Come condurre una valutazione della sicurezza del cloud

Getty Images/iStockphoto

Il cloud presenta alle organizzazioni una sfida alla sicurezza. Conducendo una valutazione della sicurezza del cloud, le organizzazioni possono scoprire le vulnerabilità prima che lo facciano gli avversari.

Una valutazione della sicurezza del cloud (CSA) valuta l'infrastruttura cloud per vulnerabilità, punti deboli di configurazione e potenziali minacce. Analizza la configurazione degli account o degli abbonamenti dei fornitori di servizi cloud ed esamina le possibili minacce provenienti da Internet e all'interno dell'infrastruttura cloud stessa. L'organizzazione ottiene un'analisi delle potenziali lacune nella progettazione e nell'implementazione dei controlli, nonché della potenziale superficie attaccabile e dei relativi rischi.

Le organizzazioni dovrebbero condurre regolarmente CSA per rimanere aggiornate contro le minacce in evoluzione.

Una valutazione della sicurezza cloud valuta l'infrastruttura cloud di un'organizzazione per quanto segue:

Per iniziare, chiedi al team di sicurezza dell'organizzazione di fare l'inventario di tutti gli account cloud e gli abbonamenti in uso. Le organizzazioni più grandi con molti account potrebbero campionarne selettivamente diversi per mantenere gestibile il CSA. Scegli account o abbonamenti con dati sensibili o un alto livello di esposizione.

Una volta completato l'inventario degli account cloud e degli abbonamenti, il team di sicurezza dovrebbe valutare servizi e risorse. Inizia esaminando le policy IAM per l'account cloud e i privilegi e le autorizzazioni consentiti all'interno di tali policy. Da lì, esamina i servizi di guardrail di sicurezza, come Amazon GuardDuty o Microsoft Defender, inclusa la loro configurazione e lo stato di esecuzione. Scansiona le immagini utilizzate per distribuire contenitori e carichi di lavoro VM per individuare eventuali vulnerabilità, soprattutto se esposte a Internet. Esamina servizi e oggetti rispetto a standard e framework di sicurezza informatica, come le linee guida NIST, Cloud Security Alliance o Center for Internet Security.

Se sono presenti standard di configurazione interna, considerarli come parte del CSA. Garantire che i carichi di lavoro in esecuzione e lo spazio di archiviazione esposto a Internet siano documentati. Valutare firewall, segmentazione di rete e firewall di applicazioni Web per potenziali errori di configurazione.

Da lì, analizza gli account cloud per eventuali modelli di infrastruttura come codice (IaC) nella distribuzione. Questi modelli spesso contengono elementi di configurazione critici e servizi in uso. Gli strumenti di gestione del comportamento di sicurezza del cloud in grado di scansionare i modelli IaC possono migliorare l'efficienza in questo processo.

Con risorse, esposizione e comportamento di configurazione documentati, le organizzazioni dovrebbero eseguire esercizi di modellazione delle minacce per valutare i limiti di fiducia esistenti e i potenziali attacchi contro risorse e servizi cloud. Le revisioni della modellazione delle minacce dovrebbero verificare i possibili attacchi e minacce all’ambiente cloud, la facilità degli attacchi in base all’esposizione e alla suscettibilità e lo stato dei controlli preventivi e investigativi in ​​atto. Le organizzazioni con implementazioni multi-cloud dovrebbero aspettarsi di condurre sessioni separate di modellazione delle minacce per ciascun rispettivo servizio cloud.

Facoltativamente, le organizzazioni possono eseguire test di penetrazione e scansioni in tempo reale su account cloud e abbonamenti per ulteriori test e revisioni.

Sulla base dell'analisi, il team di sicurezza dovrebbe creare un rapporto di alto livello. Delinea tutti gli audit, documenta i rischi e le possibili lacune nei controlli e fornisce raccomandazioni per la correzione delle vulnerabilità e dei punti deboli.