Skip to content

網路安全意識:全年教育員工的 11 項策略

網路安全意識策略

11 項全年無休的員工網路安全策略

策略總覽
將網路安全視為僅為期一個月的活動,會產生危險的營運盲點。真正的組織韌性需要持續的培訓、強制使用多重身分驗證 (MFA)、嚴格的最小權限存取控制,以及不間斷的網路監控,藉此減輕導致資料外洩的主要因素:人為錯誤。

每年 10 月,各企業組織都會發布一波安全警報與培訓要求,但到了 11 月,警覺性卻往往煙消雲散。這種週期性的自滿,正是為什麼新聞頭條依然充斥著大規模資料外洩與記錄遭竊的原因。

人為錯誤仍然是最關鍵的漏洞。產業數據顯示,儘管有半數的員工對識別網路釣魚攻擊充滿信心,但實際採取防護行動的人卻寥寥無幾。此外,仍有近 40% 的員工在多個平台上重複使用相同的密碼。要解決這個問題,必須將網路安全從季節性的宣導活動,轉變為日常的營運標準。

建立持續安全的文化

威脅行為者並不會按照月份的行程表行動。為了培養真正具備韌性的防禦,企業領導層必須將以下基礎習慣制度化:

  • 以身作則:安全協定必須被普遍執行。當高階主管公開使用密碼管理員和 MFA 時,便傳遞出「安全是不容妥協的企業優先事項」的強烈訊號。
  • 部署經驗證的框架:不要浪費資源從頭建立宣導活動。利用如 CISA 網路安全意識計畫等具權威性且免費的資源,為您的團隊提供高品質、最新的威脅情資。
  • 貫徹「核心 4 守則」:持續反覆訓練四項不容妥協的實務:啟用 MFA、建立強密碼、立即執行軟體更新,以及主動回報可疑活動。

11 項企業防禦的可行策略

1. 建構主動的人為防火牆

由於 68% 的安全事件是由人為錯誤引起,您的員工必須從負債轉變為防禦資產。年度講座是無效的;相反地,應實施「不指責」的回報文化,確保錯誤能立即浮出檯面而非被隱藏。部署每週的微學習模組,並進行逼真、無預警的網路釣魚模擬,以建立實際的肌肉記憶。

2. 強制實施多重身分驗證 (MFA)

Microsoft 的遙測數據指出,99% 遭入侵的企業帳戶未啟用 MFA。儘管如此,多數中小型企業仍未強制執行。MFA 是抵禦憑證填充 (credential stuffing) 與帳戶接管的不容妥協屏障,也是驗證遠端存取的絕對最低要求。

3. 標準化企業密碼管理

遭竊的憑證是第二常見的初始攻擊媒介。強制使用企業級密碼管理員(例如 NordPass)能消除密碼重複使用的風險,並淘汰每 90 天強制重設密碼這種過時的做法。這些平台會為每個應用程式產生、加密並自動填入獨特的憑證,並受單一主密碼保護。

4. 實施最低權限與零信任

過度的存取權限會造成災難性的漏洞;一個遭入侵的一般使用者不應該擁有整個資料庫的鑰匙。透過嚴格限制僅提供特定角色所需的權限來落實最低權限原則。將此與零信任網路存取 (ZTNA) 結合,以動態驗證每一個連線請求的使用者、裝置與情境。

5. 加速修補程式管理

面向公眾的應用程式漏洞遭利用會讓組織損失數百萬美元,這也是勒索軟體的主要入侵點。教育您的員工,點擊「稍後更新」正主動危及網路安全。盡可能自動化軟體更新,以立即修補已知的安全漏洞。

6. 控管 AI 工具的使用

AI 的快速整合帶來了嚴重的風險,包括影子 AI (shadow AI)、資料外洩與 LLMjacking。針對生成式 AI 工具實施嚴格的合理使用政策。利用網路監控解決方案偵測未經授權的 AI 應用程式,並阻止員工將專有企業資料貼上至如 ChatGPT 或 Gemini 等公開模型中。

7. 培養對抗社交工程的「禮貌性偏執」

現代的網路釣魚極其複雜。攻擊者利用 AI 複製聲音並撰寫高度個人化的電子郵件,嚴重依賴人為製造的急迫性來觸發衝動行為。訓練您的員工保持「禮貌性偏執 (polite paranoia)」:始終保持樂於助人,但在遵從任何要求資金或資料的緊急請求前,務必透過已知的備用管道(例如直接撥打電話)進行驗證。

8. 規定所有公共網路皆須使用 VPN

遠端工作經常發生在咖啡廳、飯店與機場等不安全的公共 Wi-Fi 上。這些網路是工作階段劫持與中間人 (MitM) 攻擊的絕佳狩獵場。強制使用企業 VPN 來加密所有流量,使資料對潛伏在本地開放網路上的威脅行為者隱形。

9. 限制數位過度分享

在社群媒體上分享的個人細節(家鄉、寵物名字、組織圖)為攻擊者提供了執行毀滅性魚叉式網路釣魚活動所需的確切背景資訊。同時,稽核您的 SaaS 基礎架構。確保檔案分享權限受到嚴格限制,以避免敏感的內部文件不慎暴露在公開網際網路上。

10. 自動化備份與資料遺失防護 (DLP)

資料外洩的全球平均成本持續攀升。頻繁、加密且隔離的備份是您對抗勒索軟體的終極保險,能完全消除支付勒索要求的壓力。為了防止最初的資料外洩,請部署基於瀏覽器的資料遺失防護 (DLP) 以自動封鎖未經授權的資料傳輸。

11. 消除網路盲點

識別並遏制資料外洩平均需要 247 天。若沒有持續、即時的網路監控,攻擊者有充足的時間進行橫向移動並悄悄竊取資料。部署全面的管理儀表板與嚴格的網路分段,以偵測異常行為並在入侵者觸及關鍵資產前將其困住。

關於 NordLayer
NordLayer 是現代企業的自適應性網絡存取安全解決方案,來自世界上其中一個最值得信賴的網絡安全品牌 Nord Security。致力於幫助 CEO、CIO 和 IT 管理員輕鬆應對網絡擴展和安全挑戰。NordLayer 與零信任網絡存取(ZTNA)和安全服務邊緣(SSE)原則保持一致,是一個無需硬件的解決方案,保護公司企業免受現代網絡威脅。通過 NordLayer,各種規模的公司企業都可以在不需要深入專業技術知識的情況下保護他們的團隊和網絡,它易於部署、管理和擴展。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

NACVIEW 3.0.3 版本更新

宣佈推出 NACVIEW 3.0.3:更深入的整合與進階管理控制

NACVIEW 3.0.3 的發布提供了專為 IT 團隊日常需求量身打造的實用升級。此次更新優先考慮無縫的環境整合、強大的身分驗證機制,以及高效的系統維護協定。

無縫的 Microsoft Intune 同步

將您現有的 Microsoft 基礎架構直接連接至 NACVIEW。3.0.3 版可直接從 Microsoft Intune 原生匯入端點裝置、使用者身分與管理員帳戶。這消除了手動複製資料的麻煩,保證了跨平台的一致性,並大幅降低了管理上的額外負擔。

Microsoft Authenticator 與 365 整合

安全性與通訊現在已與 Microsoft 生態系統完美契合。管理員可以使用您的員工已經信任的工具,透過 Microsoft Authenticator 原生強制執行多重身分驗證 (MFA)。此外,系統現在直接透過 Microsoft 365 服務路由電子郵件,繞過了傳統的 SMTP 需求。

升級的診斷與管理工具

透過擴展的系統維護工具組,更快解決網路問題。IT 團隊現在可以主動驗證 Master 與 Slave 節點之間的複寫健康狀況、執行完整的系統還原,並利用更廣泛的 CLI 診斷指令。此次更新還呈現了有關網路裝置、活躍連接埠與身分設定檔的高度精細資料,以簡化環境管理。

強化生產環境穩定性

廣泛的底層最佳化確保了 NACVIEW 關鍵模組的最高可靠性。主要的穩定性改善包含:

  • 改良的原則處理與系統節點複寫。
  • 增強 VPN、OTP、PKI、TACACS+、Captive Portal (強制入口) 與 LDAP 模組的效能。
  • 強化的軟體升級程序,旨在保證未來系統更新的彈性與穩定性。

深入了解官方 NACVIEW 3.0.3 版本說明 (Release Notes) 中的完整技術分析。

正在評估新的網路存取控制 (NAC) 解決方案?立即聯絡我們的團隊,安排現場展示或啟動概念驗證 (PoC)。

關於 NACVIEW
NACVIEW 是一款功能強大的網路存取控制 (NAC) 解決方案,旨在為企業提供對其網路基礎架構的全面可視性和控制力。 NACVIEW 由領先的網路安全公司開發,提供先進的功能和特性,確保用戶和設備能夠安全且有效率地存取網路。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

揭秘持續認證:機制與零信任的影響

了解持續身分驗證:核心機制及其在零信任中的角色

高階主管摘要

  • 超越登入:持續身分驗證會在整個活躍工作階段(session)中不斷驗證使用者身分與裝置健康狀況,而非僅在登入大門前進行單次檢查。
  • 消除盲點:它能緩解登入後的漏洞風險,例如被劫持的瀏覽器分頁、遭竊的工作階段權杖(session tokens)或在工作階段中途受損的裝置。
  • 動態遙測:它會評估即時訊號,包含地理位置、行為模式以及端點態勢(endpoint posture)。
  • 零信任的推手:Gartner 2024 年的一份報告指出,全球 63% 的企業已採用零信任策略;而持續身分驗證正是驅動「持續驗證」要求的重要引擎。
  • 實際部署:組織主要透過基於憑證的無密碼身分驗證,結合基於態勢的自動化存取權撤銷來實現此目標。

核心概念:什麼是持續身分驗證?

持續身分驗證將安全性從單一時間點的檢查,轉變為不間斷的驗證迴圈。這種技術機制不會在驗證憑證後就無限期地信任該工作階段,而是持續監控使用者的身分與裝置態勢。它作為一個動態安全層來增強現有的身分驗證協定,而非完全取代它們。

與此形成強烈對比的是靜態身分驗證——這種傳統模式只要一次成功登入,就能保證不受限制的存取權,直到手動登出或逾時為止。靜態身分驗證雖然本身並非崩壞,但卻擁有一個致命的結構性缺陷:它假設了持續的安全性。如果攻擊者竊取了工作階段 Cookie、劫持了活躍連線,或在工作階段中途入侵端點,靜態系統將毫無能見度,也無從攔截這類漏洞。

運作機制:它實際上如何運作

持續身分驗證系統不再依賴靜態密碼,而是持續分析三大主要遙測資料流:

  • 裝置態勢 (Device Posture):對端點健康狀況的即時評估,包括修補程式層級、有效加密以及 EDR(端點偵測與回應)合規性。
  • 行為情境 (Behavioral Context):分析使用者互動,例如導覽習慣、請求頻率以及獨特的打字節奏。
  • 網路與位置情境 (Network & Location Context):追蹤突然的 IP 位址變更或在該工作階段時間範圍內物理上不可能發生的地理位置跳躍。

這種典範轉移的核心在於系統的探詢方式。靜態設定會問:「應該允許這位使用者進入嗎?」;而持續設定則會不斷探問:「這個工作階段還值得信任嗎?」如果任何遙測訊號顯示出風險,系統會立即限制權限或完全終止該工作階段。雖然這種持續評估會帶來微不足道的運算負擔,但其安全效益遠遠超過這些微小的延遲,使其成為現代企業環境的理想選擇。

零信任的引擎

持續身分驗證將「從不信任,始終驗證」的零信任哲學要求,轉化為技術上可執行的行動。如果沒有持續驗證,風險概況在使用者登入的那一刻起就不可避免地開始過時。缺乏此功能的零信任架構會在工作階段層級產生巨大的盲點:在邊界進行嚴格審查,但在內部卻盲目信任。

正面對決:持續身分驗證 vs. 傳統身分驗證

身分驗證面向傳統(靜態)身分驗證持續身分驗證
驗證頻率僅在登入時進行一次。在整個工作階段中持續進行。
裝置態勢監控極少檢查;即使有,也僅在初始連線時進行。即時且持續地進行監控。
對工作階段劫持的反應無。存取權保持開放,直到下次出現登入提示。立即限制或徹底撤銷存取權。
主要使用案例低敏感度、低風險的營運應用程式。受高度監管的環境、敏感資料與特權存取。

建構持續身分驗證架構

企業通常透過結合兩種截然不同的方法來執行持續驗證:

  1. 基於憑證的無密碼身分驗證:裝置持有加密憑證,並持續針對嚴格的態勢規則進行驗證。透過消除靜態密碼,組織中和了憑證遭竊導致獲得持久存取權的威脅。
  2. 基於態勢的存取權撤銷:網路持續稽核端點合規性(例如 EDR 狀態、加密、修補程式)。如果裝置變得不合規,系統會自動切斷存取權,而不需要人工 IT 介入或等待排定的重新驗證。

關鍵在於,這兩種方法單獨來看都不是萬靈丹。憑證驗證解決了憑證漏洞,但無法偵測工作階段中途的惡意軟體感染。反之,態勢檢查的有效性取決於其輪詢頻率——一個每 24 小時才檢查一次合規性的系統,顯然不符合「持續」的定義。

透過 Portnox 執行持續驗證

Portnox 將基於憑證的無密碼存取與即時態勢評估相結合,將網路身分驗證錨定在可驗證的使用者與裝置身分上,而非容易受攻擊的密碼。此基礎讓存取原則能夠對不斷變化的端點風險做出即時反應。

除了初始驗證之外,Portnox 還執行自動化、即時的態勢強制執行。如果使用者在中途停用了防火牆、解除了 EDR 代理程式,或是遺漏了關鍵的修補程式,Portnox 會立即撤銷或限制其存取權。這種自動化回應消除了從漏洞發生到 IT 管理員在日誌中發現它之間的危險時間差。

備註:這種強大的驗證模型需要現代化的基礎架構。若環境過度依賴無法支援裝置憑證的舊有系統,或缺乏端點遙測代理程式,其效益將大打折扣。

準備好看看實際運作了嗎?申請展示,探索 Portnox Cloud 如何統一基於憑證的身分驗證與即時態勢評估。

常見問題解答

用簡單的話來說,什麼是持續身分驗證?

這是在整個數位工作階段期間,對使用者及其裝置進行不間斷驗證的過程。系統不會因為使用者成功登入就信任他們,而是持續監控是否存在可疑行為或違反安全原則的情況,並在出現風險時立即終止存取權。

這與多重身分驗證 (MFA) 有何不同?

MFA 透過在登入時要求第二種驗證形式來鞏固大門。然而,一旦進入內部,工作階段就會受到完全信任。持續身分驗證則扮演內部保全的角色,在使用者通過 MFA 檢查後繼續監控他們。這兩種技術具有高度互補性。

持續身分驗證會破壞使用者體驗嗎?

在標準的企業設定中並不會。因為它依賴靜默遙測(例如裝置健康檢查與背景行為分析),所以使用者幾乎察覺不到。它透過消除重複手動登入的需要,主動防止了安全疲勞。

它是零信任架構的必備條件嗎?

雖然不是嚴格強制要求,但在實務上卻是不可或缺的。零信任規定預設不信任任何實體。若沒有持續身分驗證,組織在初始登入後仍會盲目信任使用者,從而在工作階段層級留下巨大的漏洞缺口。

哪些核心技術推動了這種方法?

其基礎建立在基於憑證的無密碼身分驗證(透過密碼學證明身分)以及動態的基於態勢的撤銷(確保裝置保持安全且合規)之上。兩者相輔相成,在裝置受損的瞬間自動限制或封鎖存取權。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付,或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性,讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

AI 稽核能力差距:為何企業存取權已超越控制範圍

AI 稽核能力差距:為何企業存取權已超越控制範圍

六個月前,IT 領導者的主要擔憂是影子 AI (shadow AI) 的能見度。如今,挑戰已從單純的能見度升級為嚴格的稽核能力:組織能否明確證明其 AI 觸及了哪些資料? 我們最新的研究調查了美英兩國 250 位 IT 決策者(涵蓋 Google Workspace 與 Microsoft 365 環境),揭示了預期的準備狀態與實際的數位鑑識能力之間存在著嚴重的脫節。

關於 AI 治理的四個關鍵發現

組織部署自主工具的速度已超越了他們確保其安全的速度。數據凸顯了當前企業 AI 策略中的四個主要漏洞:

1. 準備就緒的錯覺

儘管絕大多數的 IT 領導者對其 AI 稽核能力表達了高度自信,但實際上只有 37% 的人具備重建 AI 動作所需的日誌與記錄。令人擔憂的是,在自認「非常自信」的人當中,有 89% 在治理、權限或證據蒐集方面仍表現出多項營運弱點。

2. 證據匱乏

72% 的組織承認,其 AI「可能」存取的內容與他們在法律或技術上「能證明」其存取的內容之間存在巨大落差。在過去一年中,92% 的組織報告了與 AI 相關的安全事件,其中 36% 的組織在調查外洩事件時,始終無法確定究竟是哪些確切資料遭到入侵。

3. 代理程式的影子治理

55% 的企業正在使用能夠更改工作流程或權限的自主代理 (autonomous agents)。然而,只有 41% 的企業將這些代理納入標準的員工身分與存取管理 (IAM) 政策中。其餘 59% 依賴脫節的控制措施,其中 63% 使用高風險的身分驗證方法,如共用服務帳戶或永久的 API 金鑰。

4. 不受控制的系統蔓延

平均每個組織運行 2.7 個 AI 工具,且這些工具深度嵌入至少三個核心基礎架構類別(例如財務系統、CRM、端點管理)中。值得注意的是,三分之一的受訪者表示 AI 可以存取其核心 IAM 系統。這種蔓延使得稽核軌跡在 AI 控制台、目標系統與身分目錄之間變得支離破碎。

AI 稽核能力成熟度模型

為了將這些發現標準化,我們開發了一個 AI 稽核能力成熟度模型,用以評估權限控制、安全層、鑑識證據與治理。區分各層級的主要差異不在於控制措施是否存在,而在於這些措施對官方認可工具與自主代理的覆蓋是否完整。

成熟度層級分佈營運特徵
低成熟度16%鑑識證據零散;權限控制極不一致;存取審查完全處於被動狀態。
中等成熟度64%具備基準控制措施但覆蓋範圍不均;在稽核或事件後調查期間經常浮現關鍵漏洞。
高成熟度20%具備強大且集中的證據日誌;嚴格限制並定期審查權限;對所有人類與非人類身分實施一致的治理。

平台備註:以 Google Workspace 為主的組織在成熟度上略具優勢,只有 11% 落入最低層級,相比之下,以 Microsoft 365 為主的組織則為 21%。

代理式 IAM 生命週期:成熟團隊的框架

達到「高成熟度」的組織一致將 AI 代理視為標準身分。他們實施持續的「代理式 IAM 生命週期」(Agentic IAM Lifecycle),確保每一個自動化動作都能追溯到特定的時間戳記、明確的存取範圍以及負有責任的人類擁有者。此生命週期需要四個不同階段:

  1. 發現:主動找出在環境中運作的所有代理,包含未經批准的「影子 AI」部署(目前有 30% 的團隊報告存在未受監控的影子 AI)。
  2. 註冊:將每個代理編目,並嚴格定義其操作範圍、指定用途與具名的人類負責人。
  3. 存取管理:強制實施最小權限原則,並實施在任務完成後即過期的時間限制存取權(目前 49% 報告 AI 權限過於寬鬆且難以審查)。
  4. 持續治理:擺脫年度稽核,轉向持續或自動化的權限審查(目前只有 14% 的受訪者採用此做法)。

獲取完整的情報

在您為來年定義組織對 AI 自主性的容忍度時,請將您的策略與完整的行業數據進行基準比較。完整報告提供了全面的鑑識證據細目、依軟體套件劃分的事件分析,以及美英兩國的區域基準比較。

下載 Q4 Pulse 報告

 

 

關於 JumpCloud

JumpCloud® 提供一個統一的開放式目錄平台,使 IT 團隊和 MSP 能夠輕鬆、安全地管理公司企業中的身份、裝置和存取權限。通過 JumpCloud,用戶能夠從任何地方安全工作,並在單一平台上管理其 Windows、Apple、Linux 和 Android 裝置。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

評估虛幻引擎版本控制:Perforce P4 與 Lore 的效能基準測試

終極虛幻引擎 (Unreal Engine) 版本控制大對決:Perforce P4 vs. Lore

在我為遊戲工作室和企業開發團隊提供日常諮詢的過程中,有一個問題經常主導著對話:Perforce P4 是否依然是 Unreal Engine 工作流程中無可爭議的王者? 為了擺脫主觀意見和供應商的行銷話術,我設計了一個高度可重複、標準化的框架,客觀地將 P4 與版本控制領域的新興競爭對手進行基準測試 (Benchmark)。

這次全面的解析探討了為什麼必須根據真實、繁重的 Unreal Engine 專案參數來衡量版本控制的效能。我將逐步介紹用於將 P4 與 Epic Games 的新系統 Lore 進行對決的 AWS 架構和逼真資料集,提供確切的指令供您重現測試,並剖析這些指標對您工作室的基礎架構決策意味著什麼。

TL;DR:核心重點

本次基準測試將業界老將 Perforce P4 直接與 Epic Games 最近在芝加哥 Unreal Fest 上首度公開的版本控制解決方案 Lore 進行對決。使用中等規模的 UE 資料集並追蹤標準開發人員操作(新增、提交、同步和複製),結果是非常決定性的:

  • 速度 (Velocity): 透過我們的伺服器部署套件 (SDP) 部署的 P4 伺服器,在執行標準規模的程式碼提交時,速度比 Lore 快 2.7 倍。
  • 資源佔用 (Resource Footprint): 雖然初始儲存庫提取(P4 的 ‘sync’ 與 Lore 的 ‘clone’)完成時間大致相同,但 Lore 被證明極其消耗資源,其記憶體消耗量是 P4 的 14 倍。

設計基準測試:方法論

Unreal Engine 不再只適用於獨立遊戲;它驅動著企業級視覺化、虛擬製作和 3A 大作。這些龐大的專案帶來了獨特的版本控制摩擦:傳輸巨大的二進位檔案、管理複雜的團隊依賴關係以及避免工作流程瓶頸。標準軟體儲存庫相比之下相形見絀。

為了確保測試反映現實,資料集必須包含:

  • 大量的純文字原始碼檔案。
  • 繁重的二進位資產(.uasset 和 .umap 檔案),以及音訊和圖形等可壓縮媒體的混合體。

我使用我們的伺服器部署套件 (SDP) 部署了 Perforce。SDP 是 Linux/Windows 腳本的集合,可立即配置高度最佳化、企業級的 P4 伺服器,在不改變核心 P4 執行檔的情況下標準化管理任務。

AWS 雲端實驗室

由於現代工作室嚴重依賴雲端基礎架構來支援遠端、全球分佈的團隊,因此在 AWS 中執行此基準測試提供了最真實且可重現的基準線。

測試的軟體版本:

  • Perforce P4: 2026.1 (Patch 2)
  • Lore: 0.8.5

基礎架構與網路配置

測試位在同一個資料中心機架上的用戶端和伺服器,並不能反映開發人員的實際工作情況。為了模擬從家庭辦公室連線的遠端開發人員,我在用戶端機器上人為地注入了 30ms 的網路延遲。

硬體規格 (執行 Ubuntu 24.04):

  • 伺服器 (Benchserver): m7a.2xlarge(8 vCPU,32GB RAM)— 中型 UE 團隊的理想選擇,配備 gp3 儲存磁碟區。
  • 用戶端 (Benchclient): c7a.xlarge,配備 200GB /data 磁碟區(10k IOPS,500MB/s 吞吐量)。

關於 Git 的簡短說明: 雖然 Git 對於標準的純文字程式碼庫來說非常出色,但要管理遊戲引擎龐大的二進位有效負載,則需要像 P4 和 Lore 所提供的專用後端架構。

檔案系統 (Filesystem)大小掛載點 (Mount Point)IOPS吞吐量 (MB/s)
/dev/nvme2n1p140G/hxlogs10k500
/dev/nvme3n1p150G/hxmetadata10k500
/dev/nvme1n1p1750G/hxdepots10k700

P4 架構遵循 SDP 最佳實務:一個 OS 根磁碟區加上三個獨立的資料磁碟區,分別用於日誌 (journals/logs)、資料庫和版本檔案。Lore 伺服器同樣託管在 /hxdepots 磁碟區上以確保公平競爭。(注意:測試期間任何時候都只有一個服務處於活動狀態)。

策劃貼近現實的資料集

僅僅從 GitHub 提取原始 UE 原始碼(約 223,000 個檔案,大小僅 2.68GB)並不能複製遊戲開發中資產繁重的現實。

為了解決這個問題,我提取了 Unreal Engine 5.8.1 版本的 commit (71fe36aac5a8df5ccd66c763ffc902b29b6a9c43),安裝了依賴項,並執行了 Setup.sh。然後我獨立出「Engine」目錄,產生了一個高度準確、重量級的資料集,包含 362,028 個檔案,總計 91GB。

perforce@benchclient:/data/UnrealEngine$ git ls-files --cached --others --exclude-standard -z | \
xargs -0 stat -c '%s' | \
awk '{s+=$1} END { \
   printf "Files: %d\nSize: %.2f GiB\n", NR, s/1024/1024/1024 \
}'  
Files: 223987  
Size: 2.68 GiB 

perforce@benchclient:/data/UnrealEngine$ du -sh Engine/  
91G Engine/  

perforce@benchclient:/data/UnrealEngine$ find Engine/ -type f | grep -v .git | wc -l  
362028

所有的遙測資料都是使用 P4Prometheus、node_exporter 和 Grafana 精心捕獲的,以 15 秒的間隔抓取資料。

結果:正面交鋒效能

第一回合:新增與提交檔案

為了確保對等,我將 P4 的多執行緒提交功能與 Lore 的原生工作流程進行了比較:

  • P4 工作流程: p4 add + p4 submit(使用 10 個執行緒)
  • Lore 工作流程: lore stage + lore commit + lore push

P4 最佳化提示: 預設情況下,P4 會掃描檔案以確定它們是文字(會進行壓縮)還是二進位(保持原樣)。對於 362k 個檔案,這種掃描會帶來不必要的延遲。在 P4 2026.1 中設定 filesys.binaryscan=0 即可完全消除此額外開銷。

指標P4 總計Lore 總計裁決
實際耗時 (Wall Clock)5:1514:30P4 勝出 (Lore 花費 2.76 倍時間)
用戶端 User CPU178.16s1,278.59sP4 勝出 (Lore 消耗多 7.18 倍 CPU)
用戶端 Sys CPU81.42s152.85sP4 勝出 (Lore 使用多 1.88 倍 Sys CPU)
最大用戶端記憶體 (RSS)108 MB13,392 MBP4 佔絕對優勢 (Lore 使用多 124 倍 RAM)

數字背後的真相:

  • P4 在提交階段在伺服器端高效地處理繁重的工作,並透過平行執行緒實現了極佳的擴展。
  • Lore 的 stage 指令完全在用戶端運作,造成了巨大的瓶頸。
  • 雖然 Lore 的 push 需要的 I/O 可以忽略不計,但其在暫存 (staging) 期間的用戶端記憶體佔用量卻非常驚人。

第二回合:獲取資料 (Sync vs. Clone)

指標P4 Sync (4 個執行緒)Lore Clone裁決
實際耗時 (Wall Clock)3:10.093:22.12P4 勝出 (微弱優勢,Lore 花費 1.06 倍時間)
User CPU278.47s211.10sLore 勝出 (P4 使用多 1.32 倍 CPU)
Sys CPU55.37s170.01sP4 勝出 (Lore 使用多 3.07 倍 Sys CPU)
CPU %175%188%統計學平手
最大記憶體 (RSS)988 MB13,720 MBP4 佔絕對優勢 (Lore 消耗多 13.9 倍 RAM)

數字背後的真相:

  • 無論使用 4 個還是 10 個執行緒,P4 的同步時間都保持不變,這表明存在硬體的 I/O 瓶頸,而非軟體限制。
  • Lore 是高度網路密集型的,儘管從磁碟讀取的資料量幾乎相同,但它在網路上推送了 51.95 GB 的資料,而 P4 為 37.68 GB(傳出流量增加了約 38%)。
  • Lore 導致了明顯更高的伺服器爭用 (contention),忙碌時間高達 40.4%,而 P4 為 18.3%。

重現基準測試

Perforce P4 執行

# 1. 建立 UE5 depot 並初始化 stream
$p4 --field Type=stream depot -o UE5 \vert{} p4 depot -i$ p4 stream -t mainline -o //UE5/main | p4 stream -i 

# 2. 產生目標檔案清單
$cd /data/UnrealEngine$ find Engine/ -type f | grep -v .git > ../filelist.txt 
 
# 3. 配置工作區、新增檔案並提交
$p4 --field Stream=//UE5/main client -o Bench_ws \vert{} p4 client -i$ nohup /usr/bin/time -v p4 -Ztrack -x ../filelist.txt add > ../add.out & 
$ nohup /usr/bin/time -v p4 -Ztrack submit -d "New files" > ../submit.out &

# 4. 同步至乾淨的工作區
$ mkdir /data/ws2 && cd /data/ws2 
$p4 --field Stream=//UE5/main client -o Bench_ws2 \vert{} p4 client -i$ nohup /usr/bin/time -v p4 -Ztrack sync --parallel=threads=4  > ../sync.out &

Lore 執行

# 1. 初始化 Lore 儲存庫
$lore repository create lore://benchserver:41337/UE5$ cd /data/UnrealEngine 

# 2. Stage、Commit 和 Push 工作流程
$ nohup /usr/bin/time -v lore stage --targets ../file_list.txt > ../stage.txt & 
$ nohup /usr/bin/time -v lore commit "Test of UE5 Engine" > ../commit.txt & 
$ nohup /usr/bin/time -v lore push > ../push.txt & 

# 3. 複製 (Clone) 至乾淨的目錄
$mkdir /data/lore_ws && cd /data/lore_ws$ nohup /usr/bin/time -v lore clone lore://benchserver:41337/UE5 > ../clone.txt &

調校 P4 伺服器

雖然 SDP 提供了極佳的預設值,但要匹配這個特定的基準測試,需要調整平行執行緒並停用二進位掃描:

filesys.binaryscan: 0
net.parallel.max: 20
net.parallel.threads: 4
net.parallel.submit.threads: 4
net.parallel.sync.svrthreads: 150

最終裁決:哪款引擎能驅動您的工作室?

只要設定得當,Perforce P4 和 Lore 都展現出強大的後端解決方案能力。然而,它們的架構理念決定了截然不同的基礎架構成本和使用者體驗。

Lore 預設採用激進的平行處理,這使得它一開始就極其消耗 RAM。對於不斷擷取和提交海量 UE 資料集的團隊來說,P4 的速度明顯快得多。

雖然複製/同步的速度大致平分秋色,但在雲端環境中大規模部署時,P4 呈現出巨大的成本優勢。透過減少約 38% 的傳出 (egress) 資料傳輸,並以 Lore 用戶端記憶體佔用量的一小部分運作,工作室可以為其開發人員配備更精簡、更便宜的執行個體 (instances)。Lore 最終可能會透過資產繁重專案的伺服器端重複資料刪除 (deduplication) 來抵消部分儲存成本,但這必須與其龐大的網路傳輸量和高 RAM 需求進行仔細權衡。

您的版本控制系統守護著工作室最寶貴的智慧財產權。P4 之所以能保持其行業標準的地位,是因為它能輕鬆擴展至 PB 級 (Petabytes) 的資料量,無縫處理二進位資產的獨佔鎖定 (exclusive locking),並與美術人員和開發人員的工作流程完美整合。結合廣泛的 GUI 生態系統和全球企業支援,Perforce 依然是 Unreal Engine 開發中無可爭議的重量級王者。

關於 OpenLogic

OpenLogic 由 Perforce 提供完整的企業級支援和服務,專為在其基礎設施中使用開源軟件的公司企業而設計。我們支援超過 400 種開源技術,提供保證的服務水準協議(SLA),並可直接與經驗豐富的企業架構師溝通。透過我們的 24×7 工單支援、專業服務和培訓,OpenLogic 提供綜合且全面的開源支援解決方案。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。