工研院與蔚藍雲聯手化繁為簡，助力擘建自動化的零信任安全環境
- 陳其璐／新竹
-
根據CloudMile萬里雲集團所做的資安趨勢大調查，顯示高達近五成企業，曾遭遇資安事故，影響範圍涵括網站、端點裝置、服務系統應用程式。尤其值得一提，近年資安事件場景不再僅有IT環境，舉凡OT或IoT環境的事件數量，均呈現快速激增之勢。
無庸置疑，近年備受關注的「零信任」，可謂解決物聯網資安問題的最佳解方。工研院資通所組長卓傳育博士解釋，因攻擊樣態越來越多，防禦系統再怎麼厲害，仍難全面捕獲所有惡意程式；唯有落實零信任，才能透過「永不信任，一律驗證」原則，適時阻斷任何可疑活動。
不論IT或OT環境，皆有必要導入零信任，但在OT環境的實作挑戰更大。此乃因為，OT場域內存在許多老舊系統，無法更新，亦無法安裝 Agent，所以需要採取不一樣的思維或設計，方能順利啟動零信任機制。
著眼於此，工研院Janus團隊決定與CloudMile萬里雲集團旗下的技術顧問公司 Electrum Cloud 蔚藍雲攜手合作，藉由蔚藍雲的零信任策略諮詢服務，結合工研院悉心孕育的自動化網路控管技術 Janus，打造簡單有效的零信任網路架構實踐模式，讓企業擺脫複雜的產品、技術和策略障礙，在無需資安高手隨侍在側，仍可在智慧醫院、智慧工廠、充電樁等OT場域成功實施零信任網路架構。
以網路分艙分流，縮小資安事件災損範圍
蔚藍雲策略諮詢總監黎嘉龍表示，談到零信任，台灣許多企業都面臨一大問題，即是缺乏頂尖資安人才，懂得綜觀身分認證、網路、裝置、數據及應用等策略層面，思考及選擇最合適的零信任方案。正因如此，多數企業即便知道實施零信任至關重要，卻不知如何起步。
所以蔚藍雲決定與工研院的Janus技術合作。環顧零信任網路架構，微網段隔離（Micro Segmentation）是其中的關鍵一環；無論大中小型企業，都迫切需要引進相對簡單的方法來部署微網段隔離，做為展開零信任旅程的起點。
卓傳育補充說，OT世界的重點在於不中斷，務求降低風險，故需藉助微網段隔離技術實現分艙分流，如此哪怕任一機台或區域遭到入侵，都不影響其他產線運行。持平而論，只要嫻熟交換器或防火牆設定規則的好手，皆有可能利用現有機制達到網段隔離，但一來這樣的人才稀缺、昂貴，二來還需要隨時因應產線調整而更改設定，門檻高且負擔重，徒增企業留才難度。
「 Janus的功能並不簡單，而是嵌入自動學習演算法，藉由自動化來減少專業人力投入需求，」卓傳育說，用戶只要佈建Janus Box、運作一段期間，就能自動建立該網段的正常行為基線、自動形成白名單規則、自動執行規則把關，遏阻任何異常活動運行。工研院扮演技術研發角色，力求Janus能被輕易部署和運用，需要仰賴蔚藍雲的顧問服務與市場拓展經驗，將此技術運用到對的地方，接觸到對的客戶。
策略諮詢＋自動化網路控管，打造高CP值零信任架構
黎嘉龍分享，他觀察不少台灣企業都有相同處境，不知自身OT環境有哪些資產，所以不知風險何在、不知風險對企業的影響、不知如何制定資安策略，再來也缺乏自動化機制來發現潛在資安威脅、應對風險。
此時蔚藍雲可為企業提供零信任評估服務，同時利用 Janus 盤點OT環境所有設備的IP、MAC Address、Host Name， 再佐以其他程序還原完整資產樣態，進而讓企業理解「假使什麼防禦都不做」的風險何在，再評估這些風險可能對企業產生何等影響；另外引導企業理解應該優先處理哪些風險，及所需執行的資安項目與方案部署、投資價值等，形成一套涵蓋流程、治理、風險與財務要素，且契合NIST零信任指引準則的完整藍圖。
更重要的，蔚藍雲會綜合評估資安項目的投資成本、學習成本、系統整合、自動化等環節，協助資安長計算零信任投資的 CP 值，以便於向董事會申請預算。
卓傳育重申，現階段企業對零信任的認知，不外乎是人員鑑別、設備鑑別，再下一步就跳到信任推斷，其實若參酌NIST標準，其間亦需實施微網段隔離，才能確保從人、設備到網路一路受到管控。而工研院研發 Janus，為的正是補強這道缺口，甚至與市場上一般微分段方案形成區隔，不要求OT業主對外提供情資日誌，Janus本身即可自主監控、學習、生成規則，徹底翻轉資安服務的生態。
截至目前，蔚藍雲與工研院 Janus 團隊皆已累積諸多零信任專案實績。例如蔚藍雲協助某金融機構執行零信任評估，從環境中挖掘出接近二十個高優先級別的風險，建議在未來12個月內修補完畢，並針對各個風險提供解決對策建議；對方有鑒於該評估報告深具嚴謹性與可行性，決定與蔚藍雲擴大合作，從原本聚焦在零信任的評估，擴大到後續的建置案。
至於工研院，則已將Janus成功佈建於許多OT／IoT場域，例如協助醫療院所執行病床IoT感測器的資安風險管理；亦曾協助智慧製造場域分析工廠內正常網路行為，進而為各個網段建立有規範的安全隔離；此外與網通、儲能或充電樁等多樣性設備商合作，針對要出貨給最終客戶的產品內部疊加資安服務，消弭日後遭受入侵與攻擊的風險。
展望未來，蔚藍雲除了以量化方式協助客戶計算資安投資價值與優先順序，更訴諸零信任國際標準之專業諮詢，持續整合工研院 Janus 技術，助力客戶打造一個基於 AI 智慧核心的自動化安全環境。
