雲端服務怎麼自動抓違禁資料？一個「安檢站」比喻讓你秒懂｜專家論點【黃婉中】
作者：黃婉中（雲端架構師）
想像一下：週五下午五點，你正想著等下要點哪一家的鹹酥雞，手機突然震了一下。收到雲平台的安全警告，甚至暫時停用。
電話接不完，你甚至不知道是哪一個天兵客戶上傳了什麼東西。
原因不是你的程式碼出錯，而是因為你的客戶上傳了惡意程式（Malware）的檔案，觸發了底層的自動防禦機制。
這不是都市傳說，是我客戶的真實經歷。
這就是 ISV 最擔心的「連帶風險」。雖然違規的是你的客戶，但承擔損失的卻是你。等到問題擴大到影響系統安全或觸犯法規紅線，停權與法律訴訟的壓力就會接踵而來。
更多科技工作請上科技專區：https://techplus.1111.com.tw/
科技社群討論區：https://pei.com.tw/feed/c/tech-plus
我們不能預期每個用戶都守規矩，但可以思考：如何在這些行為影響到 Azure 訂閱帳號之前，系統就能自動處理掉？
誰的責任？
根據 Azure 官方的雲端共享責任：無論你使用的是 IaaS、PaaS 還是 SaaS，「資料分類與保護」始終是你的責任。
換句話說，雲端供應商負責維護實體機房與底層網路的安全，但「你的客戶」在平台上傳了什麼資料、這些資料是否違規，屬於你必須控管的「資料治理」範疇。
當風險發生時，供應商會依據此模型要求你履行保護義務。如果你沒有建立過濾機制，就可能面臨訂閱帳號被暫停的風險。
安檢站的架構建議：利用 Defender for Cloud 建立防線
當違規事件發生時，雲端供應商的處理速度通常很快。與其等著收通知，不如在自己的架構裡先蓋好「安檢站」。
你的系統需要資料落地前，就具備初步的判斷能力。
機場安檢不會因為你看起來像好人就放你走。你的雲端架構也該有一套「不信任何人」的安檢站。
我們不需要從頭開發，Azure 已經提供了現成的工具來搭建這套防護網。
第一層：靜態過濾（Defender for Storage + Purview）
檔案上傳時，建議先經過一個「暫存區」，而不是直接進入正式儲存區。
- 安全性掃描： 透過 Microsoft Defender for Storage 的惡意軟體掃描（Malware Scanning），可以在檔案進入 Blob 的瞬間攔截有害程式。
- 合規性檢查： 配合 Microsoft Purview，系統可以識別出檔案中是否包含未經授權的敏感資料（如身分證號或信用卡資訊）。這能幫你的客戶擋掉許多無心但具備法律風險的上傳行為。
除了主動掃描內容，建議你也參考 Azure 官方的適用於 Blob 儲存體的安全性建議，從帳號權限、網路控制與記錄監視等維度，為你的儲存基礎設施打好底子。
第二層：行為分析（Microsoft Sentinel）
除了檔案本身，我們也要監控用戶的行為模式。 如果某個帳號在短時間內出現異常的大量上傳或存取，這常是是攻擊或違規的徵兆。這時 Defender for Cloud 會發出警報，並將數據匯入 Microsoft Sentinel。
你可以利用 Sentinel 的自動化功能（Playbooks）來設定規則：一旦偵測到高風險行為，系統就自動暫停該用戶的權限。這種「壯士斷腕」的做法，能確保問題被鎖定在單一用戶身上，而不會延燒到你的整個 Azure 訂閱帳號。
影像內容：補足防禦的缺口
文字過濾已經是基本功，但現代的違規內容大多藏在圖片或影片中。 如果你的 SaaS 有大量影像分享，建議整合 Azure AI Content Safety。它能以極低的成本（每千張影像約 $1 美元）自動偵測暴力或不當內容。
比起人工審核，這能提供更即時、更全面的保護。
架構之外的應變準備
除了技術手段，還有兩件事對 SaaS 服務商很重要：
- 完善的服務條款（ToS）： 確保你有權力在用戶違規時終止其服務。
- 詳盡的防禦日誌： Defender for Cloud 留下的攔截紀錄非常重要。萬一帳號真的被偵測到異常，這些紀錄就是你向 Azure 團隊說明「我已盡到管理責任且有過濾機制」的最佳證據。
好的架構設計除了處理流量，也要在異常發生時，把損害控制在最小範圍。透過這套自動化安檢機制，你可以將「用戶違規」這個不確定因素，化為系統可以自行消化的例行程序。
重點回顧
- 釐清連鎖風險：你的客戶若行為違規，會直接影響你的 Azure 帳號。
- 入口即時掃描：善用 Defender for Storage 掃毒並配合 Purview 識別個資，在資料進入你的儲存區前就攔下風險。
- 自動化隔離異常：透過 Microsoft Sentinel 監控，一旦發現某位客戶有異常行為，系統可自動限制其權限。
- 補齊影像盲點：別漏掉圖片與影片，整合 Azure AI Content Safety 才能確保你的客戶上傳的視覺內容也符合合規要求。
- 留存證據：防禦日誌能幫你爭取復權。
💡延伸閱讀：我如何轉職成為雲端解決方案架構師
延伸閱讀：當 ETL 不再需要工程師：Databricks、Fabric、Snowflake 開戰，資料人的下一站在哪？｜專家論點【黃婉中】
