Hantering av molnsäkerhetens status (CSPM)

Molnmiljöer växer snabbt och omfattar ofta hundratals konton, tusentals resurser och miljontals konfigurationsalternativ. Manuella säkerhetsgranskningar kan inte hålla jämna steg. Cloud Security Posture Management (CSPM) hanterar detta genom att kontinuerligt och automatiskt utvärdera konfigurationer av molnresurser mot bästa praxis för säkerhet och efterlevnadsriktmärken. CSPM upptäcker felkonfigurationer – offentliga S3-buckets, öppna säkerhetsgrupper och okrypterade databaser – innan angripare hittar och utnyttjar dem.

CSPM-verktyg bedömer konfigurationer i hela molnmiljön. Vanliga kontroller omfattar: nätverk (säkerhetsgrupper med inkommande trafik från 0.0.0.0/0 på känsliga portar och obegränsad utgående trafik), lagring (offentliga buckets och okrypterade objekt), identitet (användning av root-kontot, MFA som inte är aktiverat och alltför tillåtande roller), databehandling (instanser som är åtkomliga från internet och ej uppdaterade AMI:er), loggning (inaktiverat CloudTrail och saknade VPC Flow Logs) samt kryptering (databaser utan kryptering i vila).

Traditionella sårbarhetsskannrar undersöker körande system efter kända CVE:er i programvara. CSPM använder ett annat angreppssätt: det analyserar konfigurationstillståndet via molnleverantörernas API:er utan att skicka trafik till själva resurserna. CSPM hittar sårbarheter på grund av felkonfiguration (felaktiga inställningar), medan traditionella skannrar hittar programvarusårbarheter (kända CVE:er). Båda behövs i ett komplett program för molnsäkerhet, men CSPM hanterar specifikt den unika riskprofilen hos molnmiljöer.

CSPM-verktyg utvärderar konfigurationer mot branschstandardiserade riktmärken. CIS (Center for Internet Security) Benchmarks för AWS, Azure och GCP innehåller hundratals specifika och testbara säkerhetskrav. CIS AWS Benchmark kräver till exempel att CloudTrail är aktiverat i alla regioner, att MFA används för root-kontot, att root-kontot saknar åtkomstnycklar, att säkerhetsgrupper inte tillåter obegränsad SSH/RDP och att CloudWatch-larm finns för obehöriga API-anrop. CSPM-verktyg kopplar sina resultat till kontroller i CIS Benchmark för rapportering.

De stora molnleverantörerna erbjuder inbyggda CSPM-funktioner. AWS Security Hub samlar resultat från GuardDuty, Inspector och Macie och utvärderar samtidigt efterlevnaden av CIS och PCI-DSS. Microsoft Defender for Cloud (tidigare Azure Security Center) ger en säkerhetspoäng och rekommendationer för Azure, AWS och GCP. GCP Security Command Center övervakar kontinuerligt GCP-resurser. Inbyggda verktyg är en bra utgångspunkt, särskilt i miljöer med ett enda moln.

För miljöer med flera moln eller mer avancerade funktioner erbjuder CSPM-lösningar från tredjepart en enhetlig överblick över alla molnplattformar. Ledande lösningar omfattar Palo Alto Prisma Cloud (omfattande och inkluderar CWPP), Wiz (agentlös och med grafbaserad analys av attackvägar), Orca Security (sid genomsökning utan agenter) och Lacework (beteendeanalys). Dessa verktyg samlar resultat från AWS, Azure och GCP i en enda konsol med en enhetlig modell för riskpoäng.

Konfigurationsdrift uppstår när molnresurser över tid avviker från sin godkända säkra baslinje – ofta genom manuella ändringar som görs ad hoc och kringgår den godkända processen för ändringshantering. CSPM-verktyg upptäcker drift genom att jämföra det aktuella tillståndet med en lagrad baslinje eller en definition av önskat tillstånd (i Terraform eller CloudFormation). Driftlarm gör det möjligt för säkerhetsteam att undersöka och åtgärda obehöriga ändringar innan de skapar en säkerhetslucka.

CSPM-resultat kan åtgärdas på tre sätt. Manuellt åtgärdande: säkerhetsteam får ett resultat och korrigerar det via molnkonsolen eller CLI:t. Vägledt åtgärdande: CSPM tillhandahåller stegvisa instruktioner eller runbooks. Automatiserat åtgärdande: CSPM utlöser en automatiserad åtgärd – till exempel att automatiskt blockera en offentlig S3-bucket eller ta bort en alltför tillåtande regel i en säkerhetsgrupp när den upptäcks. Automatiserat åtgärdande minskar den genomsnittliga tiden till åtgärd från dagar till sekunder, men kräver noggranna tester för att undvika störningar i legitima arbetsbelastningar.

CSPM-verktyg genererar efterlevnadsrapporter som kopplar resultat till regelverk, däribland PCI-DSS, HIPAA, SOC 2, ISO 27001, GDPR och NIST CSF. Rapporterna visar vilka kontroller som godkänns, vilka som underkänns och hur resultaten utvecklas över tid. Revisorer accepterar i allt högre grad CSPM-rapporter om efterlevnad som bevis på kontinuerlig säkerhetsövervakning. Organisationer kan schemalägga automatiska efterlevnadsrapporter som levereras till revisorer, vilket minskar det manuella arbetet med att samla in underlag under revisioner.

CSPM fokuserar på konfigurationssäkerhet (kontrollplanet). CWPP (Cloud Workload Protection Platform) fokuserar på arbetsbelastningarnas körningssäkerhet – att upptäcka skadlig kod, obehöriga processer, ändringar av filintegritet och avvikelser i nätverkstrafik inuti VM:ar, containrar och serverlösa funktioner. Moderna plattformar som Prisma Cloud kombinerar CSPM och CWPP i en enda CNAPP (Cloud-Native Application Protection Platform) och ger fullständig överblick från konfiguration till körning.

CSPM-resultat bör ingå i organisationens arbetsflöde för säkerhetsdrift. Resultat med hög allvarlighetsgrad (offentliga databaser och aktivitet från root-kontot) bör skapa SIEM-larm och incidenter i ärendehanteringssystemet för omedelbar hantering. Resultat med medelhög allvarlighetsgrad bör ingå i regelbundna cykler för patchning och härdning. CSPM-instrumentpaneler bör granskas vid veckovisa säkerhetsmöten, och CSPM-resultat bör följas upp genom samma sårbarhetshanteringsprocess som används för CVE:er i programvara – med ansvarig ägare, SLA och verifiering av åtgärd.

I den här lektionen har ni lärt er att CSPM kontinuerligt utvärderar konfigurationer av molnresurser mot säkerhetsriktmärken som CIS-kontroller, att identifiering av konfigurationsdrift larmar när resurser avviker från en godkänd baslinje och att automatiserat åtgärdande kan minska tiden till korrigering från dagar till sekunder för vanliga felkonfigurationer. Nästa avsnitt handlar om förberedelser inför incidenthantering med IR-planer, playbooks och team.