活動背景

主要焦點

1. DevSecOps：從程式碼到雲端安全整合：由 Microsoft Azure 安全團隊的 Siri Varma Vegiraju 主講，深入探討如何將安全納入 CI/CD 開發流程中，強化雲端原生應用的安全性，降低上線後的漏洞風險。包括安全掃描、Infra‑as‑Code 驗證與自動化合規檢查等實作要點。
2. DSPM 視覺與保護資料：Snegha Ramnarayanan（Wiz）介紹 DSPM（Data Security Posture Management）如何辨識雲儲存與資料庫的敏感資料暴露，並主動通知與防護，加強資料治理與合規性。
3. AI 應用開發與資料安全：針對 AI 應用開發過程中的安全風險（如模型投毒、資料洩漏、pipeline 弱點），Palo Alto Networks 的 Yotam Ben‑Ezra 分享最新攻擊趨勢與防禦策略，包含資料完整性護盾與模型健全性驗證方法。
4. AI 驅動之身分詐騙：Ping Identity 團隊（Maya Ogranovitch Scott 與 Adam Preis）揭示駭客如何以生成式 AI 自動化深度假冒（deepfake）與 spear‑phishing，並提出身分驗證的強韌防護架構及即時阻擋技術。
5. 雲端身分安全與實時防禦：Okta 的 Alexandria Hodgson 探討雲端服務帳號（service account）與內部身分如何成為主要攻擊目標，分析實時事件回應與梳理身分存取異常的最佳作法。

議題脈絡

1. 暴露攻擊面：定義與當前態勢：根據 Wikipedia，攻擊面定義為可能被攻擊者利用、需保護之所有輸入點，包括代碼、API、使用者介面、存取設定等Wikipedia。雲端環境中這些攻擊面多以動態方式快速擴增（auto‑scaling、serverless、IaC），而跨平台架構更增複雜性。
2. AI 新攻擊浪潮：從 Fraud-as-a-Service 延伸出的 AI 生成詐騙郵件與深度假冒身份，已成下一代攻擊核心SecurityWeek。此類攻擊具有大規模、自動化、個人化特點，使傳統資安防禦工具（基於 signature 或 heuristic）面臨重大挑戰。
3. IoT、GPU 雲與容器弱點：與此話題相關，Wiz 公司揭露 Nvidia 容器工具的「NVIDIAScape」cve‑2025‑23266 漏洞，展現出容器逃逸與共用硬體基礎架構中存在嚴重安全風險SecurityWeek+1SecurityWeek+1。這亦顯示 AI 雲服務中厚重依賴 GPU 而導致的新攻擊面。

防禦策略與建議框架

• 持續掃描雲端資產與 API，並自動建構與更新攻擊面地圖；
• 識別暴露的資料源，設定更嚴控的 IAM 與網路範圍；
• 像讀 Wiz DSPM，一旦發現敏感資料可即時封鎖。

• 開發 → 上線流程納入自動安全測試（SAST/DAST/Infra-as-Code 校驗）；
• 監控 CI/CD pipeline 產出的設定與實體環境的一致性錯誤。

• 對 AI 模型與 pipeline 執行完整性檢查（防範模型投毒）；
• 監控異常資料流與使用者操作；
• 導入對抗生成式 AI attack 的深度驗證與行為分析。

• MFA、身份綁定、啟用行為分析；
• 即時阻斷深度假冒與 AI 詐騙行動；
• 對 service accounts 實施權限最小化與 rotation。

• 集成雲與容器漏洞、惡意網域、攻擊情資；
• 使用 CASB、SIEM 與 CSPM 提供統一監控；
• 建立 Playbook，快速針對攻擊事件採取回應行動。

​​​​​​​結語

「Cloud & Data Security Summit 2025」突顯出雲端安全正從傳統邊界防禦轉型為全生態系統管理，包含程式碼層、資料層、身份層與 AI 模型層。企業應將 ASM、DSPM 與 AI 安全視為重大投資方向。借鑑峰會所揭示的案例與最佳實務，建議組織從三階段推進：

• 現狀評估與攻擊面地圖建立；
• 開發／部署流程注入自動化安全檢測；
• 跨安全模組整合：身分、資料、AI 與容器安全。