CSPM стрімко трансформується у питання ідентифікації

Еволюція управління безпекою хмарних середовищ: від конфігурацій до ідентичностей

З роками управління безпекою хмарної середовища (CSPM) сприймалося як проблема неправильної конфігурації. Це були відкриті сховища, слабка політика мережі, відкриті сервіси, і нескінченний список конфігурацій, які могли перетворити хмарне середовище на легке ціль. Але ж це була неповна думка. Сьогодні розуміння серед груп безпеки полягає в тому, що несприятливе середовище рідко стає небезпечним саме по собі, адже хмарні системи стають все складнішими. Загроза криється у тому, хто може отримати доступ до них, хто може змінити їх, і як легко зловмисник може переключатися між наборами дозволів.

З цієї причини дискусія про CSPM змінюється. Видимість ризикованих конфігурацій залишається з управлінням безпекою хмари, проте все частіше вона пов’язується з рівнем ідентифікації, який визначає доступ та переміщення у хмарних середовищах. Історія не тільки про те, що неправильно налаштовано. Йдеться про те, які ідентичності можуть використати такі умови і до якої міри доступ може бути розширений.

Сотні ризикованих виявлень можуть бути збережені в хмарному середовищі без порушення. Це парадокс, але це важлива істина. Відкритість має значення, тільки коли вона пов’язана із маршрутом доступу. Один вид ризику — це публічно доступний актив. Шкідливий користувач, завантаження або обліковий запис сервісу з надмірними дозволами на внутрішньому активі зазвичай є більш шкідливими.

І там ідентичність змінює значення “позиції”. Сховище може бути неправильно налаштованим, але справжнє питання полягає в тому, чи може яка-небудь ідентичність читати з нього, редагувати його чи використовувати його як трамплін. Віртуальна машина може бути недостатньо захищена, але запитання в тому, хто може увійти до неї, наслідувати її чи розгорнути щось, використовуючи її. Коли команди безпеки починають ставити ті питання, CSPM не виглядатиме як список налаштувань, які ніколи не змінюються; це більше схоже на карту відносин.

Це пояснюється тим, що хмарні середовища не є наборами ресурсів, а мережами авторизації. Усі ризиковані активи містяться у ширшій мережі користувачів, ролей, службових принципів і довірчих відносин, що належать до об’єднаних. Неправильні конфігурації — лише частина історії, якщо не накладається ідентичність.

Проблема надмірної авторизації є всюдисущою у сучасному безпеці хмари. Права користувачів зростають з часом. Привілеї надаються щедро до облікових записів сервісів. Тимчасовий доступ стає постійним. Інструменти автоматизації оснащені набагато більшою владою, ніж потрібно. Нереально зрозуміти хмарну позицію без визначення того, хто має надмірний доступ і чому.

Саме тому CSPM важко від’єднати від безпеки ідентичності. Це недобре, проте конфігурація з надмірними привілеями є дійсним шляхом атаки. Така комбінація робить позиційні знахідки вразливими можливостями. Крім того, команди безпеки все більше розуміють, що повинні не тільки знати, чи існує проблема, але чи може якась ідентичність бути використана в атаці. Адміністративний маршрут, занадто широке призначення ролі або втрата службового документа можуть коштувати більше, ніж десяток низькорівневих попереджень у позиційній аналізі. Таким чином, серйозність не є абстрактною проблемою у найкориснішому аналізі позиції. Вона стосується доступного ризику.

Співробітники та адміністратори — не єдині, хто може бути частиною історії ідентичності в хмарній безпеці. Кількість машинних ідентичностей у більшості налаштувань значно перевищує кількість людських ідентичностей. Дозволи та облікові дані використовуються для взаємодії між додатками, робочими навантаженнями, контейнерами, CI-конвеєрами, безсерверними функціями та API. Ці машинні ідентичності необхідні для роботи в хмарі, але представляють велику та часто не контрольовану поверхню атаки.

Це змінює завдання CSPM. Класичне управління позицією було побудоване на хмарних властивостях та їх розгортанні. Але машинні ідентичності додають ще один рівень складності. Вони динамічні, зазвичай короткоживучі і тісно пов’язані з автоматизацією. Робоче навантаження може запускатися з набором дозволів, здійснювати кілька звернень до кількох служб і зобов’язань, та зникати за короткий час. Якщо такі дозволи є надмірними, ризик позиції не обмежується ресурсом. Він закорінений у самій ідентичності, що керує нею.

Більше того, саме тому ідентичність стає центральним елементом в управлінні позиціями. Сучасні хмари мотивовані небаченим доступом. Рух ризику не може бути повністю пояснений програмою позиції, яка не враховує машинну ідентичність.

Інший фактор, що робить CSPM історією ідентичності, — це те, що команди безпеки рухаються від фіксованих списків виявлень до аналізу шляхів атаки. Існування статичних попереджень залишається важливим, однак вони схильні забомбардувати команди нерелевантними проблемами. Більш важливою є інформація про те, як ті проблеми можуть бути згруповані в реалістичні шляхи, які може слідувати зловмисник.

Шляхи стають зрозумілими завдяки ідентичності. Помилково налаштований обчислювальний екземпляр, погана політика довіри та привілейований обліковий запис сервісу можуть здаватися як окрема проблема в інформаційній панелі. Насправді це може бути єдиним шляхом між першим доступом до важливої інформації. Інструменти позиції можуть визначити частини без опису ризику, без контексту ідентичності. Вони можуть продемонструвати зв’язки між частинами з контекстом ідентичності.

Це радикальна зміна в розумінні безпеки хмари. Питання не в тому, чи щось не так, а в тому, чи можна досягти чогось поганого і наскільки далеко це може простягатися. Ідентичність є в центрі цієї відповіді.

Модель роботи та технології навколо CSPM еволюціонують, оскільки вони стають більш орієнтованими на ідентичність. Неможливо, щоб позиція могла існувати в окремому стовпі безпеки. Команди, відповідальні за ідентичність, хмарну платформу, DevOps та інфраструктуру, всі впливають на те, як надається і підтримується доступ. Це означає, що управління позицією стає все більш справою спільного управління.

Це представляє виклик і можливість. Проблема — це координація. Різні інструменти зазвичай застосовуються командами; вони працюють на різних швидкостях, і вимір успіху може відрізнятися в командах. Можливість полягає у тому, що позиція може бути більш попередженою, коли ідентичність розглядається як питання дизайну, а не просто як вправа з прибирання.

Стратегія позиції включає мінімальні привілеї, гігієну ролей, дизайн навантажувальних ідентичностей та процеси перегляду доступу. Вона пропонує більш стратегічну, ширшу перспективу, ніж попередня модель, в якій CSPM часто сприймалося як поганий сканер налаштувань після імплементації.

CSPM тихо стає історією ідентичностей, оскільки конфігурації недостатньо для пояснення ризику хмари. Хмара така динамічна, така взаємопов’язана і така залежна від дозволів, що позиція не може розглядатися як проста проблема налаштувань. Лідери безпеки тепер повинні мати контекст: хто може отримати доступ до якого ресурсу, за яких умов, з яким рівнем привілеїв і яким потенційним шляхом.

Це те, що насправді змінюється. CSPM не зникає. Воно дорослішає. Воно змінює бачення неправильних конфігурацій на більш багату концепцію взаємодії між доступом і позицією. У хмарі важливі викриття. Але хто досягне цього — це більш важливе запитання.