Zarządzanie stanem bezpieczeństwa chmury (CSPM)

Środowiska chmurowe szybko się rozrastają i często obejmują setki kont, tysiące zasobów oraz miliony opcji konfiguracji. Ręczny przegląd bezpieczeństwa nie jest w stanie za nimi nadążyć. Cloud Security Posture Management (CSPM) rozwiązuje ten problem, stale i automatycznie oceniając konfiguracje zasobów chmurowych względem najlepszych praktyk bezpieczeństwa i wzorców zgodności. CSPM wykrywa błędne konfiguracje — publiczne zasobniki S3, otwarte grupy zabezpieczeń i niezaszyfrowane bazy danych — zanim odkryją je atakujący i wykorzystają.

Narzędzia CSPM oceniają konfiguracje w całym środowisku chmurowym. Typowe kontrole obejmują: sieć (grupy zabezpieczeń z przychodzącym ruchem z 0.0.0.0/0 na wrażliwych portach, nieograniczony ruch wychodzący), pamięć masową (publiczne zasobniki, niezaszyfrowane obiekty), tożsamość (użycie konta root, niewymuszone uwierzytelnianie MFA, role o zbyt szerokich uprawnieniach), obliczenia (instancje dostępne z Internetu, niezałatane AMI), rejestrowanie (wyłączona usługa CloudTrail, brak dzienników przepływów VPC) oraz szyfrowanie (bazy danych bez szyfrowania danych w spoczynku).

Tradycyjne skanery podatności badają działające systemy pod kątem znanych podatności CVE w oprogramowaniu. CSPM stosuje inne podejście: analizuje stan konfiguracji za pośrednictwem interfejsów API dostawcy chmury, bez wysyłania ruchu do samych zasobów. CSPM wykrywa podatności wynikające z błędnej konfiguracji (nieprawidłowych ustawień), podczas gdy tradycyjne skanery wykrywają podatności oprogramowania (znane CVE). Oba rodzaje narzędzi są potrzebne w kompletnym programie bezpieczeństwa chmury, ale CSPM odpowiada konkretnie za unikalny profil ryzyka środowisk chmurowych.

Narzędzia CSPM oceniają konfiguracje względem wzorców uznawanych za standard branżowy. Wzorce CIS (Center for Internet Security) dla AWS, Azure i GCP zawierają setki konkretnych, możliwych do sprawdzenia wymagań bezpieczeństwa. Na przykład wzorzec CIS AWS wymaga: włączenia CloudTrail we wszystkich regionach, MFA dla konta root, braku kluczy dostępu dla konta root, aby grupy zabezpieczeń nie zezwalały na nieograniczony dostęp SSH/RDP, oraz alarmów CloudWatch dla nieautoryzowanych wywołań API. Narzędzia CSPM mapują swoje ustalenia na mechanizmy kontrolne wzorca CIS na potrzeby raportowania.

Najwięksi dostawcy chmury oferują natywne funkcje CSPM. AWS Security Hub agreguje ustalenia z GuardDuty, Inspector i Macie, a jednocześnie ocenia zgodność z CIS i PCI-DSS. Microsoft Defender for Cloud (dawniej Azure Security Center) udostępnia wynik Secure Score i rekomendacje dla platform Azure, AWS i GCP. GCP Security Command Center stale monitoruje zasoby GCP. Narzędzia natywne są dobrym punktem wyjścia, zwłaszcza w środowiskach korzystających z jednej chmury.

W środowiskach wielochmurowych lub w przypadku bardziej zaawansowanych możliwości rozwiązania CSPM innych firm zapewniają ujednolicony wgląd we wszystkie platformy chmurowe. Do wiodących rozwiązań należą Palo Alto Prisma Cloud (kompleksowe, obejmuje CWPP), Wiz (bez agentów, oparte na grafach analizujących ścieżki ataku), Orca Security (skanowanie z boku bez agentów) oraz Lacework (analiza behawioralna). Narzędzia te konsolidują ustalenia z AWS, Azure i GCP w jednej konsoli, stosując spójny model oceny ryzyka.

Rozbieżność konfiguracji występuje, gdy zasoby chmurowe z czasem odbiegają od zatwierdzonej bezpiecznej konfiguracji bazowej — często w wyniku doraźnych ręcznych zmian, które omijają zatwierdzony proces zarządzania zmianami. Narzędzia CSPM wykrywają takie rozbieżności, porównując bieżący stan z zapisaną konfiguracją bazową lub definicją stanu pożądanego (w Terraform albo CloudFormation). Alerty o rozbieżnościach umożliwiają zespołom bezpieczeństwa zbadanie i usunięcie nieautoryzowanych zmian, zanim doprowadzą one do powstania luki w zabezpieczeniach.

Ustalenia CSPM można obsługiwać na trzy sposoby. Ręczne usuwanie problemów: zespoły bezpieczeństwa otrzymują ustalenie i naprawiają problem za pośrednictwem konsoli chmurowej lub interfejsu CLI. Prowadzone usuwanie problemów: CSPM udostępnia instrukcje krok po kroku lub runbooki. Automatyczne usuwanie problemów: CSPM uruchamia automatyczną reakcję — na przykład automatycznie blokuje publiczny zasobnik S3 lub usuwa regułę grupy zabezpieczeń o zbyt szerokich uprawnieniach po jej wykryciu. Automatyczne usuwanie problemów skraca średni czas naprawy z dni do sekund, ale wymaga dokładnych testów, aby uniknąć zakłócenia działania prawidłowych obciążeń.

Narzędzia CSPM generują raporty zgodności, które mapują ustalenia na ramy regulacyjne, w tym PCI-DSS, HIPAA, SOC 2, ISO 27001, GDPR i NIST CSF. Raporty pokazują, które mechanizmy kontrolne przechodzą kontrolę, które jej nie przechodzą oraz jak wyniki zmieniają się w czasie. Audytorzy coraz częściej akceptują raporty zgodności CSPM jako dowód stałego monitorowania bezpieczeństwa. Organizacje mogą zaplanować automatyczne dostarczanie raportów zgodności audytorom, ograniczając ręczny nakład pracy związany ze zbieraniem dowodów podczas audytów.

CSPM koncentruje się na bezpieczeństwie konfiguracji (płaszczyźnie sterowania). CWPP (Cloud Workload Protection Platform) koncentruje się na bezpieczeństwie obciążeń w czasie działania — wykrywaniu złośliwego oprogramowania, nieautoryzowanych procesów, zmian integralności plików i anomalii sieciowych wewnątrz maszyn wirtualnych, kontenerów i funkcji serverless. Nowoczesne platformy, takie jak Prisma Cloud, łączą CSPM i CWPP w ramach jednej platformy CNAPP (Cloud-Native Application Protection Platform), zapewniając kompleksowy wgląd — od konfiguracji po środowisko uruchomieniowe.

Ustalenia CSPM powinny trafiać do procesu operacji bezpieczeństwa w organizacji. Ustalenia o wysokim poziomie ważności (publiczne bazy danych, aktywność konta root) powinny generować alerty SIEM oraz zgłoszenia w systemie obsługi zgłoszeń, aby umożliwić natychmiastową reakcję. Ustalenia o średnim poziomie ważności powinny trafiać do regularnych cykli aktualizacji i wzmacniania zabezpieczeń. Panele CSPM należy przeglądać podczas cotygodniowych spotkań dotyczących bezpieczeństwa, a ustalenia CSPM śledzić w ramach tego samego procesu zarządzania podatnościami, który jest używany dla CVE w oprogramowaniu — z przypisaniem właściciela, umową SLA i weryfikacją usunięcia problemu.

W tej lekcji nauczyli się Państwo, że: CSPM stale ocenia konfiguracje zasobów chmurowych względem wzorców bezpieczeństwa, takich jak mechanizmy kontrolne CIS, wykrywanie rozbieżności konfiguracji generuje alerty, gdy zasoby odbiegają od zatwierdzonej konfiguracji bazowej, a także że automatyczne usuwanie problemów może skrócić czas naprawy typowych błędnych konfiguracji z dni do sekund. Następnie omówimy przygotowanie do reagowania na incydenty za pomocą planów IR, playbooków i zespołów.