CSPM

CSPM (Cloud Security Posture Management) to klasa narzędzi, które stale sprawdzają konfigurację kont chmurowych i wskazują odstępstwa od przyjętych standardów bezpieczeństwa. Microsoft opisuje CSPM jako funkcję zapewniającą ciągły wgląd w stan bezpieczeństwa zasobów i obciążeń chmurowych, z praktycznymi wskazówkami dla Azure, AWS i GCP ^[1]. Typowe znaleziska to publicznie dostępne zasoby, brak szyfrowania, zbyt szerokie uprawnienia i niezgodność z normami. Głównym celem jest wykrycie błędnej konfiguracji chmury, zanim wykorzysta ją atakujący.

Jak działa

Narzędzie CSPM łączy się z kontem chmurowym przez interfejs dostawcy, odczytuje listę zasobów i ich ustawienia, a następnie porównuje je z zestawem reguł. Defender dla Chmury nieustannie ocenia infrastrukturę względem standardów bezpieczeństwa zdefiniowanych dla subskrypcji Azure, kont AWS i projektów GCP, a wynikiem są zalecenia pomagające zmniejszać błędy konfiguracji ^[1]. AWS Security Hub CSPM automatycznie uruchamia ciągłe kontrole konfiguracji na poziomie konta, oparte na dobrych praktykach AWS i standardach branżowych, i na ich podstawie liczy wynik bezpieczeństwa ^[2].

Pracę takiego narzędzia da się opisać jako zamknięty cykl, pokazany na schemacie poniżej.

RYS. 1Cykl pracy narzędzia CSPM

CSPM jest odmianą ciągłego monitorowania. NIST definiuje je jako program dający wgląd w zasoby organizacji, świadomość zagrożeń i podatności oraz wgląd w skuteczność wdrożonych zabezpieczeń ^[6]. W chmurze zasoby powstają i znikają w ciągu minut, więc jednorazowy audyt bezpieczeństwa szybko się dezaktualizuje.

Składniki

Produkty CSPM różnią się zakresem, ale powtarzają się w nich te same elementy.

• Spis zasobów. Plan podstawowy w Defender dla Chmury obejmuje spis zasobów, zalecenia, wskaźnik bezpieczeństwa i automatyzację przepływu pracy ^[1].
• Standardy i kontrole. Security Hub CSPM obsługuje standard AWS Foundational Security Best Practices oraz zewnętrzne ramy, takie jak CIS, PCI DSS i NIST; każdy standard składa się z kontroli, z których każda odpowiada jednej dobrej praktyce ^[2].
• Wskaźnik bezpieczeństwa. W Defender dla Chmury wyższy wynik oznacza niższy zidentyfikowany poziom ryzyka ^[1].
• Agregacja ustaleń. Security Hub CSPM przyjmuje też ustalenia z innych usług AWS i produktów partnerów, co daje jeden widok różnych problemów ^[2].
• Automatyczna naprawa. Reguły automatyzacji i integracja z Amazon EventBridge pozwalają reagować na konkretne ustalenia ^[2].
• Analiza ścieżek ataku. W płatnym planie Defender CSPM dochodzą analiza ścieżki ataku, priorytetyzacja ryzyka i zarządzanie ekspozycją zewnętrzną ^[1], bliskie zarządzaniu powierzchnią ataku (attack surface management).

Wiele reguł wywodzi się z publicznych wytycznych. CIS Benchmarks to preskryptywne zalecenia konfiguracyjne dla ponad 25 rodzin produktów, z osobnymi zestawami dla AWS, Microsoft Azure i Google Cloud Platform ^[5]. Dzięki temu wynik CSPM bywa używany jako dowód w procesach zgodności regulacyjnej (compliance).

Przykładowe kontrole

Kontrole mają identyfikatory i poziom ważności. Poniższa tabela zbiera kilka reguł z katalogu AWS, które dotyczą typowego serwera WWW.

Grupa bezpieczeństwa w AWS pełni rolę zapory sieciowej (firewall) instancji, a jej konfiguracja należy do klienta ^[7].

W WordPressie

Strona WordPress na hostingu współdzielonym nie ma konta chmurowego, które klient mógłby skanować: konfiguracją serwera zajmuje się firma hostingowa, zob. hosting współdzielony. Dla małej firmy z jedną stroną CSPM jest zwykle nadmiarowy. Sens pojawia się wtedy, gdy WordPress działa na własnych instancjach w chmurze publicznej, z osobną bazą, magazynem plików i kopiami.

Wtedy obowiązuje model współdzielonej odpowiedzialności (shared responsibility model). AWS odpowiada za bezpieczeństwo samej chmury, a klient za bezpieczeństwo w chmurze, w tym za konfigurację grup bezpieczeństwa, aktualizacje systemu gościa, szyfrowanie danych i uprawnienia IAM ^[7]. Typowe ustalenia CSPM dla takiej instalacji to:

• port 22 otwarty dla całego internetu, co wykrywa kontrola EC2.13 ^[3]; bezpieczniej ograniczyć źródło i stosować logowanie kluczem SSH;
• bucket na media albo kopie zapasowe (backup) bez blokady publicznego dostępu, który AWS zaleca włączać zgodnie z kontrolą S3.8 ^[4];
• konto lub rola z uprawnieniami szerszymi, niż wymaga wtyczka zapisująca pliki w chmurze, wbrew zasadzie najmniejszych uprawnień.

CSPM nie ocenia kodu wtyczek ani motywów. Do tego służą skanowanie podatności i śledzenie komunikatów o podatnościach we wtyczkach.

Ograniczenia

CSPM widzi tylko to, co zostało do niego podłączone. Security Hub CSPM wykrywa ustalenia dopiero od chwili włączenia usługi, nie wstecz, i przetwarza je tylko w regionie, w którym go włączono ^[2]. Do pełnej zgodności z kontrolami CIS AWS Foundations Benchmark trzeba go włączyć we wszystkich obsługiwanych regionach ^[2]. Większość kontroli wymaga też włączenia i rejestrowania zasobów w AWS Config ^[2].

Drugie ograniczenie dotyczy blokady publicznego dostępu. AWS podkreśla, że wyłączenie tych ustawień przywraca publiczny dostęp tam, gdzie polityka lub ACL go przyznawały, bo same ustawienia nie zmieniają istniejących polityk ^[4]. Narzędzie wskazuje problem, ale naprawa zależy od ludzi i procesu.

Dobre praktyki

• Włączać ocenę we wszystkich kontach i regionach, także w tych rzadko używanych ^[2].
• Traktować wyniki jako kolejkę zadań z właścicielem i terminem, a nie jako raport do archiwum.
• Poprawiać konfigurację w szablonach, a nie ręcznie w konsoli; zob. bezpieczeństwo infrastruktury jako kodu (IaC).
• Kierować ustalenia do systemu SIEM (Security Information and Event Management) lub systemu zgłoszeń; Security Hub CSPM pozwala wysyłać je do innych usług i produktów ^[2].
• Dbać o zarządzanie tożsamością i dostępem (IAM): uprawnienia nadane przez IAM ustawia klient, nie dostawca chmury ^[7].