Cloud Security Posture Management (CSPM)

Cloudomgevingen groeien snel en omvatten vaak honderden accounts, duizenden resources en miljoenen configuratieopties. Handmatige beveiligingscontroles kunnen dit tempo niet bijhouden. Cloud Security Posture Management (CSPM) pakt dit aan door configuraties van cloudresources voortdurend en automatisch te beoordelen aan de hand van aanbevolen beveiligingspraktijken en nalevingsbenchmarks. CSPM detecteert verkeerde configuraties — openbare S3-buckets, open beveiligingsgroepen en niet-versleutelde databases — voordat aanvallers ze ontdekken en misbruiken.

CSPM-tools beoordelen configuraties in de volledige cloudomgeving. Veelvoorkomende controles zijn: netwerk (beveiligingsgroepen met inkomend verkeer vanaf 0.0.0.0/0 op gevoelige poorten, onbeperkt uitgaand verkeer), opslag (openbare buckets, niet-versleutelde objecten), identiteit (gebruik van het root-account, MFA niet afgedwongen, rollen met te ruime bevoegdheden), compute (instanties die vanaf internet toegankelijk zijn, niet-gepatchte AMI's), logboeken (CloudTrail uitgeschakeld, ontbrekende VPC Flow Logs) en versleuteling (databases zonder versleuteling wanneer ze niet in gebruik zijn).

Traditionele kwetsbaarheidsscanners onderzoeken actieve systemen op bekende software-CVE's. CSPM gebruikt een andere aanpak: het analyseert de configuratietoestand via API's van cloudproviders, zonder verkeer naar de resources zelf te sturen. CSPM vindt kwetsbaarheden door verkeerde configuraties (onjuiste instellingen), terwijl traditionele scanners softwarekwetsbaarheden (bekende CVE's) vinden. Beide zijn nodig voor een volledig cloudbeveiligingsprogramma, maar CSPM richt zich specifiek op het unieke risicoprofiel van cloudomgevingen.

CSPM-tools beoordelen configuraties aan de hand van branchenormen. De CIS-benchmarks (Center for Internet Security) voor AWS, Azure en GCP bieden honderden specifieke, testbare beveiligingsvereisten. De CIS AWS Benchmark vereist bijvoorbeeld: CloudTrail ingeschakeld in alle regio's, MFA op het root-account, geen toegangssleutels voor het root-account, beveiligingsgroepen die onbeperkte SSH/RDP niet toestaan en CloudWatch-waarschuwingen voor niet-geautoriseerde API-aanroepen. CSPM-tools koppelen hun bevindingen voor rapportage aan controles uit de CIS-benchmark.

Grote cloudproviders bieden ingebouwde CSPM-mogelijkheden. AWS Security Hub verzamelt bevindingen uit GuardDuty, Inspector en Macie en beoordeelt tegelijkertijd de naleving van CIS en PCI-DSS. Microsoft Defender for Cloud (voorheen Azure Security Center) biedt een Secure Score en aanbevelingen voor Azure, AWS en GCP. GCP Security Command Center bewaakt GCP-resources voortdurend. Ingebouwde tools zijn een goed beginpunt, vooral voor omgevingen met één cloud.

Voor multicloudomgevingen of geavanceerdere mogelijkheden bieden CSPM-oplossingen van derden uniform inzicht in alle cloudplatforms. Toonaangevende oplossingen zijn Palo Alto Prisma Cloud (uitgebreid, inclusief CWPP), Wiz (zonder agents, met grafiekgebaseerde analyse van aanvalspaden), Orca Security (scannen vanaf de zijkant zonder agents) en Lacework (gedragsanalyse). Deze tools voegen bevindingen uit AWS, Azure en GCP samen in één console met een consistent model voor risicoscores.

Configuratieafwijking ontstaat wanneer cloudresources na verloop van tijd afwijken van hun goedgekeurde veilige basislijn — vaak door ad-hoc handmatige wijzigingen die het goedgekeurde proces voor wijzigingsbeheer omzeilen. CSPM-tools detecteren afwijkingen door de huidige toestand te vergelijken met een opgeslagen basislijn of een definitie van de gewenste toestand (in Terraform of CloudFormation). Waarschuwingen over afwijkingen stellen beveiligingsteams in staat ongeautoriseerde wijzigingen te onderzoeken en te herstellen voordat ze een beveiligingslek veroorzaken.

CSPM-bevindingen kunnen op drie manieren worden hersteld. Handmatig herstel: beveiligingsteams ontvangen een bevinding en lossen die op via de cloudconsole of CLI. Begeleid herstel: CSPM biedt stapsgewijze instructies of draaiboeken. Geautomatiseerd herstel: CSPM activeert een geautomatiseerde reactie — bijvoorbeeld automatisch een openbare S3-bucket blokkeren of een regel van een te ruim ingestelde beveiligingsgroep verwijderen zodra die wordt gedetecteerd. Geautomatiseerd herstel verkort de gemiddelde hersteltijd van dagen naar seconden, maar vereist zorgvuldig testen om te voorkomen dat legitieme workloads worden verstoord.

CSPM-tools genereren nalevingsrapporten waarin bevindingen worden gekoppeld aan regelgevingskaders, waaronder PCI-DSS, HIPAA, SOC 2, ISO 27001, GDPR en NIST CSF. Deze rapporten laten zien welke controles slagen, welke falen en hoe de resultaten zich in de loop van de tijd ontwikkelen. Auditors accepteren CSPM-nalevingsrapporten steeds vaker als bewijs van voortdurende beveiligingsbewaking. Organisaties kunnen geautomatiseerde nalevingsrapporten plannen en naar auditors laten sturen, waardoor tijdens audits minder handmatig bewijs hoeft te worden verzameld.

CSPM richt zich op configuratiebeveiliging (het besturingsvlak). CWPP (Cloud Workload Protection Platform) richt zich op runtimebeveiliging van de workloads zelf — het detecteren van malware, ongeautoriseerde processen, wijzigingen in bestandsintegriteit en netwerkanomalieën in VM's, containers en serverloze functies. Moderne platforms zoals Prisma Cloud combineren CSPM en CWPP in één CNAPP (Cloud-Native Application Protection Platform) en bieden zo volledig inzicht van configuratie tot runtime.

CSPM-bevindingen moeten onderdeel worden van de workflow voor beveiligingsoperaties van de organisatie. Bevindingen met een hoge ernst (openbare databases, activiteit van het root-account) moeten SIEM-waarschuwingen en incidenten in het ticketsysteem genereren voor onmiddellijke reactie. Bevindingen met een gemiddelde ernst worden opgenomen in reguliere patch- en hardingscycli. CSPM-dashboards moeten tijdens wekelijkse beveiligingsvergaderingen worden bekeken en CSPM-bevindingen moeten worden gevolgd via hetzelfde kwetsbaarheidsbeheerproces als voor software-CVE's — met een eigenaar, SLA en verificatie van het herstel.

In deze les heb je geleerd dat CSPM configuraties van cloudresources voortdurend beoordeelt aan de hand van beveiligingsbenchmarks zoals CIS-controles, dat detectie van configuratieafwijkingen waarschuwingen geeft wanneer resources afwijken van een goedgekeurde basislijn en dat geautomatiseerd herstel de oplossingstijd voor veelvoorkomende verkeerde configuraties kan verkorten van dagen naar seconden. Hierna bekijken we de voorbereiding op incidentrespons met IR-plannen, draaiboeken en teams.