SaaS資安挑戰：透過NIST網路安全框架實現SaaS管理策略
- 發布單位:TWCERT/CC
- 更新日期:2024-03-22
- 點閱次數:1547
在數位時代，軟體即服務（Software as a Service，簡稱SaaS）已成為現代生活中不可或缺的一部分。SaaS不需用戶進行軟體安裝、配置及管理，只需透過網路直接存取應用程式，便可輕鬆使用各種功能，如電子郵件、線上文件處理及社交媒體管理工具等。這種線上存取的便利性，使得SaaS應用程式成為了人們日常工作和生活的必備工具，根據最新數據顯示，全球SaaS市場正在快速增長，預計在未來幾年內將繼續擴大。
然而，隨著SaaS的普及，資安風險也隨之增加，如未經適當保護的敏感資訊可能有遭受未授權存取的風險，或駭客可以通過各種手段竊取並盜用用戶帳號，進而獲取個人或企業敏感資料，使得個人隱私與企業機密受到威脅。為了降低這些風險，可參考美國國家標準暨技術研究院（NIST）的網路安全框架來制定相關配置策略，然而每個SaaS應用程式都有不同的設置，因此制定符合NIST標準的統一配置策略相當困難，但仍能透過一些通用於每個SaaS應用程式的設置來提升安全性。
基於角色的存取控制(RBAC）
在SaaS應用程式中，基於角色的存取控制(RBAC)是符合NIST標準的關鍵，RBAC允許根據職責來設定使用者的存取權限，從而限制使用者對系統內部資源的存取權限，在SaaS應用程式中有兩種類型的權限，包括功能存取權限（Functional access）與資料存取權限（Data access permissions）。管理員帳號對這兩種類型的權限都有完整的存取權限，因此，對管理者帳號的控制至關重要，可參考的配置包含：
1. 設置至少兩名管理者：同時避免過多管理者帶來的攻擊面擴大，並於管理者數量超出預期範圍時觸發警示。
2. 刪除外部管理者：外部管理者為 SaaS 應用程式帶來額外的不確定性與風險。因為他們位於組織之外，組織無法控制他們所使用的密碼政策或身分驗證工具。舉例來說，若攻擊者點擊“忘記密碼”試圖登入應用程式，則無法確定攻擊者是否可以入侵外部管理者的電子郵件帳號，而缺乏對外部管理者的監督，可能導致 SaaS 應用程式遭到入侵，根據不同的應用程式，可選擇阻止外部使用者獲得管理者權限，或識別具有管理者權限的外部使用者以刪除這些權限。
3. 要求管理者使用多因子認證：NIST管理規範中，建議所有管理者帳號都應該採用多因子認證(MFA)來存取應用程式，例如一次性密碼（OTP）。MFA要求使用者在進行身份驗證時提供至少兩種形式的身份證明，攻擊者若要入侵則需要破解至少兩個身份驗證系統，增加了入侵的難度並降低帳號遭利用的風險。
監控資源的存取權限
除了角色存取控制之外，NIST建議監控每個資源的存取權限，並適時調整權限設置，以防止未經授權的資料存取，NIST框架有關監視資源的相關配置如下：
- 停止公開分享資料：為了減少資料外洩的風險，管理者應停用公用URL的分享（“知道連結的任何人”），某些應用程式允許使用者撤銷已建立的URL的存取權限，若應用程式有提供這項功能，建議開啟此設定。
- 設定「邀請」到期日以避免舊「邀請」被利用：許多應用程式允許授權使用者「邀請」外部使用者存取該應用程式，但大多數未設定「邀請」”到期日”，這可能讓剛剛入侵外部使用者電子信箱的攻擊者，可以透過多年前的「邀請」存取應用程式，將「邀請」設定自動到期日，則可以防止此類舊「邀請」被利用的風險。
密碼保護策略
強健的密碼政策也是保護SaaS應用程式安全性的重要措施，密碼是防止未經授權存取的第一道防線，因此，NIST建議建立並執行強大且管理良好的密碼政策：
- 防止密碼潑灑攻擊(Password Spray)：在密碼潑灑攻擊中，攻擊者輸入使用者帳號與常用密碼，希望藉此猜出帳密組合以存取該應用程式。要防止密碼潑灑攻擊，建議使用多因子認證（MFA），而對於不強制要求使用多因子認證（MFA）的應用程式，組織可禁止使用某些詞彙作為密碼，包括像是password1、12345、使用者的名稱、公司產品、合作夥伴及其他業務等詞彙
- 設定密碼複雜度要求：大多數 SaaS 應用程式允許組織自訂密碼複雜度，可根據組織的政策更新應用程式中的密碼要求，以提高密碼的安全性，若組織沒有相關密碼政策，可以考慮遵循 NIST 建議
- 不要強制更改密碼，因為使用者傾向於選擇易於記住的密碼。
- 使用長密碼而不是複雜密碼，數字、特殊字元及大小寫字母的組合通常遵循如下格式：Password1!，這些密碼易遭到暴力破解攻擊，而像 MyFavoriteDessertIsPecanPie 這樣的長密碼很容易記住，但有 27 個字符，很難被暴力破解。
- 將密碼嘗試次數限制為不超過 10 次。
- 使用禁用詞彙列表篩選密碼，以避免使用已發布的密碼或其他易猜測的詞彙。
SaaS提供企業組織許多的方便性，然而其安全配置也非常重要，錯誤的配置設置可能導致系統的安全漏洞，使得系統容易受到攻擊。因此，組織應該定期檢查SaaS應用程式的配置，並確保符合安全規範，從而減少錯誤配置設置所帶來的潛在風險。