Неправильно налаштований брандмауер веб-застосунків. Загальнодоступна та незахищена хмарна база даних. Посвідчення користувача з надмірними привілеями. Слабкий контроль доступу до контейнерів. Постійні облікові дані за замовчуванням.
Це лише деякі з численних недоліків та помилок у конфігурації, які зловмисники можуть використовувати для злому вашого хмарного середовища, захоплення облікових записів користувачів, крадіжки даних та багато іншого. Крім того, неправильно сконфігуровані хмарні ресурси ставлять вашу організацію в невигідне становище з точки зору дотримання нормативних вимог, а отже, можуть призвести до дорогих штрафів, пені та судових розглядів.
Здавалося б, у вакуумі можна легко виправити більшість помилок у конфігурації хмари. Звичайно, ми всі згодні з тим, що залишати сховище Amazon Web Services (AWS) Simple Storage Service (S3) доступним для всіх охочих в Інтернеті – це недобре. Проте, згідно зі звітом «Tenable Cloud Risk Report 2024», заснованим на аналізі мільйонів хмарних ресурсів, просканованих за допомогою платформи Tenable Cloud Security, 74 % організацій мають відкриті хмарні сховища.
Насправді, неправильна конфігурація хмарних обчислень – явище поширене. Більше того, неправильна конфігурація і неадекватний контроль змін посідають перше місце у звіті Cloud Security Alliance «Top Threats to Cloud Computing 2024». Зважаючи на постійний доступ до мережі та нескінченну ємність «хмари», неправильна конфігурація може мати широкомасштабні наслідки для всієї організації», – йдеться у звіті CSA.
Чому навіть великі транснаціональні корпорації, що мають величезні ресурси і штат висококласних фахівців з ІТ, кібербезпеки та дотримання нормативних вимог, як правило, не можуть правильно налаштувати свої хмарні середовища?
У двох словах: Оскільки хмарні середовища мають величезну кількість рухомих складників, що динамічно змінюються, управління конфігураціями стає складним завданням, якщо у вас немає відповідних процесів і інструментів.
Ось п’ять найкращих методів, які можна негайно застосувати для захисту хмарних конфігурацій.
1 – Централізуйте та автоматизуйте управління конфігурацією вашого багатохмарного середовища
Якщо ваша організація схожа на більшість інших, вона використовує кілька постачальників послуг безпеки хмарних середовищ (CSP) – кожен зі своїми налаштуваннями конфігурації та своєю моделлю розподілу відповідальності виконання завдань безпеки між клієнтами.
Саме тому вам потрібна централізована платформа захисту додатків у хмарі (CNAPP), що не залежить від виробника, з потужним компонентом управління безпекою у хмарі (CSPM).
За допомогою інструментів CSPM ви зможете централізовано зміцнювати конфігурації у своєму багатохмарному середовищі, послідовно та безперервно впроваджуючи, контролюючи та застосовуючи політики безпеки в таких галузях, як контроль доступу та шифрування даних.
Без автоматизованої централізованої системи у вас не буде цілісного та всеосяжного уявлення про конфігурації у всіх хмарах, і ваша організація піддаватиметься підвищеному ризику кібератак.
CSPM дозволяє безперервно сканувати всі хмарні активи та ресурси та отримувати безперешкодний огляд усіх виявлених неправильних конфігурацій. Потім ви зможете розставити пріоритети та задокументувати їх усунення у звітах про відповідність для ваших керівників, аудиторів та регулюючих органів.
2 – Реалізуйте доступ з найменшими привілеями у багатохмарному середовищі
Ідентифікатори користувачів та машин з надмірними привілеями є серйозний ризик у хмарних середовищах, оскільки у разі злому зловмисники можуть скористатися цими правами для більш глибокого проникнення у вашу мережу. «Початкові спроби зловмисників отримати доступ до хмарних ресурсів часто спрямовані на облікові дані користувачів», – зазначає Агентство кібербезпеки та захисту інфраструктури США (CISA) у своїй публікації. «Використовуйте безпечні методи керування ідентифікацією та доступом у хмарі».
Таким чином, ваша CNAPP повинна мати комплексний компонент управління правами на хмарну інфраструктуру (CIEM) з гранульованими можливостями управління ідентифікацією та доступом (IAM). Це дозволить вам проводити аудит ідентифікаційних даних у кількох хмарах та переконатися, що вони мають мінімальні права доступу та можливості, які їм необхідні. У цьому полягає концепція найменших привілеїв.
Головним чином вам необхідно постійно виявляти всі людські та машинні ідентифікатори у вашій хмарній інфраструктурі, розуміти обсяг їх доступу до хмарних ресурсів та дозволів, оцінювати рівень ризику ідентифікаторів та вносити необхідні коригування з урахуванням найменших привілеїв.
3 – Автоматична перевірка конфігурацій на відповідність нормативним вимогам
Пропонуючи функцію policy-as-code (PaC), ваша CNAPP повинна автоматизувати процес кодування політик, регулярної перевірки відповідності вашого мультихмарного середовища галузевим, нормативним та внутрішнім нормативним вимогам, а також складання докладних звітів про аудит. Вона має надавати практичні висновки та автоматизувати процес виправлення небезпечних та помилкових конфігурацій.
Це дасть вашій організації безліч переваг, у тому числі:
- Зменшення шуму від попереджень.
- Проактивне керування дотриманням вимог.
- Визначення пріоритетів виправлення залежно від ризику.
- Підвищення ефективності операцій із забезпечення безпеки.
4 – Захистіть кластери Kubernetes
Намагатися вручну оцінити безпеку кластерів Kubernetes та усунути проблеми з конфігурацією – невигідна справа, особливо тому, що багато ресурсів Kubernetes є ефемерними та постачаються зі стандартними конфігураціями. Як пояснює старший менеджер з маркетингу продуктів компанії Tenable Ліор Затлаві у своєму блозі: «Складність Kubernetes у поєднанні з її динамічною та розподіленою природою робить завдання забезпечення безпеки кластерів від загроз дуже складним».
Саме тому у вашому CNAPP має бути інструмент управління безпекою Kubernetes (KSPM), який забезпечує:
- Повний, глибокий та контекстний огляд ресурсів Kubernetes, включаючи вузли, простір імен, розгортання, сервери та облікові записи служб.
- Контролер допуску, що полегшує розгортання та керування за рахунок застосування політик як коду.
- Виявлення неправильних конфігурацій шляхом сканування діаграм Helm.
- Захист робочих навантажень контейнерів за допомогою інтерфейсу користувача.
5 – Отримання та збагачення даних журналів від ваших CSP
Організації часто беруть до уваги важливість моніторингу та аналізу журналів подій та дій у хмарних середовищах, які збирають їхні постачальники послуг CSP. Насправді журнали дуже важливі для керування конфігурацією.
Щоб отримати докладні відомості про причини та наслідки неправильних конфігурацій у хмарі та адекватно реагувати на них, вам потрібна система CNAPP, яка збагачує дані журналів, що надходять від ваших CSP, даними про безпеку та постійно аналізує ризики.
Збагачені дані журналів нададуть вам контекст та корисну інформацію для підтримки послідовних та безпечних конфігурацій, що знижують ризик та забезпечують відповідність нормативним вимогам.
Джерело: Stronger Cloud Security in Five: The Importance of Cloud Configuration Security
