何謂資安領域中的「持續監控」，又該如何實施？

網路安全領域中的持續監控是一種持續運作的運作模式，結合了即時資產可視性、遙測資料蒐集、配置追蹤以及自動化證據生成。它使資安主管能夠持續掌握組織的資安狀態與威脅狀況，而非依賴週期性掃描或特定時間點的評估——後者會在兩次檢查之間留下可被利用的漏洞。

在網路安全領域中，持續監控並非單一產品類別，也不是供應商的功能清單。它是一種安全運作模式，將資產清點、威脅偵測、政策執行及自動化修復整合為一項持續進行的計畫，而非一連串排定的事件。

在美國聯邦層級的語境中，此模型的正式術語為「資訊安全持續監控」（ISCM）。NIST SP 800-137將 ISCM 定義為持續掌握資訊安全狀況、弱點及威脅，以支援組織的風險管理決策。該框架的適用範圍不僅限於聯邦機構，更能為任何資安主管提供一套結構化的思考框架，用以釐清監控計畫應產出哪些成果，以及如何對其進行治理。

NIST SP 800-137 將資訊安全合規管理（ISCM）劃分為六個組成部分：策略定義、控制措施選定、實施、蒐集、分析與報告，以及對發現事項的回應。每個組成部分皆以先前部分為基礎，在政策決策與營運證據之間建立起一個閉環。

對資訊安全長（CISO）而言，SP 800-137 的實際價值在於釐清治理框架。該標準將計畫架構（由誰制定策略、由誰針對評估結果採取行動、不同資產的評估頻率）與用於蒐集資料的工具區分開來。這種區分可避免一種常見的失敗模式，即把監控視為工具部署，而非具備責任歸屬與問責機制運作模式。

持續監控計畫仰賴多種工具運作：用於日誌關聯分析的 SIEM、用於端點遙測的 EDR、漏洞掃描器、配置評估工具，以及專為營運技術（OT）設計的資料蒐集器。沒有任何單一工具能獨自構成該計畫。其運作模式取決於規範這些工具的要素：基準、政策、儀表板、升級處理流程，以及矯正措施工作流程。

那些購買監控工具並期望其能提供持續監控的組織，通常會發現自己雖然擁有遙測資料，卻缺乏相應的計畫。在任何工具能發揮其完整價值之前，該計畫必須具備明確的負責人、經核准的安全狀態基準、應變工作流程，以及向高層的報告機制。

定期安全評估通常有三種形式：每季的漏洞掃描、每年的滲透測試，以及每月的配置審查。每種評估都提供了一個當下的快照。而在這些快照之間的空檔，正是攻擊發生、配置錯誤未被察覺，以及漏洞風險不斷累積的時期。

每季一次的漏洞掃描僅能顯示掃描執行當日系統的風險狀況。新部署的伺服器、變更過的防火牆規則，或是於掃描完成三日後啟動的雲端工作負載，在下次檢查前都無法被偵測到。像雲端基礎架構、遠端終端裝置及分散式營運技術（OT）據點這類快速變化的環境，使得定期評估在架構上已顯不足。

配置偏移使問題更加複雜。一台在上次掃描時配置正確的伺服器，在安裝修補程式、進行軟體更新或管理員變更後的數小時內，便可能偏離其核准的基準配置。持續的配置監控能近乎即時地偵測到這種偏移，而非等到下次排定的審查時才發現。

根據 IBM《2025 年資料外洩成本報告》，發現資安事件所需的平均時間為 207 天。造成這段「滯留時間」的主因，並非偵測工具能力不足，而是因為遠程監測資料分散、責任歸屬不明確，以及警示未能轉發至正確的應變團隊。

持續監控透過將資料蒐集與工作流程負責人制度相結合，從而縮短處理時間。當遠端監測資料匯入集中式檢視介面、與基準值進行關聯分析，並轉送至指定的應對負責人時，從偵測到控制的流程便會縮短。多數組織的瓶頸並非在於偵測技術，而在於缺乏能將偵測結果與後續行動串聯起來的機制。

一套完整的持續監控計畫不僅涵蓋網路流量或端點警示，更遍及所有可能發生資安事件的資產類型、資安領域及環境，並針對各領域的獨特限制提出解決方案。

持續監控的完整範圍涵蓋終端裝置、伺服器、虛擬機器、雲端工作負載、網路基礎架構、身分識別、應用程式、資料傳輸點、可移除媒體，以及已部署的安全控制措施。每類資產都會產生應納入監控計畫的遙測資料。

持續監控計畫中的盲點，最常源自未受管理的資產與不完整的資產清單。未列入資產清單的資產便不會受到監控，這意味著它無法為組織的安全態勢全貌提供參考。準確且持續維護的資產清單，是選定遙測指標、建立基準線以及衡量監控覆蓋範圍的基礎。

持續監控計畫應集中管理的遙測類別包括：漏洞資料、配置狀態、驗證事件、惡意軟體掃描結果、網路流量資料、安全控制健康狀態，以及政策遵循狀況。並非所有遙測資料都需要相同的蒐集頻率。

資料蒐集的深度應與資產的重要性相符。核心資產（生產控制系統、身分識別基礎架構及資料傳輸閘道）應採用更高頻率的蒐集與更嚴格的基準。較不關鍵的資產則可採用較低的監控頻率，而不會造成顯著的監控漏洞。若將所有遙測資料以相同頻率處理，不僅會增加處理噪音，且無法改善偵測成效。

安全資訊與事件管理（SIEM）、Endpoint 偵測與回應（EDR）、擴展偵測與回應（XDR）以及持續控制監控（CCM），常被與「持續監控」混為一談，或被提出作為其替代方案。這些皆為各自獨立的功能，應納入監控計畫之中，而非取代監控計畫。

唯有當資安團隊能夠即時掌握所有部署狀況——包括那些從未連接到網際網路的部署——連續監控才能發揮作用。分散式的 IT、OT 以及物理隔離環境，各自產生不同的掃描結果、系統健康狀態和政策狀態；若缺乏單一控制台來彙整這些資訊，資安主管便不得不檢查多個系統，只為回答一個問題：目前是否有任何系統面臨風險？

My OPSWAT™Central Management 是OPSWAT 所推出的集中式安全管理平台，旨在為部署於IT、OT、本地端及隔離環境中的MetaDefender 提供統一的可視性、集中式監控，以及簡化的修復流程。

持續監控的第一步，是精確掌握環境中現有的所有資源。My OPSWAT Central Management 可提供跨雲端、本地端及隔離環境部署中，所有已註冊MetaDefender 執行個體的集中式清單。

透過單一可信資料來源，團隊能夠迅速辨識受保護與未受管理的資產、偵測已停止回報的裝置，並準確衡量分散式或分段式網路的覆蓋範圍——在這些網路中，手動追蹤往往難以實行。

My OPSWAT Central Management 讓管理員能夠全面掌握整個組織的端點安全狀況。團隊無需在不同控制台之間切換，即可透過單一儀表板檢視端點狀態、查閱掃描結果，並追蹤合規狀況。

內建的監控功能能凸顯安全漏洞與配置偏移，使您更容易識別不符合既定安全基準的裝置，並在問題惡化前採取矯正措施。

即時掌握受管裝置與應用程式中漏洞的最新動態。資安團隊能迅速識別受影響的終端裝置、了解哪些應用程式存在安全風險，並監控風險隨時間的變化趨勢。檢測結果會依嚴重程度分類，協助團隊優先處理影響最顯著的修復工作，並在攻擊面不斷演變的過程中追蹤進度。

對於須遵循法規要求的組織而言，證明符合規範的重要性，往往不亞於維持合規狀態。My OPSWAT Central Management 會持續依據組織政策評估裝置，將結果記錄於集中式日誌中，並產生符合 NIST、CISA 及 GDPR 等框架的報告。由於安全資料皆集中於單一位置，因此審計時可立即取得相關證據；同時，一旦裝置偏離政策規範，即可立即識別並處理不符合規範的裝置。

為了讓持續監控能在分散式環境中有效運作，資安團隊需要一套集中式的資安管理方案，將所有資安事件匯集於一處。

My OPSWAT Central Management 將整個組織內的惡意軟體偵測結果、遭封鎖的檔案、隔離事件及其他偵測結果整合至單一視圖中。

透過分析各據點及部署類型的活動狀況，團隊能夠發掘反覆出現的模式、識別新興威脅，並判斷某個問題是孤立事件，還是預示著更廣泛的風險。

資安團隊不應為了掌握最新動態而必須不斷監控儀表板。My OPSWAT Central Management 會針對關鍵資安事件、惡意軟體偵測、系統健康狀況問題，以及其他需要關注的情況，提供即時警示。

當發生重大變更時，該平台會通知相關人員，藉此協助加快應對速度、減少營運中斷，並防止小問題演變成更嚴重的安全或合規事件。

請諮詢OPSWAT ，或造訪「My OPSWAT Central Management 」Central Management ，了解集中式管理如何提升您的資安運作效能。