Cloud Security Posture Management (CSPM)

Gli ambienti cloud crescono rapidamente e spesso comprendono centinaia di account, migliaia di risorse e milioni di opzioni di configurazione. Le revisioni manuali della sicurezza non riescono a tenere il passo. Il Cloud Security Posture Management (CSPM) affronta questo problema valutando in modo continuo e automatico le configurazioni delle risorse cloud rispetto alle best practice di sicurezza e ai benchmark di conformità. Il CSPM rileva le configurazioni errate — bucket S3 pubblici, security group aperti, database non crittografati — prima che gli attaccanti le scoprano e le sfruttino.

Gli strumenti CSPM valutano le configurazioni dell'intero ambiente cloud. I controlli comuni includono: rete (security group con traffico in ingresso da 0.0.0.0/0 su porte sensibili, traffico in uscita senza restrizioni), archiviazione (bucket pubblici, oggetti non crittografati), identità (utilizzo dell'account root, MFA non applicata, ruoli eccessivamente permissivi), elaborazione (istanze accessibili da Internet, AMI senza patch), logging (CloudTrail disabilitato, VPC Flow Logs mancanti) e crittografia (database privi di crittografia dei dati a riposo).

Gli scanner di vulnerabilità tradizionali analizzano i sistemi in esecuzione alla ricerca di CVE software note. Il CSPM segue un approccio diverso: analizza lo stato della configurazione tramite le API del provider cloud senza inviare traffico alle risorse stesse. Il CSPM rileva le vulnerabilità dovute a configurazioni errate (impostazioni sbagliate), mentre gli scanner tradizionali rilevano le vulnerabilità software (CVE note). Entrambi sono necessari in un programma completo di sicurezza cloud, ma il CSPM affronta specificamente il profilo di rischio unico degli ambienti cloud.

Gli strumenti CSPM valutano le configurazioni rispetto a benchmark standard del settore. I benchmark CIS (Center for Internet Security) per AWS, Azure e GCP forniscono centinaia di requisiti di sicurezza specifici e verificabili. Ad esempio, il CIS AWS Benchmark richiede: CloudTrail abilitato in tutte le regioni, MFA sull'account root, nessuna chiave di accesso per l'account root, security group che non consentano SSH/RDP senza restrizioni e allarmi CloudWatch per le chiamate API non autorizzate. Gli strumenti CSPM associano i propri risultati ai controlli del CIS Benchmark per la reportistica.

I principali provider cloud includono funzionalità CSPM native. AWS Security Hub aggrega i risultati di GuardDuty, Inspector e Macie e valuta la conformità a CIS e PCI-DSS. Microsoft Defender for Cloud (precedentemente Azure Security Center) fornisce un Secure Score e raccomandazioni per Azure, AWS e GCP. GCP Security Command Center monitora continuamente le risorse GCP. Gli strumenti nativi sono un buon punto di partenza, soprattutto negli ambienti che utilizzano un solo cloud.

Negli ambienti multicloud o quando sono necessarie funzionalità più avanzate, le soluzioni CSPM di terze parti forniscono visibilità unificata su tutte le piattaforme cloud. Tra le soluzioni principali figurano Palo Alto Prisma Cloud (completa, include CWPP), Wiz (senza agent, con analisi dei percorsi di attacco basata su grafi), Orca Security (scansione laterale senza agent) e Lacework (analisi comportamentale). Questi strumenti consolidano i risultati di AWS, Azure e GCP in un'unica console, con un modello coerente di valutazione del rischio.

La deriva di configurazione si verifica quando, nel tempo, le risorse cloud si discostano dalla baseline di sicurezza approvata, spesso a causa di modifiche manuali estemporanee che eludono il processo di gestione delle modifiche approvato. Gli strumenti CSPM rilevano la deriva confrontando lo stato corrente con una baseline memorizzata o con una definizione dello stato desiderato (in Terraform o CloudFormation). Gli avvisi di deriva consentono ai team di sicurezza di analizzare e correggere le modifiche non autorizzate prima che creino una lacuna di sicurezza.

I risultati CSPM possono essere corretti in tre modi. Correzione manuale: i team di sicurezza ricevono un risultato e lo correggono tramite la console cloud o la CLI. Correzione guidata: il CSPM fornisce istruzioni dettagliate o runbook. Correzione automatizzata: il CSPM attiva una risposta automatica, ad esempio bloccando automaticamente un bucket S3 pubblico o rimuovendo una regola di security group eccessivamente permissiva quando viene rilevata. La correzione automatizzata riduce il tempo medio di correzione da giorni a secondi, ma richiede test accurati per evitare di interrompere workload legittimi.

Gli strumenti CSPM generano report di conformità che associano i risultati a framework normativi tra cui PCI-DSS, HIPAA, SOC 2, ISO 27001, GDPR e NIST CSF. Questi report mostrano quali controlli sono superati, quali non lo sono e come cambiano nel tempo. Gli auditor accettano sempre più spesso i report di conformità CSPM come prova del monitoraggio continuo della sicurezza. Le organizzazioni possono pianificare l'invio automatico dei report di conformità agli auditor, riducendo il lavoro manuale di raccolta delle evidenze durante gli audit.

Il CSPM si concentra sulla sicurezza delle configurazioni (il control plane). Il CWPP (Cloud Workload Protection Platform) si concentra sulla sicurezza in fase di esecuzione dei workload: rileva malware, processi non autorizzati, modifiche all'integrità dei file e anomalie di rete all'interno di VM, container e funzioni serverless. Le piattaforme moderne come Prisma Cloud combinano CSPM e CWPP in un unico CNAPP (Cloud-Native Application Protection Platform), fornendo visibilità end-to-end dalla configurazione al runtime.

I risultati CSPM dovrebbero confluire nel workflow delle operazioni di sicurezza dell'organizzazione. I risultati ad alta gravità (database pubblici, attività dell'account root) dovrebbero generare avvisi SIEM e incidenti nel sistema di ticketing per una risposta immediata. I risultati di gravità media dovrebbero confluire nei normali cicli di applicazione delle patch e di hardening. I dashboard CSPM dovrebbero essere esaminati nelle riunioni settimanali sulla sicurezza e i risultati CSPM dovrebbero essere gestiti attraverso lo stesso processo di gestione delle vulnerabilità utilizzato per le CVE software, con assegnazione, SLA e verifica della correzione.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: il CSPM valuta continuamente le configurazioni delle risorse cloud rispetto a benchmark di sicurezza come i controlli CIS, il rilevamento della deriva di configurazione segnala quando le risorse si discostano da una baseline approvata e la correzione automatizzata può ridurre da giorni a secondi il tempo necessario per risolvere le configurazioni errate comuni. Ora esamineremo la preparazione alla risposta agli incidenti con piani IR, playbook e team.