Web 3 的崛起，為網路世界描繪出新的樣貌，也為市場帶來新的商機，企業如何運用雲端解決方案確保自家產品或服務的安全性、便利性及持續性，成為競逐新市場商機的成功關鍵。為此，由 Google Cloud、CloudMile 萬里雲、Elastic、ACE Exchange 王牌加密貨幣交易所聯合舉辦的「鏈3上雲 資安解析峰會」，特別邀請諸位雲端和資安專家，分享Web 3 架構及上雲後的資安防禦重點。
CloudMile 以 NIST CSF 框架評估成熟度，循序漸進強化企業資安防禦網
CloudMile 解決方案架構團隊主管梁文典引述調研報告皆指出，企業在雲端安全上最大的挑戰就是缺乏專業人才和經驗，為此，萬里雲根據 NIST CSF 資訊安全指南框架設計一份問卷，搭配專業顧問訪談評估企業目前的資安成熟度，包含：識別、保護、偵測、回應、回覆五大面向各有哪些不足之處，並給予短中長期建議，逐步補強資安架構。
「Google Cloud 在這五大領域都有相對應解決方案，可以充分滿足企業資安需求，」梁文典強調，例如：用於阻擋攻擊的 Cloud Armor、可進行資安事故調查與應變的 Mandiant，都是 CloudMile 經常建議客戶使用的解決方案。
在資安防禦外，因應外部政經情勢快速變化，梁文典亦建議，企業可以透過雲端進行備份備援，確保營運的穩定性。他進一步分析資料放到雲端的3個優勢，第一、相較磁帶、硬碟而言，雲端的初始成本和維護成本比較低，第二、雲端按用量計費，企業不用擔心過度投資造成浪費及空間不夠的問題，第三、資料可以傳輸到雲平台供應商在世界各地的任一機房存放，且傳輸過程與儲存都加密，不用擔心資料外洩風險。
而 Cloud Storage 不只具備上述3大優勢，還兼具耐用度高、價格實惠、安全等特色，企業只要在雲地間建立安全連線，就可以將雲端視為地端環境的延伸，安心地將資料存放到雲端。
ACE 交易所藉助 CloudMile 和 Google Cloud 之力，提昇交易速度和穩定性
創立於2018年的 ACE 王牌數位資產管理集團，便是藉由 CloudMile 和 Google Cloud 服務來強化資安防禦網，以確保服務的安全性和穩定性。
ACE 王牌交易所資安協理徐方繹表示， 2023 年正式上路、以 ISO 27001 為基準制定的《虛擬通貨產業資訊安全標準要點》，是目前加密貨幣產業主要遵循的資安準則，其中特別強調未來蒐集威脅情資及異常監控的重要性，而 Google Cloud 服務恰好能滿足這 2 點需求。
先就蒐集威脅情資來看， Google Cloud Threat Intelligence(GCTI) 平台整合惡意軟體資料庫 VirusTotal ，透過群眾協作的力量，即時彙整最新威脅情資，使用者還可以透過API方式 獲得與使用者組織相關的威脅情報，再加上 Google 收購資安公司Mandiant 近 500 位資安專家的專業研究，幫助 ACE 建立更強大的威脅偵測和應對能力，得以更完善應對不斷演進的威脅手法。
Chronicle SIEM可以整合雲端和地端的異常事件，再將 Log 傳至 Google Cloud Storage 存放，且資料存放年限預設為一年，符合很多金融法規或 ISO 標準的要求，一旦未來發生資安事件，也可以運用 Google Cloud BigQuery 進行跨資料雲、跨資料來源進行搜尋，快速找到需要的資料。此外， Chronicle SIEM 的模組化儀表板，還能幫助 ACE 快速分析資安攻擊事件的路徑，更進一步強化資安防禦網作業流程。
「透過 CloudMile 和 Google Cloud各種雲端解決方案，讓 ACE 能夠提供更高效的交易速度和更穩定的服務，吸引更多投資者參與。」徐方繹說。
迎接Web 3.0，掌握四大資安重點
在上述幾項 GCP 資安解決方案外，Google Cloud 客戶解決方案架構師 Neo Chen 進一步針對 Web 3 應用的資安規劃，建議企業應從基礎設施、程式運行、軟體開發及端點四大面向強化資安防禦機制。
先就基礎設施安全而言，涵蓋資料庫、DApp 中介層、Web App 與 API、行動App平台等領域，IT 人員可以根據 Web 3 的應用類型，搭配 Google Cloud 官方部落格和YouTube 影片的說明，運用 GCP 上的元件做好安全規劃。
第二點程式運行安全，主要重點在於偵測有沒有發生安全事件，亦即當 VM 或Container 在運行時，企業必須確保沒有奇怪的 BIOS 在底層默默執行。第三點軟體開發安全，則著重在軟體開發供應鏈的安全性，倘若企業的服務有用到外部SDK 或大量開源軟體，一定要有機制隨時檢測這些程式碼的安全性。第四點端點安全，企業可以透過 Google Cloud 協作軟體、安全金鑰、Google 身份認證與端點管理服務 Cloud Idenfity 等工具或服務，降低資料從端點外洩出去的風險。
任何可以連網的設備，都可能成為駭客入侵的缺口
除卻上述四大資安重點，Elasticsearch 區域總監 Fernand Cheng 更強調，企業應把所有可連網設備納入管控範圍中。隨著數據化趨勢發展，越來越多設備由類比走向數位化，如：ATM、CCTV 等都具備連網功能，這意味著駭客可以入侵的點越來越多，數年前某賭場爆發資料外洩事件，駭客的入侵點竟然是賭場魚缸的智慧溫度計！
由此可知，任何一個連網設備都存在著入侵風險，想要防堵資安危機，企業必須把所有設備的 Log 集中在單一平台，透過 AI 分析有效找出不同事件的關聯性，甚至描繪出駭客在內網的移動軌跡，才能及早發現及早處理，而Elasticsearch 解決方案同時具備監督式學習和非監督式學習機制，在 Log 分析上，可以協助企業找出很多管理者沒有看到的盲點，更有效的降低資安風險。
迎向 Web 3 新世代，企業應善用雲服務做好資安防禦規劃，以穩定、安全及便利的服務為訴求，才能吸引更多客戶，成為未來市場上的贏家。
