文 ／ 精品科技 研發二部 陳俊豪
雲端對企業造成的威脅與資安漏洞
隨著資訊科技的發展，資訊安全面臨的新挑戰和新問題也不斷湧現。近年來，隨著「雲端」成全球資訊技術領域的熱點，各企業在獲得雲端資訊價值增益的同時，卻也在不斷的累積風險。
事實上，雲端是一個廣泛的議題，包含計算與儲存等領域，其中，雲端儲存空間的出現，使得資料存取越來越便利，許多企業與個人使用者都開始使用雲端硬碟來存取資料。 企業一方面在享受雲端硬碟的便利性，另一方面也有了許多隱憂 ; 例如各式各樣的雲端儲存空間和使用方式的出現，也讓企業內部資訊外流的管道大大增加，使企業資訊安全方面面臨的重大威脅。
在去年國內著名的 IC 廠爆發了企業內部員工洩密案，凸顯企業在營業秘密管理上內部員工的風險與威脅，因此，在享受雲端硬碟便利的同時，企業也必須思考如何來面對雲端硬碟所帶來的問題。
而雲端硬碟所帶來的威脅有那些呢 ? 首先必須先來了解雲端硬碟的使用方式，目前常見的使用方式如下：
1. 雲端硬碟廠商提供的同步程式
員工從網路上下載雲端廠商提供的應用程式後安裝在工作電腦，登入私人帳號，設定同步本機目錄，再將檔案放到同步目錄中就可以輕易地帶走資料，諸如著名的 Dropbox、Google Drive 均有提供這樣的應用程式。
【安裝雲端同步軟體後的圖示】
2. 用瀏覽器訪問雲端硬碟網站
除了雲端同步軟體之外，許多雲端廠 商也提供了線上存取資料的方式，員工可以打開瀏覽器登入私人帳號連上雲端網頁存取空間，將檔案上傳到雲端，造成資料外流。
【瀏覽器登入雲端帳號存取雲端網頁空間】
3. Office 等軟體內建另存到雲端功能
除了上述的兩種方法，有些軟體提供編輯後直接存放到雲端空間，例如新版的 Office2013 提供了資料編輯後直接儲存到雲端的方式，如下圖所示，員工使用這一方式可以將編輯後的文件上傳到雲端空間，這也造成了資安上的漏洞。
【Office2013 直接另存檔案到雲端硬碟】
X-FORT雲端儲存解決方案
那麼企業應該如何面對雲端硬碟所帶來的威脅與資安漏洞呢？ X-FORT 為了解決雲端所帶來的資安問題，將在 2015 年推出針對企業在雲端硬碟上一系列的防護功能，可以針對各種雲端上傳資料的管道進行控管，如圖所示，X-FORT 針對上述議題進行了控管與記錄，來解決雲端硬碟企業所帶來的資安問題，降低企業內部資安管理上的成本。
【X-FORT 提供的雲端硬碟防護機制】
目前 X-FORT 針對了以下的雲端上傳資料的途徑做了防護 :
1. 權限控管
- 雲端硬碟廠商提供的同步程式
無論是哪一種途徑，基於安全性，各家雲端硬碟均使用 SSL 連線加密傳輸資料；並且需要登入雲端硬碟帳號才能使用。因此可採用 SSL 軟體控管機制阻擋同步程式。管制可使用SSL 連線的軟體。X-FORT 提供了彈性的設定方式，企業管理者可以自行設定那些雲端硬碟軟體可以使用，設定信任與禁用清單。 而萬一遇到沒有設定到的未知軟體呢 ? 管理者也可以進一步決定如果是清單外的未知程式是否可以使用。
在使用者端，當 X-FORT 偵測到軟體有 SSL 連線的行為將比對信任清單來決定是否提供給一般員工使用，如果是禁用軟體就禁止 SSL 連線，便無法達到資料同步的行為。
此外，除了阻擋雲端硬碟，在本機目錄下，X-FORT 也提供了加密機制。 當一般使用者拖曳檔案到本機同步目錄下，檔案會被加密，只有在安裝X-FORT的電腦上，檔案才會被解密，即使有使用者事先將檔案同步至雲端硬碟目錄，而後在私人電腦登入雲端硬碟試圖複製出檔案，檔案會呈現加密的狀態，無法讀取。
- 用瀏覽器訪問雲端硬碟網站
針對瀏覽器訪問雲端硬碟網站的方式，X-FORT 採取了關鍵字控管的方式，如果一般使用者連上雲端硬碟網站，網址列包含雲端硬碟關鍵字(例如Google Drive, OneDrive, Dropbox, ⋯)，X-FORT 不允許該連線，將頁面導向顯示禁止連線的畫面。目前支援限定瀏覽器 : IE, Chrome,Firefox 等，可建議企業使用統一的瀏覽器以便管理。此外，針對 IP 連線的部分，可禁止用IP(v4, v6) 直接連線 ( 可自訂例外網址放行，例如內網 IP)。對於其他不在名單上的 HTTPS連線，可以預設放行或阻擋。
另外，X-FORT 針對如果企業想要讓一般權限的使用者連線雲端網站空間下載內部共用檔案，但卻不想讓該使用者上傳文件這樣的使用模式提供了解決方案，管理者可以設定網頁特殊控管，開放連線下載，但卻禁止使用瀏覽器做檔案上傳、貼上、拖曳等行為，使得使用上更加彈性。
- Office 等軟體內建另存到雲端功能
關於 Office 等軟體內建直接儲存的部分，X-FORT 同樣採取了比對管理者所設定的清單，如果被禁止使用，檔案將無法被儲存到雲端空間。
2. 記錄與警示
除了控管使用者的行為外，對企業管理來說，觀察使用者的操作記錄也是相當重要的，在 X-FORT雲端硬碟防護方面，也提供了操作記錄以供管理者查驗，只要點選啟用記錄，使用者的連線行為均會被記載。
為了方便管理者檢驗，在記錄的部分 X-FORT 做了分類，供管理者稽核，只要使用者使用雲端硬碟，記錄部分將會顯示網址或是軟體連線，並標示信任 ( 禁用 ) 網址或雲端軟體是放行 ( 阻擋 )等狀態，清楚區分使用者行為。
此外，X-FORT 也提供警示視窗選項，如果啟用警示功能，會彈出警示視窗，能夠讓一般使用者知道他的操作行為違反了公司的使用政策而被阻擋。
結語
雲端儲存服務可以應用在工作、教育、生活⋯等各個層面。伴隨著網路技術快速發展，有許多創新應用吸引著使用者，對企業來說許多工作方式都將脫離不了雲端儲存服務。對於企業管理者來說，雲端硬碟是一個切身的議題，需要用怎樣的思維來處理雲端應用的衝擊，無法否認的企業一定有機密性資料需要保護。只要企業有完善的資安防護政策，搭配使用資安防護工具便能找到提升企業效率與資訊安全兼具的道路。