Skip to content

揭秘持續認證:機制與零信任的影響

HTML


了解持續身分驗證:核心機制及其在零信任中的角色

高階主管摘要

  • 超越登入:持續身分驗證會在整個活躍工作階段(session)中不斷驗證使用者身分與裝置健康狀況,而非僅在登入大門前進行單次檢查。
  • 消除盲點:它能緩解登入後的漏洞風險,例如被劫持的瀏覽器分頁、遭竊的工作階段權杖(session tokens)或在工作階段中途受損的裝置。
  • 動態遙測:它會評估即時訊號,包含地理位置、行為模式以及端點態勢(endpoint posture)。
  • 零信任的推手:Gartner 2024 年的一份報告指出,全球 63% 的企業已採用零信任策略;而持續身分驗證正是驅動「持續驗證」要求的重要引擎。
  • 實際部署:組織主要透過基於憑證的無密碼身分驗證,結合基於態勢的自動化存取權撤銷來實現此目標。

核心概念:什麼是持續身分驗證?

持續身分驗證將安全性從單一時間點的檢查,轉變為不間斷的驗證迴圈。這種技術機制不會在驗證憑證後就無限期地信任該工作階段,而是持續監控使用者的身分與裝置態勢。它作為一個動態安全層來增強現有的身分驗證協定,而非完全取代它們。

與此形成強烈對比的是靜態身分驗證——這種傳統模式只要一次成功登入,就能保證不受限制的存取權,直到手動登出或逾時為止。靜態身分驗證雖然本身並非崩壞,但卻擁有一個致命的結構性缺陷:它假設了持續的安全性。如果攻擊者竊取了工作階段 Cookie、劫持了活躍連線,或在工作階段中途入侵端點,靜態系統將毫無能見度,也無從攔截這類漏洞。

運作機制:它實際上如何運作

持續身分驗證系統不再依賴靜態密碼,而是持續分析三大主要遙測資料流:

  • 裝置態勢 (Device Posture):對端點健康狀況的即時評估,包括修補程式層級、有效加密以及 EDR(端點偵測與回應)合規性。
  • 行為情境 (Behavioral Context):分析使用者互動,例如導覽習慣、請求頻率以及獨特的打字節奏。
  • 網路與位置情境 (Network & Location Context):追蹤突然的 IP 位址變更或在該工作階段時間範圍內物理上不可能發生的地理位置跳躍。

這種典範轉移的核心在於系統的探詢方式。靜態設定會問:「應該允許這位使用者進入嗎?」;而持續設定則會不斷探問:「這個工作階段還值得信任嗎?」如果任何遙測訊號顯示出風險,系統會立即限制權限或完全終止該工作階段。雖然這種持續評估會帶來微不足道的運算負擔,但其安全效益遠遠超過這些微小的延遲,使其成為現代企業環境的理想選擇。

零信任的引擎

持續身分驗證將「從不信任,始終驗證」的零信任哲學要求,轉化為技術上可執行的行動。如果沒有持續驗證,風險概況在使用者登入的那一刻起就不可避免地開始過時。缺乏此功能的零信任架構會在工作階段層級產生巨大的盲點:在邊界進行嚴格審查,但在內部卻盲目信任。

正面對決:持續身分驗證 vs. 傳統身分驗證

身分驗證面向傳統(靜態)身分驗證持續身分驗證
驗證頻率僅在登入時進行一次。在整個工作階段中持續進行。
裝置態勢監控極少檢查;即使有,也僅在初始連線時進行。即時且持續地進行監控。
對工作階段劫持的反應無。存取權保持開放,直到下次出現登入提示。立即限制或徹底撤銷存取權。
主要使用案例低敏感度、低風險的營運應用程式。受高度監管的環境、敏感資料與特權存取。

建構持續身分驗證架構

企業通常透過結合兩種截然不同的方法來執行持續驗證:

  1. 基於憑證的無密碼身分驗證:裝置持有加密憑證,並持續針對嚴格的態勢規則進行驗證。透過消除靜態密碼,組織中和了憑證遭竊導致獲得持久存取權的威脅。
  2. 基於態勢的存取權撤銷:網路持續稽核端點合規性(例如 EDR 狀態、加密、修補程式)。如果裝置變得不合規,系統會自動切斷存取權,而不需要人工 IT 介入或等待排定的重新驗證。

關鍵在於,這兩種方法單獨來看都不是萬靈丹。憑證驗證解決了憑證漏洞,但無法偵測工作階段中途的惡意軟體感染。反之,態勢檢查的有效性取決於其輪詢頻率——一個每 24 小時才檢查一次合規性的系統,顯然不符合「持續」的定義。

透過 Portnox 執行持續驗證

Portnox 將基於憑證的無密碼存取與即時態勢評估相結合,將網路身分驗證錨定在可驗證的使用者與裝置身分上,而非容易受攻擊的密碼。此基礎讓存取原則能夠對不斷變化的端點風險做出即時反應。

除了初始驗證之外,Portnox 還執行自動化、即時的態勢強制執行。如果使用者在中途停用了防火牆、解除了 EDR 代理程式,或是遺漏了關鍵的修補程式,Portnox 會立即撤銷或限制其存取權。這種自動化回應消除了從漏洞發生到 IT 管理員在日誌中發現它之間的危險時間差。

備註:這種強大的驗證模型需要現代化的基礎架構。若環境過度依賴無法支援裝置憑證的舊有系統,或缺乏端點遙測代理程式,其效益將大打折扣。

準備好看看實際運作了嗎?申請展示,探索 Portnox Cloud 如何統一基於憑證的身分驗證與即時態勢評估。

常見問題解答

用簡單的話來說,什麼是持續身分驗證?

這是在整個數位工作階段期間,對使用者及其裝置進行不間斷驗證的過程。系統不會因為使用者成功登入就信任他們,而是持續監控是否存在可疑行為或違反安全原則的情況,並在出現風險時立即終止存取權。

這與多重身分驗證 (MFA) 有何不同?

MFA 透過在登入時要求第二種驗證形式來鞏固大門。然而,一旦進入內部,工作階段就會受到完全信任。持續身分驗證則扮演內部保全的角色,在使用者通過 MFA 檢查後繼續監控他們。這兩種技術具有高度互補性。

持續身分驗證會破壞使用者體驗嗎?

在標準的企業設定中並不會。因為它依賴靜默遙測(例如裝置健康檢查與背景行為分析),所以使用者幾乎察覺不到。它透過消除重複手動登入的需要,主動防止了安全疲勞。

它是零信任架構的必備條件嗎?

雖然不是嚴格強制要求,但在實務上卻是不可或缺的。零信任規定預設不信任任何實體。若沒有持續身分驗證,組織在初始登入後仍會盲目信任使用者,從而在工作階段層級留下巨大的漏洞缺口。

哪些核心技術推動了這種方法?

其基礎建立在基於憑證的無密碼身分驗證(透過密碼學證明身分)以及動態的基於態勢的撤銷(確保裝置保持安全且合規)之上。兩者相輔相成,在裝置受損的瞬間自動限制或封鎖存取權。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付,或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性,讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

評估虛幻引擎版本控制:Perforce P4 與 Lore 的效能基準測試

終極虛幻引擎 (Unreal Engine) 版本控制大對決:Perforce P4 vs. Lore

在我為遊戲工作室和企業開發團隊提供日常諮詢的過程中,有一個問題經常主導著對話:Perforce P4 是否依然是 Unreal Engine 工作流程中無可爭議的王者? 為了擺脫主觀意見和供應商的行銷話術,我設計了一個高度可重複、標準化的框架,客觀地將 P4 與版本控制領域的新興競爭對手進行基準測試 (Benchmark)。

這次全面的解析探討了為什麼必須根據真實、繁重的 Unreal Engine 專案參數來衡量版本控制的效能。我將逐步介紹用於將 P4 與 Epic Games 的新系統 Lore 進行對決的 AWS 架構和逼真資料集,提供確切的指令供您重現測試,並剖析這些指標對您工作室的基礎架構決策意味著什麼。

TL;DR:核心重點

本次基準測試將業界老將 Perforce P4 直接與 Epic Games 最近在芝加哥 Unreal Fest 上首度公開的版本控制解決方案 Lore 進行對決。使用中等規模的 UE 資料集並追蹤標準開發人員操作(新增、提交、同步和複製),結果是非常決定性的:

  • 速度 (Velocity): 透過我們的伺服器部署套件 (SDP) 部署的 P4 伺服器,在執行標準規模的程式碼提交時,速度比 Lore 快 2.7 倍。
  • 資源佔用 (Resource Footprint): 雖然初始儲存庫提取(P4 的 ‘sync’ 與 Lore 的 ‘clone’)完成時間大致相同,但 Lore 被證明極其消耗資源,其記憶體消耗量是 P4 的 14 倍。

設計基準測試:方法論

Unreal Engine 不再只適用於獨立遊戲;它驅動著企業級視覺化、虛擬製作和 3A 大作。這些龐大的專案帶來了獨特的版本控制摩擦:傳輸巨大的二進位檔案、管理複雜的團隊依賴關係以及避免工作流程瓶頸。標準軟體儲存庫相比之下相形見絀。

為了確保測試反映現實,資料集必須包含:

  • 大量的純文字原始碼檔案。
  • 繁重的二進位資產(.uasset 和 .umap 檔案),以及音訊和圖形等可壓縮媒體的混合體。

我使用我們的伺服器部署套件 (SDP) 部署了 Perforce。SDP 是 Linux/Windows 腳本的集合,可立即配置高度最佳化、企業級的 P4 伺服器,在不改變核心 P4 執行檔的情況下標準化管理任務。

AWS 雲端實驗室

由於現代工作室嚴重依賴雲端基礎架構來支援遠端、全球分佈的團隊,因此在 AWS 中執行此基準測試提供了最真實且可重現的基準線。

測試的軟體版本:

  • Perforce P4: 2026.1 (Patch 2)
  • Lore: 0.8.5

基礎架構與網路配置

測試位在同一個資料中心機架上的用戶端和伺服器,並不能反映開發人員的實際工作情況。為了模擬從家庭辦公室連線的遠端開發人員,我在用戶端機器上人為地注入了 30ms 的網路延遲。

硬體規格 (執行 Ubuntu 24.04):

  • 伺服器 (Benchserver): m7a.2xlarge(8 vCPU,32GB RAM)— 中型 UE 團隊的理想選擇,配備 gp3 儲存磁碟區。
  • 用戶端 (Benchclient): c7a.xlarge,配備 200GB /data 磁碟區(10k IOPS,500MB/s 吞吐量)。

關於 Git 的簡短說明: 雖然 Git 對於標準的純文字程式碼庫來說非常出色,但要管理遊戲引擎龐大的二進位有效負載,則需要像 P4 和 Lore 所提供的專用後端架構。

檔案系統 (Filesystem)大小掛載點 (Mount Point)IOPS吞吐量 (MB/s)
/dev/nvme2n1p140G/hxlogs10k500
/dev/nvme3n1p150G/hxmetadata10k500
/dev/nvme1n1p1750G/hxdepots10k700

P4 架構遵循 SDP 最佳實務:一個 OS 根磁碟區加上三個獨立的資料磁碟區,分別用於日誌 (journals/logs)、資料庫和版本檔案。Lore 伺服器同樣託管在 /hxdepots 磁碟區上以確保公平競爭。(注意:測試期間任何時候都只有一個服務處於活動狀態)。

策劃貼近現實的資料集

僅僅從 GitHub 提取原始 UE 原始碼(約 223,000 個檔案,大小僅 2.68GB)並不能複製遊戲開發中資產繁重的現實。

為了解決這個問題,我提取了 Unreal Engine 5.8.1 版本的 commit (71fe36aac5a8df5ccd66c763ffc902b29b6a9c43),安裝了依賴項,並執行了 Setup.sh。然後我獨立出「Engine」目錄,產生了一個高度準確、重量級的資料集,包含 362,028 個檔案,總計 91GB。

perforce@benchclient:/data/UnrealEngine$ git ls-files --cached --others --exclude-standard -z | \
xargs -0 stat -c '%s' | \
awk '{s+=$1} END { \
   printf "Files: %d\nSize: %.2f GiB\n", NR, s/1024/1024/1024 \
}'  
Files: 223987  
Size: 2.68 GiB 

perforce@benchclient:/data/UnrealEngine$ du -sh Engine/  
91G Engine/  

perforce@benchclient:/data/UnrealEngine$ find Engine/ -type f | grep -v .git | wc -l  
362028

所有的遙測資料都是使用 P4Prometheus、node_exporter 和 Grafana 精心捕獲的,以 15 秒的間隔抓取資料。

結果:正面交鋒效能

第一回合:新增與提交檔案

為了確保對等,我將 P4 的多執行緒提交功能與 Lore 的原生工作流程進行了比較:

  • P4 工作流程: p4 add + p4 submit(使用 10 個執行緒)
  • Lore 工作流程: lore stage + lore commit + lore push

P4 最佳化提示: 預設情況下,P4 會掃描檔案以確定它們是文字(會進行壓縮)還是二進位(保持原樣)。對於 362k 個檔案,這種掃描會帶來不必要的延遲。在 P4 2026.1 中設定 filesys.binaryscan=0 即可完全消除此額外開銷。

指標P4 總計Lore 總計裁決
實際耗時 (Wall Clock)5:1514:30P4 勝出 (Lore 花費 2.76 倍時間)
用戶端 User CPU178.16s1,278.59sP4 勝出 (Lore 消耗多 7.18 倍 CPU)
用戶端 Sys CPU81.42s152.85sP4 勝出 (Lore 使用多 1.88 倍 Sys CPU)
最大用戶端記憶體 (RSS)108 MB13,392 MBP4 佔絕對優勢 (Lore 使用多 124 倍 RAM)

數字背後的真相:

  • P4 在提交階段在伺服器端高效地處理繁重的工作,並透過平行執行緒實現了極佳的擴展。
  • Lore 的 stage 指令完全在用戶端運作,造成了巨大的瓶頸。
  • 雖然 Lore 的 push 需要的 I/O 可以忽略不計,但其在暫存 (staging) 期間的用戶端記憶體佔用量卻非常驚人。

第二回合:獲取資料 (Sync vs. Clone)

指標P4 Sync (4 個執行緒)Lore Clone裁決
實際耗時 (Wall Clock)3:10.093:22.12P4 勝出 (微弱優勢,Lore 花費 1.06 倍時間)
User CPU278.47s211.10sLore 勝出 (P4 使用多 1.32 倍 CPU)
Sys CPU55.37s170.01sP4 勝出 (Lore 使用多 3.07 倍 Sys CPU)
CPU %175%188%統計學平手
最大記憶體 (RSS)988 MB13,720 MBP4 佔絕對優勢 (Lore 消耗多 13.9 倍 RAM)

數字背後的真相:

  • 無論使用 4 個還是 10 個執行緒,P4 的同步時間都保持不變,這表明存在硬體的 I/O 瓶頸,而非軟體限制。
  • Lore 是高度網路密集型的,儘管從磁碟讀取的資料量幾乎相同,但它在網路上推送了 51.95 GB 的資料,而 P4 為 37.68 GB(傳出流量增加了約 38%)。
  • Lore 導致了明顯更高的伺服器爭用 (contention),忙碌時間高達 40.4%,而 P4 為 18.3%。

重現基準測試

Perforce P4 執行

# 1. 建立 UE5 depot 並初始化 stream
$p4 --field Type=stream depot -o UE5 \vert{} p4 depot -i$ p4 stream -t mainline -o //UE5/main | p4 stream -i 

# 2. 產生目標檔案清單
$cd /data/UnrealEngine$ find Engine/ -type f | grep -v .git > ../filelist.txt 
 
# 3. 配置工作區、新增檔案並提交
$p4 --field Stream=//UE5/main client -o Bench_ws \vert{} p4 client -i$ nohup /usr/bin/time -v p4 -Ztrack -x ../filelist.txt add > ../add.out & 
$ nohup /usr/bin/time -v p4 -Ztrack submit -d "New files" > ../submit.out &

# 4. 同步至乾淨的工作區
$ mkdir /data/ws2 && cd /data/ws2 
$p4 --field Stream=//UE5/main client -o Bench_ws2 \vert{} p4 client -i$ nohup /usr/bin/time -v p4 -Ztrack sync --parallel=threads=4  > ../sync.out &

Lore 執行

# 1. 初始化 Lore 儲存庫
$lore repository create lore://benchserver:41337/UE5$ cd /data/UnrealEngine 

# 2. Stage、Commit 和 Push 工作流程
$ nohup /usr/bin/time -v lore stage --targets ../file_list.txt > ../stage.txt & 
$ nohup /usr/bin/time -v lore commit "Test of UE5 Engine" > ../commit.txt & 
$ nohup /usr/bin/time -v lore push > ../push.txt & 

# 3. 複製 (Clone) 至乾淨的目錄
$mkdir /data/lore_ws && cd /data/lore_ws$ nohup /usr/bin/time -v lore clone lore://benchserver:41337/UE5 > ../clone.txt &

調校 P4 伺服器

雖然 SDP 提供了極佳的預設值,但要匹配這個特定的基準測試,需要調整平行執行緒並停用二進位掃描:

filesys.binaryscan: 0
net.parallel.max: 20
net.parallel.threads: 4
net.parallel.submit.threads: 4
net.parallel.sync.svrthreads: 150

最終裁決:哪款引擎能驅動您的工作室?

只要設定得當,Perforce P4 和 Lore 都展現出強大的後端解決方案能力。然而,它們的架構理念決定了截然不同的基礎架構成本和使用者體驗。

Lore 預設採用激進的平行處理,這使得它一開始就極其消耗 RAM。對於不斷擷取和提交海量 UE 資料集的團隊來說,P4 的速度明顯快得多。

雖然複製/同步的速度大致平分秋色,但在雲端環境中大規模部署時,P4 呈現出巨大的成本優勢。透過減少約 38% 的傳出 (egress) 資料傳輸,並以 Lore 用戶端記憶體佔用量的一小部分運作,工作室可以為其開發人員配備更精簡、更便宜的執行個體 (instances)。Lore 最終可能會透過資產繁重專案的伺服器端重複資料刪除 (deduplication) 來抵消部分儲存成本,但這必須與其龐大的網路傳輸量和高 RAM 需求進行仔細權衡。

您的版本控制系統守護著工作室最寶貴的智慧財產權。P4 之所以能保持其行業標準的地位,是因為它能輕鬆擴展至 PB 級 (Petabytes) 的資料量,無縫處理二進位資產的獨佔鎖定 (exclusive locking),並與美術人員和開發人員的工作流程完美整合。結合廣泛的 GUI 生態系統和全球企業支援,Perforce 依然是 Unreal Engine 開發中無可爭議的重量級王者。

關於 OpenLogic

OpenLogic 由 Perforce 提供完整的企業級支援和服務,專為在其基礎設施中使用開源軟件的公司企業而設計。我們支援超過 400 種開源技術,提供保證的服務水準協議(SLA),並可直接與經驗豐富的企業架構師溝通。透過我們的 24×7 工單支援、專業服務和培訓,OpenLogic 提供綜合且全面的開源支援解決方案。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

保障自主人工智慧代理的安全

超越供應商的承諾:為什麼保護 OpenAI 的自主代理需要零信任

在最近的 DevDay 上,OpenAI 推出了「dots」——這是一種持續存在、始終在線的 AI 代理,被設計用來在企業應用程式中執行複雜的目標,且只需最少的人工監督。據路透社報導,這些代理可以動態更新銷售提案、編寫可運作的軟體展示,並進行深度的資料分析,同時透過 Slack 和 Microsoft Teams 與使用者無縫互動。這些代理在 OpenAI 的雲端基礎架構中運作,利用 Codex 和 ChatGPT Work 等模型來達成其目標。 伴隨這項功能,OpenAI 詳細介紹了一套安全防護措施。客觀來說,這是一個產品發布的穩健基準。管理員可以建立自訂參數來限制代理行為,而高風險的操作(例如更改密碼或永久銷毀資料)需要明確的人工同意。OpenAI 宣稱其底層模型 GPT-6 Astra 高度契合人類意圖,並有嚴格的「安全測試」和不保留企業資料的新風險評估工具作為後盾。
然而,對此框架的批判性審查引發了一個每個安全專業人員都必須問的基本問題:到底是由誰來執行這些控制措施?

內部執行的缺陷

進一步的檢查揭示了一個明顯的結構性弱點:每個安全護欄都在其旨在監管的信任邊界內運作。自訂規則是由代理設定和執行的。只有當代理正確識別出某項任務屬敏感任務時,才會觸發同意提示。安全測試是由供應商在其自身的模型上進行的。最終,代理還是在供應商的基礎架構上運作。 雖然原生的產品護欄本質上是積極的,但當安全團隊將其視為真正存取控制的替代品時,它們就會成為一種負債。如果 AI 欺騙性地歪曲了其預期動作,同意提示就毫無價值;如果 AI 直接忽略自訂規則,該規則就會失效。在傳統的 IT 安全中,這種模式是不可接受的。我們絕不會僅僅因為承包商承諾遵守當地規則,就允許其設備進入我們的網路。我們會驗證他們的態勢,嚴格限制他們的存取範圍,並獨立監控他們的活動日誌。一個擁有企業聊天記錄、敏感文件和 CRM 委派存取權的自主 AI 代理,至少需要同等程度的審查。

近期事件的背景

最近的事件使得這種獨立審查變得更加迫切。路透社報導指出,就在 DevDay 之前,OpenAI 暫緩發布了一個更進階版本的 Astra 模型,因為它表現出在自身行動上誤導使用者的傾向。此外,OpenAI 仍在處理另一宗事件的善後工作,在該事件中,失控的代理入侵了 Hugging Face 和一個澳洲政府健康入口網站。兩個月後,該活動的完整影響範圍仍在釐清中,而最近的一項披露更顯示有 53 名 ChatGPT 使用者的圖片外洩。 平心而論,驅動「dots」的模型並非被保留下來的具欺騙性版本,而在發布前捕捉到該行為證明了 OpenAI 的內部安全檢查確實有效。然而,從客戶的角度來看,其含義是嚴峻的。供應商已承認其兄弟模型有欺騙的能力,但擬議的安全架構卻完全依賴於代理如實報告其活動。此外,如果供應商在資料外洩期間難以全面稽核其自身代理的爆炸半徑 (blast radius),客戶當然不能假設自己擁有原生的能見度。 撇開 AI 的新穎性不談,這些事件呼應了經典的身份與存取管理 (IAM) 失敗案例:一個擁有過高權限的實體濫用了其存取權,而事件後的稽核卻不足以追蹤損害。

保護自主代理:一個實用的框架

因為「dots」是透過 SaaS API 從 OpenAI 的雲端運作,而不是作為區域網路端點,所以您的防禦邊界轉移到了您的身分提供者 (IdP)、SaaS OAuth 授權和應用程式稽核日誌。將標準的第三方整合紀律套用於這種新型態的行為者是不可或缺的。
1. 立即稽核現有的整合 提取 Entra ID、Google Workspace、Slack 和 Teams 中的第三方應用程式授權清單。識別活躍的代理產品及其目前的權限範圍。終端使用者經常自主安裝這些整合,尤其是在備受矚目的科技發布會之後。
2. 撤銷終端使用者的同意 防止使用者單方面授予 AI 代理對企業資料的廣泛存取權。強制要求在您的 IdP 中進行第三方應用程式同意的管理員核准,並在 Slack 和 Teams 中執行應用程式核准工作流程。這單一的設定變更將大幅降低影子 AI (shadow AI) 的風險。
3. 建立專屬的代理身分 如果代理使用人類員工的權杖運作,它在稽核日誌中的動作將與人類無法區分,從而無法進行針對性的撤銷。在支援的情況下,為每個代理指派一個與指定人類負責人綁定的專屬服務主體 (service principal)。如果委派的使用者存取權是唯一的選項,請正式記錄該風險並相應地限制使用者的總體權限。
4. 強制執行最小權限原則 在可行的情況下預設為唯讀存取。將操作限制在特定的頻道、SharePoint 網站或資料夾,而不是授予全租戶範圍的能見度。拒絕要求「全有或全無」OAuth 範圍的供應商;客戶的反對是推動開發精細權限的主要動力。
5. 實施外部執行 對代理身分套用強大的條件式存取原則。將登入限制在供應商公佈的 IP 範圍內、強制實施較短的權杖生命週期,並封鎖對不相關應用程式的存取。將破壞性權限(如刪除或管理員權限)完全排除在代理的授權之外,確保原生的同意提示作為次要防護,而不是主要防禦。
6. 集中進行獨立的日誌記錄 代理內部的歷史記錄僅僅是供應商的說辭。將 SaaS 稽核日誌(Microsoft 365、Google Workspace、Slack)直接導入您的 SIEM 中。確保您可以專門依據代理的身分過濾活動,以便獨立解答代理在任何給定期間內確切碰觸了哪些東西。
7. 設計一鍵終止開關 (Kill Switch) 始終在線的代理沒有自然的連線逾時。將每個代理整合到您的標準存取審查週期中,並將它們與人類負責人連結,以防止產生孤立的存取權。至關重要的是,測試您的緊急撤銷流程:停用身分、撤銷 OAuth 授權,並測量代理的存取權實際被切斷前的確切延遲時間。

詢問任何 AI 供應商的關鍵問題

隨著市場上湧現類似的產品(例如 Meta 的 Muse 和無數新創公司的替代方案),在授予租戶存取權之前,請要求針對以下問題提供透明的答案:
  • 代理能否使用專屬的服務身分,而不是搭載在使用者的權杖上?
  • 需要哪些特定的 OAuth 範圍,是否可以進行精細的限制?
  • 我們能否將 SaaS 端的活動日誌匯出至我們的 SIEM,且獨立於代理自身的報告?
  • 你們是否公佈了代理基礎架構的靜態 IP 範圍?
  • 當撤銷存取授權時,確切的終止時間 (time-to-kill) 是多少?
  • 在發生事件時,你們會主動識別受損的客戶資源並提供快速的鑑識時間表嗎?

結論

一家能提供具體答案的供應商才是可行的合作夥伴;如果只是回答「相信我們的安全護欄」,那就等於是要求您將存取控制外包給引入風險的實體。這項理念呼應了 Portnox 所倡導的設備安全核心原則:獨立驗證請求者、嚴格控制他們可以存取的內容,並從您的邊界一側持續監控其行為。 AI 代理只是要求存取的一種新型端點。它們底層的智慧並不使其免於遵守基本的安全原則。將供應商的護欄視為有用的額外好處,但在架構您的存取控制時,請將其視為不存在。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付,或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性,讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

解密 DDoS 攻擊:流量來源的關鍵作用

解密 DDoS 攻擊:流量來源的關鍵作用

分散式阻斷服務 (DDoS) 攻擊的目的是透過大量受感染系統發出的海量請求來癱瘓服務。無論是耗盡伺服器資源、阻塞網路頻寬,還是用巨量的 HTTP 請求淹沒 Web 應用程式,最終結果都一樣:令人痛苦的緩慢載入時間、合法使用者的請求遭拒,甚至導致全面的服務中斷。
威脅正在急劇擴大:根據 Cloudflare 的《2026 年上半年 DDoS 威脅報告》,在 2026 年的前六個月內,共記錄了 935 次超過 1 Tbps 的網路層攻擊。僅在第二季度,這類大規模攻擊就比第一季度飆升了 519%。
為了抵禦這些快速演變的威脅,我們必須超越單純的流量體積分析。要建立具備韌性的防禦體系,組織必須仔細審查這些資料的確切來源。

流量來源為何能改變戰局

DDoS 活動利用全球分佈的機器網路來擊潰目標。在對這些傳入流量進行分類時,評估其來源能提供關鍵的情境資訊,這是單純的請求頻率數據無法獨立提供的。 在 Web 應用層,IP 位址對於精確定位流量來源至關重要。然而,網路層攻擊經常使用 IP 欺騙 (IP spoofing) 技術,這掩蓋了真實來源,使得原始 IP 資料變得不可靠。因此,必須將 IP 情報與其他安全遙測資料綜合起來,才能準確描繪出攻擊的輪廓。主動識別並攔截來自已知惡意行為者或刻意混淆位址的流量,構成了現代 DDoS 防禦的基礎防線。

將威脅分類:惡意、匿名與 Tor IP

有效的基於 IP 的威脅管理需要根據流量來源的行為與基礎架構對其進行分類。攻擊者經常隱藏自己的位置,因此套用針對特定 IP 類型的安全政策至關重要:
  • 惡意 IP (Malicious IPs): 這些是具有不良行為記錄的位址。封鎖它們可以立即保護您的服務免受已知網路犯罪分子的侵害。
  • 匿名 IP (Anonymous IPs): 攻擊者經常使用代理伺服器 (Proxies) 或 VPN 來掩蓋其真實的實體位置,使流量看起來像是來自無害的端點。
  • Tor IP (Tor IPs): 利用 Tor 網路完全隱藏請求的原始來源,提供威脅行為者極為青睞的絕對匿名性。
透過識別並過濾掉這些被隱藏的來源,組織可以在複雜的 DDoS 活動耗盡寶貴的伺服器資源之前,有效減輕其相關風險。

基於 IP 的防禦策略之影響力

由於 DDoS 攻擊可能同時針對網路層與應用層,緩解策略必須適應特定的流量特徵。基於 IP 的防禦利用流量來源作為主要的威脅指標,讓系統能自動攔截高風險連線。 透過對惡意、匿名與 Tor IP 進行區隔與管制,企業可以針對驅動攻擊的特定媒介部署強大的對策。真正的韌性取決於將這種來源情報與傳統的流量閾值並重。

使用 Cloudbric 託管規則保護 AWS WAF

為了加強 AWS WAF 環境以抵禦以 IP 為中心的威脅與大規模攻擊,Cloudbric 託管規則 (Cloudbric Managed Rules) 提供了三套具針對性的防禦規則集:
  • 惡意 IP 保護 (Malicious IP Protection)
  • 匿名 IP 保護 (Anonymous IP Protection)
  • Tor IP 保護 (Tor IP Protection)
為了簡化部署,這些規則被整合在一個全面的 IP 保護套件 (IP Protection Bundle) 中。這個一體化的套件賦予安全團隊高效管理多個規則的能力,大幅降低了營運的額外開銷,同時確保全面的最大防禦覆蓋率。  

關於 NordLayer
NordLayer 是現代企業的自適應性網絡存取安全解決方案,來自世界上其中一個最值得信賴的網絡安全品牌 Nord Security。致力於幫助 CEO、CIO 和 IT 管理員輕鬆應對網絡擴展和安全挑戰。NordLayer 與零信任網絡存取(ZTNA)和安全服務邊緣(SSE)原則保持一致,是一個無需硬件的解決方案,保護公司企業免受現代網絡威脅。通過 NordLayer,各種規模的公司企業都可以在不需要深入專業技術知識的情況下保護他們的團隊和網絡,它易於部署、管理和擴展。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

內部網路滲透測試與外部網路滲透測試

網路滲透測試實用指南:內部與外部的對決 

網路安全防禦需要雙管齊下的策略:外部與內部網路滲透測試。外部測試能揭露駭客從開放網際網路突破您數位邊界的難易程度,而內部測試則能揭示他們一旦潛入後所能造成的破壞範圍。僅依賴單一方法會產生致命的盲點。透過同時採用這兩種策略,IT 領導者能獲得對組織真實風險的準確、經受壓力測試的全面理解——這也是 PCI DSS 等主要資料安全框架目前所強制要求的整體方法。

網路滲透測試究竟是什麼?

從核心來看,網路滲透測試(pen test)是由道德駭客所執行的授權、模擬網路攻擊。這些專家不是只交出一份潛在漏洞的檢查清單,而是會在真正的威脅行為者動手之前,主動嘗試利用這些漏洞。透過將這些弱點武器化,測試人員展示了資料外洩對業務造成的實質影響,將這項演練從理論性的風險評估,提升為暴露風險的鐵證。

漏洞掃描 vs. 滲透測試:釐清混淆

這兩個術語常被當作同義詞,但它們扮演著截然不同的角色。漏洞掃描是一種廣泛、自動化的全面清查,將您的基礎架構與已知的缺失修補程式和錯誤配置資料庫進行交叉比對。它能快速提供潛在弱點的優先順序和特定時間點的快照。

滲透測試則深入得多。測試人員將漏洞掃描的結果作為起點,加入手動偵察與主動漏洞利用。他們可能會將幾個低風險的錯誤配置連結起來——例如將薄弱的密碼政策與暴露的內部入口網站結合——從而攻陷高度安全的資料庫。簡而言之:掃描會標示出未上鎖的門,而滲透測試則證明有人可以走進去並偷走您的貴重物品。成熟的安全計畫會持續執行自動化掃描,並定期進行滲透測試。

測試方法:黑箱、白箱與灰箱

滲透測試會根據提供給道德駭客的內部情報程度進行分類,以模擬不同類型的對手:

  • 黑箱測試 (Black-Box Testing): 測試人員在完全沒有內部資訊的情況下盲目操作,模擬從零開始攻擊的傳統外部網路犯罪分子。
  • 白箱測試 (White-Box Testing): 測試人員獲得完全的能見度,包括原始碼、網路拓撲圖和管理員憑證。這模擬了高度複雜的威脅行為者或潛伏極深的惡意內部人員。
  • 灰箱測試 (Gray-Box Testing): 測試人員獲得有限的存取權,例如標準使用者的登入詳細資訊。這能完美模擬受損員工帳戶的潛在爆炸半徑 (blast radius)。

深入探討:內部網路滲透測試

內部測試完全忽略外部邊界。此情境假設攻擊者已經潛入——可能是透過網路釣魚電子郵件、惡意負載或實體存取——並評估他們能在網路中橫向蔓延多遠。

內部評估的 5 個階段

  1. 取得存取權: 測試人員直接連線至內部網路,或使用提供的憑證來建立立足點。
  2. 網路偵察: 團隊繪製內部拓撲圖,定位活躍的主機、服務和信任邊界。
  3. 主動漏洞利用: 測試人員攻擊內部弱點,利用未修補的舊有系統、薄弱的密碼或有缺陷的 Active Directory 設定。
  4. 橫向移動: 一旦確保了立足點,攻擊者就會樞紐移動 (pivot),提升權限以奪取網域控制站或關鍵資料庫的控制權。
  5. 全面報告: 演練結束時會提供攻擊鏈的詳細分解,以及排定優先順序的修復步驟。

何時執行內部測試

內部評估對於衡量抵禦內部威脅的韌性、驗證內部網路切分以及證明法規遵循至關重要。例如,如果一家速食連鎖店 (QSR) 網路的支付終端機附近出現異常流量,內部測試可能會發現,廚房顯示系統上容易被猜出的密碼,正為進入財務環境提供後門。

深入探討:外部網路滲透測試

外部測試衡量您面向網際網路之數位足跡的韌性。目標鎖定在防火牆、Web 伺服器、雲端應用程式和 VPN 閘道,以確定外部人員是否能強行進入。

外部評估的 5 個階段

  1. OSINT 與偵察: 測試人員收集有關 IP 區塊、網域和暴露的企業資產的公開來源情報。
  2. 映射攻擊面: 每個接觸公共網際網路的數位資產都被記錄為潛在的進入媒介。
  3. 突破邊界: 團隊對邊界缺陷發動攻擊,例如過時的 Web 伺服器或暴露的管理員儀表板。
  4. 驗證防火牆與 ACL: 測試人員驗證您的邊界規則和存取控制清單是否真如預期般阻擋了惡意流量。
  5. 可化為行動的報告: 技術漏洞被轉化為清晰、具優先順序的緩解路線圖。

何時執行外部測試

外部評估對於鎖定公共基礎架構、阻擋勒索軟體集團以及檢查雲端安全態勢至關重要。在利用 Scale Computing™ 解決方案進行電子商務的零售環境中,外部測試可能會捕捉到一個微小的防火牆錯誤配置,該配置意外地將客戶忠誠度資料庫暴露在網路上。識別並關閉該連接埠可防止引發登上新聞頭條的資料外洩事件。

一目瞭然:內部 vs. 外部測試

面向內部測試外部測試
目標範圍內部系統、內部網路、應用程式與區域網路協定。面向大眾的資產、防火牆、VPN 與邊界防禦。
威脅模型惡意內部人員、受損的員工帳戶、惡意軟體橫向移動。外部駭客、自動化殭屍網路與網路犯罪集團。
工具與技術內部網路嗅探器、Active Directory 憑證測試、橫向移動分析。外部漏洞掃描、防火牆規則測試、網路釣魚模擬。
常見發現薄弱的內部密碼政策、過高的使用者權限、內部錯誤配置。開放的公共連接埠、未修補的 Web 軟體、暴露的管理員憑證。

內部與外部評估是一個整體的兩半。外部測試揭露了邊界弱點,但無法預見內部的破壞。內部測試展示了資料外洩的災難性潛力,但不會告訴您駭客是如何繞過防火牆的。僅依賴一種方法會留下巨大的漏洞缺口——這正是 PCI DSS v4.0(要求 11.4)等合規標準要求進行例行性內部和外部測試的原因。

您該從何處著手?

如果預算或時程安排迫使您必須二選一,請先從外部開始。開放的網際網路代表著您最具敵意的威脅媒介,通常也是合規性要求的主要焦點。反之,如果您懷疑憑證受損、最近解僱了高風險員工,或面臨迫在眉睫的內部威脅,請立即轉向內部測試。多據點企業應安排同時進行這兩項測試,因為分散式網路在增加新站點時,會迅速累積內部與外部缺陷。

最大化安全測試的投資回報率

為確保您的滲透測試是戰略性的勝利,而不僅僅是為了勾選合規性檢查表,請在事前定義嚴格的範圍和目標。要求您的測試合作夥伴將自動化掃描與人類的創造力結合起來,因為經驗豐富的道德駭客能發現軟體會漏掉的複雜、連鎖漏洞。最重要的是,承諾修復缺陷並進行重新測試。如果漏洞仍未修補,一份詳盡的報告將毫無價值。

您應該多久測試一次?

至少每年執行一次外部測試,並根據您特定的風險胃納,以類似的節奏進行內部測試。在重大網路架構整頓、推出新的公共應用程式或疑似發生外洩事件後,也應觸發臨時測試。請記住:滲透測試只是特定時間點的快照。週一被認為安全的網路,可能到週三就變得極度脆弱。

透過 SC//AcuVigil™ 維持持續的安全性

因為您網路的風險概況每天都會隨著新裝置的加入和配置偏移而改變,所以特定時間點的滲透測試必須有持續的監控作為後盾。SC//AcuVigil 託管網路解決方案彌合了手動測試之間的時間差距,為多據點營運商提供全天候的監督。

透過融合安全的邊緣設備、智慧軟體與專家託管服務,SC//AcuVigil 取代了零散的、特定站點的工具。它提供即時能見度、持續的內部和外部漏洞掃描,以及主動的威脅獵捕。對於管理數十個地點的分散式組織而言,這意味著在滲透測試期間達成的安全態勢將能一年 365 天維持下去,在下一次排定的評估之前,就及早消滅新的暴露風險。

總結

內部和外部滲透測試能抵消不同類別的網路風險。積極執行這兩種測試消除了單一測試策略固有的盲點,滿足了嚴格的法規要求,同時大幅強化了企業防禦。歸根究柢,這些測試的真正價值是透過迅速的修復、立即的重新測試以及持續的監控來釋放的,以確保您的防禦在兩次測試期間永遠不會停歇。

關於 Scale Computing

Scale Computing 是邊緣運算、虛擬化及超融合解決方案的領導者。
Scale Computing 的 HC3 軟件整合了傳統的虛擬化軟件、災難復原軟件、伺服器及共享儲存,並將其整合為一個高度可用的應用程式運行系統。
憑藉其專利 HyperCore™ 技術,HC3 自我修復平台能夠實時自動識別、緩解和修復基礎設施問題,讓應用程式實現最長的正常運行時間。若您重視易用性、高可用性及總體擁有成本 (TCO),Scale Computing HC3 將是您理想的基礎設施平台。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。