版乾不乾淨；下圖處理的是另一半：就算某個容器被攻破了，攻擊者能走多遠。
← 左右滑動看完整圖 →
圖 7 Pod 加固設定與攻擊者可達範圍（示意）
幾個常考的細節值得記住。第一，Kubernetes 的 Secret 預設只是以 Base64 編碼存放在叢集資料庫（etcd），編碼不是加密，要另外啟用靜態加密（可搭配 KMS）並用 RBAC（角色型存取控制）限制誰能讀取。第二，Kubernetes 定義了 Pod 安全標準（Pod Security Standards），由寬到嚴分成 Privileged、Baseline、Restricted 三級，Restricted 就要求非 root 執行等限制。第三，防止容器連到礦池或中繼控制伺服器（C2），要管的是 Egress（由容器往外連），用 NetworkPolicy 預設拒絕、只放行白名單；DDoS 防護管的是由外往內，方向相反。第四，容器事件的復原原則是「換掉，不是修好」：由 CWPP 找出受感染的執行個體並終止，再從確認乾淨的映像檔重新部署；如果不先換掉被污染的映像檔，自動重啟只會讓惡意程式再跑一次。
6. 雲端金鑰管理：KMS、HSM 與 BYOK
「資料有加密」只說了一半，另一半是金鑰放在哪裡、誰能用。常見的錯誤是把金鑰寫在程式設定檔裡、和加密資料放在同一台主機上，攻擊者拿到資料的同時也拿到了鑰匙。雲端的做法是交給 KMS（Key Management Service，金鑰管理服務）集中負責金鑰的產生、存取權限、輪換、稽核與銷毀；KMS 底層常以 HSM（Hardware Security Module，硬體安全模組）保護主金鑰，HSM 是防竄改的專用硬體，金鑰在裡面產生與運算，不以明文離開。實務上多半採用「信封加密」：大量資料用資料金鑰（對稱式，例如 AES）加密，資料金鑰再用 KMS 裡的主金鑰加密後和資料存在一起，主金鑰本身不離開 KMS。
← 左右滑動看完整圖 →
圖 8 信封加密與主金鑰的掌控位置
三種模式是一條光譜：越往 HYOK，客戶對資料的掌控越高，但營運負擔也越重，而且金鑰服務一旦中斷，雲端上的資料就讀不出來。是否需要 HSM、需要哪一個 FIPS 140 等級，應依資料敏感度與風險決定，而不是一律要求最高規格。KMS 和 HSM 的分工也常被拿來出題：KMS 是管理金鑰的服務與流程，HSM 是保護金鑰的實體硬體。金鑰生命週期與對稱、非對稱加密的基礎，可以參考加密與金鑰一頁。
7. 雲端相關標準：27017、27018 與 CSA STAR
客戶無法親自走進雲商機房，所以會看雲商取得了哪些驗證。與雲端直接相關的有三個：ISO/IEC 27017 以 ISO/IEC 27002 為基礎，補充雲端服務特有的資安控制，例如雲端客戶與服務商的角色權責、虛擬環境的隔離、合約結束時客戶資產的移除，同時給客戶和服務商兩方建議；ISO/IEC 27018 專注在公有雲業者以「受託處理者」身分處理個人資料時的保護措施；CSA STAR 則是雲端安全聯盟的雲端安全評鑑制度。前兩者是指引，實務上多半和 ISO/IEC 27001 驗證一起進行。
✅ 自我檢測
以下是原創情境題，點選答案後會立即顯示對錯與解析。
🎯 重點整理：考前 30 秒
- NIST 五大特性：隨需自助服務、廣泛的網路存取、資源池、快速彈性、可量測的服務。「資源調配由供應商人員協助」不是特性，隨需自助的重點正是不需人工介入。
- 服務模式只有三種：IaaS 客戶從作業系統往上都要管，PaaS 客戶管應用程式與資料，SaaS 客戶管帳號權限、設定與資料。部署模式四種：公有、私有（機密性與掌控度最高）、社群（多個組織共用同一朵雲）、混合（兩種以上整合使用）。
- 共同責任：雲商顧雲本身（機房、硬體、虛擬化），客戶顧雲裡的東西。資料、身分與存取、組態設定永遠是客戶的；客戶責任越往 SaaS 越少，但不會是零，責任移轉也不等於風險消失。
- 雲端事故多從客戶端開始：公開的儲存桶、全開的安全群組、寫在程式碼裡的金鑰、沒開多因素驗證的管理帳號。先入侵服務商再跳到其客戶，叫雲端跳躍。
- 工具對症：組態設錯要持續監控與自動修正選 CSPM；執行中的虛擬機或容器被感染選 CWPP；員工使用 SaaS 與影子 IT 選 CASB；權限過大看 CIEM；三者整合稱 CNAPP。
- 容器與 K8s：映像檔要掃描、簽章，部署前由准入控制驗證；執行時非 root、唯讀檔案系統、RBAC 最小權限、Secret 不寫死、NetworkPolicy 預設拒絕 Egress；受感染就換掉重建。
- 金鑰與標準：金鑰交給 KMS 管理、HSM 保護；BYOK 由客戶產生並可撤銷主金鑰，HYOK 金鑰始終留在客戶端。雲端資安控制看 ISO/IEC 27017，公有雲個資看 27018，另有 CSA STAR；27011 是電信業。