Bezpieczeństwo chmury i infrastruktury: uszczelniamy to, co konfiguracja zostawia otwarte
Bezpieczeństwo chmury to zabezpieczanie tego, za co w chmurze odpowiadasz Ty, a nie dostawca: konfiguracji usług, uprawnień, sieci i danych w AWS i Microsoft Azure. Dostawca chroni samą infrastrukturę chmury, a konfiguracja jest po Twojej stronie. Znajdujemy błędne ustawienia i nadmiarowe dostępy, uszczelniamy je według CIS Benchmarks i pilnujemy, żeby konfiguracja nie zmieniała się niezauważenie.
Executive summary: Chmura rzadko zawodzi przez wyrafinowany atak. Zwykle zawodzi przez błędną konfigurację po stronie klienta. Gartner przewidywał, że do 2025 roku 99% incydentów bezpieczeństwa w chmurze będzie wynikać z błędów klienta, a nie dostawcy (Predicts 2021: Cloud Security Drives Digital Business, 2020). Publiczny zasób, otwarty port albo konto z nadmiarem uprawnień to najczęstsze drogi wycieku danych. Zaczynasz od przeglądu konfiguracji: w około 2 tygodnie dostajesz listę krytycznych błędów według priorytetu, a potem je usuwamy i pilnujemy konfiguracji na bieżąco.
Gdzie najczęściej pękają zabezpieczenia chmury?
Większość incydentów w chmurze nie wymaga zaawansowanego ataku. Wystarczy ustawienie, którego nikt nie sprawdził.
|
Wyzwania w zarządzaniu ryzykiem i zgodnością
Firmy nie ponoszą największych kosztów przez brak technologii. Ponoszą je przez brak wiedzy o tym, gdzie faktycznie są narażone.
Nie widzisz, co jest wystawione publicznie
Środowisko rozrosło się na kilka kont, subskrypcji i zespołów, a nie ma jednej mapy zasobów dostępnych z internetu. O publicznym zasobie lub otwartym porcie dowiadujesz się dopiero z incydentu.
Uprawnienia nadane w pośpiechu
Konta z prawami administratora nadawane na szybko i nigdy nieodebrane, klucze dostępowe zapisane w kodzie. Wtedy jedno przejęte konto daje dostęp do całego środowiska.
Shadow IT i dryf konfiguracji
Działy biznesowe uruchamiają usługi poza kontrolą IT, a bezpieczne ustawienia zmieniają się po kolejnych wdrożeniach. Stan opisany w audycie sprzed pół roku przestaje być aktualny.
Model współodpowiedzialności działa przeciwko Tobie
Zakładasz, że chmura jest bezpieczna z definicji, ale za konfigurację odpowiadasz Ty. Luka powstaje po Twojej stronie, więc odpowiedzialność także.
Zobacz, jak to działa w praktyce
Klient:
Platforma SaaS dla branży fintech i e-commerce.
Wyzwanie:
Wraz z szybkim wzrostem firmy infrastruktura chmurowa rozrosła się bez kontroli. Pojawiły się nadmiarowe uprawnienia, błędne konfiguracje usług i brak centralnego monitoringu, a klienta czekał zewnętrzny audyt bezpieczeństwa.
Rozwiązanie:
Przeprowadziliśmy audyt bezpieczeństwa środowiska chmurowego. Na jego podstawie wdrożyliśmy zasadę najmniejszych uprawnień, zautomatyzowaliśmy wykrywanie zagrożeń i uruchomiliśmy zaporę aplikacyjną (WAF) dla krytycznych usług dostępnych z internetu.
Rezultaty:
Nadmiarowe uprawnienia administracyjne usunięte ze wszystkich kont.
Ponad 40 krytycznych błędów konfiguracji w środowisku produkcyjnym wykrytych i usuniętych w niecałe 14 dni.
Całodobowy monitoring logów i zachowań skrócił wykrywanie anomalii z kilku dni do kilku minut.
Twoja firma też może przejść przez audyt w sposób uporządkowany i bezstresowy.
Co obejmuje usługa bezpieczeństwa chmury
Zaczynamy od przeglądu konfiguracji, a potem usuwamy luki i pilnujemy, żeby się nie otwierały. Pracujemy na AWS i Microsoft Azure.
Przegląd konfiguracji według CIS Benchmarks
Skanujemy Twoje konta i subskrypcje, porównujemy ustawienia z CIS Benchmarks i przygotowujemy listę błędów według priorytetu.
Hardening usług i sieci
Zamykamy publiczne zasoby i zbędne porty zarządzania, porządkujemy reguły ruchu i segmentujemy sieć, żeby incydent w jednym miejscu nie obejmował całego środowiska
Uprawnienia według zasady najmniejszych uprawnień
Usuwamy nadmiarowe uprawnienia i nieużywane klucze, wymuszamy MFA dla kont administracyjnych i ograniczamy dostęp do niezbędnego minimum.
Szyfrowanie danych i zarządzanie kluczami
Włączamy szyfrowanie danych w spoczynku i w transmisji oraz porządkujemy zarządzanie kluczami w AWS KMS i Azure Key Vault.
Ciągłe monitorowanie konfiguracji (CSPM)
Wdrażamy narzędzia CSPM i logowanie zdarzeń, które wykrywają dryf konfiguracji i nowe błędy zaraz po ich pojawieniu się.
Jak uszczelniamy Twoją chmurę
Każdy projekt prowadzimy w czterech krokach, od diagnozy do stałego nadzoru.
1.
Przegląd konfiguracji
W około 2 tygodnie skanujemy środowisko i porównujemy je z CIS Benchmarks.
2.
Plan według priorytetów
Ustalamy z Tobą, które luki zamykamy od razu, a które w kolejnych etapach.
3.
Uszczelnienie środowiska
Wprowadzamy zmiany, najlepiej jako kod (IaC), żeby były powtarzalne i sprawdzalne.
4.
Stały nadzór nad konfiguracją
Monitorujemy konfigurację i reagujemy na każdy dryf lub nowy błąd.
Najczęściej zadawane pytania
AWS i Microsoft Azure zabezpieczają samą chmurę: serwery, sieć fizyczną i hypervisor. Za bezpieczeństwo w chmurze, czyli konfigurację usług, uprawnienia, dane i dostęp sieciowy, odpowiadasz Ty. To rozgraniczenie nazywa się modelem współodpowiedzialności, a większość realnych luk powstaje po stronie klienta.
Audyt pokazuje stan w jednym momencie i kończy się raportem z listą luk. CSPM (Cloud Security Posture Management) to ciągły nadzór nad konfiguracją, który wykrywa dryf i nowe błędy zaraz po ich pojawieniu się. Audyt mówi, co poprawić, a CSPM utrzymuje poprawiony stan w czasie.
Najczęściej są to publicznie dostępne zasoby danych (np. buckety S3), otwarte porty zarządzania, nadmiarowe uprawnienia, brak szyfrowania i wyłączone logowanie zdarzeń. To one, a nie wyrafinowane ataki, odpowiadają za większość wycieków z chmury.
Nie, jeśli robi się to dobrze. Wbudowujemy kontrole bezpieczeństwa w narzędzia, których zespół już używa, i ustawiamy automatyczne zabezpieczenia zamiast ręcznych zatwierdzeń. Deweloperzy dalej wdrażają zmiany, a informację o ryzyku dostają przy każdym wdrożeniu.
CIS Benchmarks to publikowane przez Center for Internet Security standardy bezpiecznej konfiguracji dla AWS, Microsoft Azure i wielu innych systemów. Dają obiektywny, sprawdzalny punkt odniesienia zamiast subiektywnej oceny. Konfigurację zgodną z CIS można zweryfikować i pokazać audytorowi lub klientowi.
Od przeglądu konfiguracji chmury. W około dwa tygodnie skanujemy Twoje środowisko, porównujemy je z CIS Benchmarks i przekazujemy listę błędów konfiguracji według priorytetu: co poprawić od razu, a co może poczekać. Potem uszczelniamy środowisko i, jeśli chcesz, pilnujemy konfiguracji na bieżąco.
