Řízení zabezpečení: Správa stavu a ohrožení zabezpečení

  • Článek

Řízení stavu a ohrožení zabezpečení se zaměřuje na ovládací prvky pro posouzení a zlepšení stavu cloudového zabezpečení, včetně kontroly ohrožení zabezpečení, penetračního testování a nápravy a sledování konfigurace zabezpečení, vytváření sestav a oprav v cloudových prostředcích.

PV-1: Definování a vytvoření zabezpečených konfigurací

ID ovládacích prvků CIS v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS verze 3.2.1
4.1, 4.2 CM-2, CM-6 1.1

Princip zabezpečení: Definujte standardní hodnoty konfigurace zabezpečení pro různé typy prostředků v cloudu. Případně můžete použít nástroje pro správu konfigurace k automatickému vytvoření standardních hodnot konfigurace před nasazením prostředků nebo během nasazení, aby prostředí po nasazení ve výchozím nastavení vyhovovalo předpisům.

Pokyny pro Azure: K definování standardních hodnot konfigurace pro každou příslušnou nabídku nebo službu Azure použijte srovnávací test a standardní hodnoty služby Microsoft Cloud Security. Projděte si referenční architekturu Azure a architekturu cílové zóny Cloud Adoption Framework, abyste porozuměli důležitým ovládacím prvkům zabezpečení a konfiguracím, které můžou být potřeba napříč prostředky Azure.

Pomocí cílové zóny Azure (a blueprints) můžete zrychlit nasazení úloh nastavením konfigurace služeb a aplikačních prostředí, včetně šablon Azure Resource Manager, ovládacích prvků Azure RBAC a Azure Policy.

Implementace Azure a další kontext:

Pokyny pro AWS: K definování standardních hodnot konfigurace pro každou příslušnou nabídku nebo službu AWS použijte srovnávací test Microsoft Cloud Security – pokyny pro více cloudů pro AWS a další vstupy. Projděte si pilíř zabezpečení a další pilíře v architektuře AWS Well-Architectured, abyste porozuměli důležitým ovládacím prvkům zabezpečení a konfiguracím, které mohou být potřeba napříč prostředky AWS.

K automatizaci nasazení a konfigurace služeb a aplikačních prostředí použijte šablony AWS CloudFormation a pravidla konfigurace AWS v definici cílové zóny AWS.

Implementace AWS a další kontext:

Pokyny ke GCP: K definování standardních hodnot konfigurace pro každou příslušnou nabídku nebo službu GCP použijte srovnávací test Microsoft Cloud Security – pokyny pro více cloudů pro GCP a další vstupy. Projděte si základní plány nasazení Google Cloud a návrh cílové zóny.

Použijte moduly podrobných plánů Terraformu pro Google Cloud a k automatizaci nasazení a konfigurace služeb a aplikačních prostředí použijte nativního Správce nasazení cloudu Google.

Implementace GCP a další kontext:

Účastníci zabezpečení zákazníků (další informace) :

PV-2: Audit a vynucování zabezpečených konfigurací

ID ovládacích prvků CIS v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS verze 3.2.1
4.1, 4.2 CM-2, CM-6 2,2

Princip zabezpečení: Nepřetržitě monitorujte a upozorňovat na odchylku od definovaných standardních hodnot konfigurace. Vynucujte požadovanou konfiguraci podle základní konfigurace tím, že odmítnete konfiguraci, která nedodržuje předpisy, nebo nasadíte konfiguraci.

Pokyny pro Azure: Pomocí Microsoft Defender for Cloud nakonfigurujte Azure Policy k auditování a vynucování konfigurací vašich prostředků Azure. Azure Monitor slouží k vytváření upozornění, když se u prostředků zjistí odchylka konfigurace.

K vynucení zabezpečené konfigurace napříč prostředky Azure použijte pravidla Azure Policy [odepřít] a [nasadit, pokud neexistují].

V případě auditování a vynucování konfigurace prostředků, které Azure Policy nepodporuje, možná budete muset napsat vlastní skripty nebo k implementaci auditování a vynucování konfigurace použít nástroje třetích stran.

Implementace Azure a další kontext:

Pokyny pro AWS: Pomocí pravidel konfigurace AWS můžete auditovat konfigurace prostředků AWS. A můžete se rozhodnout vyřešit posun konfigurace pomocí služby AWS Systems Manager Automation přidružené k pravidlu konfigurace AWS. Pomocí Amazon CloudWatch můžete vytvářet upozornění, když se u prostředků zjistí odchylka konfigurace.

V případě auditování a vynucování konfigurace prostředků, které AWS Config nepodporuje, možná budete muset napsat vlastní skripty nebo k implementaci auditování a vynucování konfigurace použít nástroje třetích stran.

Můžete také centrálně monitorovat posun konfigurace tím, že nasadíte účet AWS do Microsoft Defender pro cloud.

Implementace AWS a další kontext:

Pokyny pro GCP: Ke konfiguraci GCP použijte Centrum příkazů služby Google Cloud Security. Pomocí služby Google Cloud Monitoring v Operations Suite můžete vytvářet výstrahy v případech, kdy se u prostředků zjistí odchylka konfigurace.

Pokud chcete řídit organizace, použijte zásady organizace k centralizaci a programové kontrole nad cloudovými prostředky vaší organizace. Jako správce zásad organizace budete moct nakonfigurovat omezení v celé hierarchii prostředků.

V případě auditování a vynucování konfigurace prostředků, které zásady organizace nepodporují, možná budete muset napsat vlastní skripty nebo k implementaci auditování a vynucování konfigurace použít nástroje třetích stran.

Implementace GCP a další kontext:

Účastníci zabezpečení zákazníků (další informace) :

PV-3: Definování a vytvoření zabezpečených konfigurací pro výpočetní prostředky

ID ovládacích prvků CIS v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS verze 3.2.1
4.1 CM-2, CM-6 2,2

Princip zabezpečení: Definujte standardní hodnoty zabezpečené konfigurace pro výpočetní prostředky, jako jsou virtuální počítače a kontejnery. Pomocí nástrojů pro správu konfigurace můžete automaticky stanovit standardní hodnoty konfigurace před nasazením výpočetních prostředků nebo během jeho nasazení, aby prostředí po nasazení ve výchozím nastavení vyhovovalo předpisům. Případně můžete použít předkonfigurovanou image k sestavení požadovaného standardního plánu konfigurace do šablony image výpočetního prostředku.

Pokyny pro Azure: Jako srovnávací test pro definování standardních hodnot konfigurace výpočetních prostředků použijte standardní hodnoty zabezpečení operačních systémů (pro Windows i Linux) doporučené azure.

Kromě toho můžete použít vlastní image virtuálního počítače (pomocí Azure Image Builderu) nebo image kontejneru se službou Azure Automanage Machine Configuration (dříve označovanou jako konfigurace hosta Azure Policy) a Azure Automation State Configuration k vytvoření požadované konfigurace zabezpečení.

Implementace Azure a další kontext:

Pokyny pro AWS: K definování standardních hodnot konfigurace EC2 použijte ec2 AWS Image (AMI) z důvěryhodných zdrojů na marketplace.

Kromě toho můžete pomocí EC2 Image Builderu vytvořit vlastní šablonu AMI pomocí agenta Správce systémů a vytvořit požadovanou konfiguraci zabezpečení. Poznámka: Agent AWS Systems Manager je předinstalovaný na některých imagích počítačů (AMI) Amazonu, které poskytuje AWS.

U aplikací úloh spuštěných v rámci instancí EC2, AWS Lambda nebo prostředí kontejnerů můžete použít AWS System Manager AppConfig k vytvoření požadovaných standardních hodnot konfigurace.

Implementace AWS a další kontext:

Pokyny pro GCP: Jako srovnávací kritérium pro definování standardních hodnot konfigurace výpočetních prostředků použijte standardní hodnoty zabezpečení operačního systému doporučené službou Google Cloud (pro Windows i Linux).

Kromě toho můžete použít vlastní image virtuálního počítače pomocí Packer Image Builderu nebo image kontejneru s imagí kontejneru Google Cloud Build k vytvoření požadovaných standardních hodnot konfigurace.

Implementace GCP a další kontext:

Účastníci zabezpečení zákazníků (další informace) :

PV-4: Audit a vynucování zabezpečených konfigurací pro výpočetní prostředky

ID ovládacích prvků CIS v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS verze 3.2.1
4.1 CM-2, CM-6 2,2

Princip zabezpečení: Nepřetržitě monitorujte a upozorňovat na odchylku od definovaných standardních hodnot konfigurace ve výpočetních prostředcích. Vynucujte požadovanou konfiguraci podle základní konfigurace tím, že zakážete konfiguraci, která nedodržuje předpisy, nebo nasadíte konfiguraci do výpočetních prostředků.

Pokyny pro Azure: K pravidelnému vyhodnocování a nápravě odchylek konfigurace výpočetních prostředků Azure, včetně virtuálních počítačů, kontejnerů a dalších, používejte Microsoft Defender pro cloud a Azure Automanage Machine Configuration (dříve Azure Policy hosta). Kromě toho můžete použít šablony Azure Resource Manager, vlastní image operačního systému nebo Azure Automation State Configuration k udržování konfigurace zabezpečení operačního systému. Šablony virtuálních počítačů Microsoft ve spojení s Azure Automation State Configuration vám můžou pomoct s plněním a udržováním požadavků na zabezpečení. Pomocí Sledování změn a inventář v Azure Automation můžete sledovat změny ve virtuálních počítačích hostovaných v Azure, místních a dalších cloudových prostředích, abyste mohli určit provozní a environmentální problémy se softwarem spravovaným správcem distribučních balíčků. Nainstalujte na virtuální počítače agenta ověření identity hosta a monitorujte integritu spouštění na důvěrných virtuálních počítačích.

Poznámka: Azure Marketplace image virtuálních počítačů publikované Microsoftem spravuje a udržuje Microsoft.

Implementace Azure a další kontext:

Pokyny pro AWS: Pomocí funkce Správce stavu správce systému AWS můžete pravidelně vyhodnocovat a opravovat odchylky konfigurace v instancích EC2. Kromě toho můžete použít šablony CloudFormation, vlastní image operačního systému, abyste zachovali konfiguraci zabezpečení operačního systému. Šablony AMI ve spojení se správcem systémů vám můžou pomoct s plněním a údržbou požadavků na zabezpečení.

Můžete také centrálně monitorovat a spravovat posun konfigurace operačního systému v Azure Automation State Configuration a nasadit příslušné prostředky do zásad správného řízení zabezpečení Azure pomocí následujících metod:

  • Onboarding účtu AWS do Microsoft Defender for Cloud
  • Připojení instancí EC2 k Microsoft Defender for Cloud pomocí služby Azure Arc pro servery

Pro aplikace úloh spuštěné v rámci instancí EC2, AWS Lambda nebo kontejnerového prostředí můžete použít AWS System Manager AppConfig k auditování a vynucení požadovaných standardních hodnot konfigurace.

Poznámka: AMI publikované amazon web services na AWS Marketplace spravuje a udržuje Amazon Web Services.

Implementace AWS a další kontext:

Pokyny ke GCP: Pomocí Správce virtuálních počítačů a Google Cloud Security Command Center pravidelně vyhodnocujte a opravujte odchylky konfigurace instancí, kontejnerů a bezserverových kontraktů výpočetního modulu. Kromě toho můžete použít šablony virtuálních počítačů Deployment Manageru nebo vlastní image operačního systému k udržování konfigurace zabezpečení operačního systému. Šablony virtuálních počítačů Deployment Manageru ve spojení se Správcem virtuálních počítačů vám můžou pomoct s plněním a údržbou požadavků na zabezpečení.

Můžete také centrálně monitorovat a spravovat posun konfigurace operačního systému v Azure Automation State Configuration a nasadit příslušné prostředky do zásad správného řízení zabezpečení Azure pomocí následujících metod:

  • Onboarding projektu GCP do Microsoft Defender for Cloud
  • Připojení instancí virtuálních počítačů GCP k Microsoft Defender for Cloud pomocí služby Azure Arc pro servery

Implementace GCP a další kontext:

Účastníci zabezpečení zákazníků (další informace) :

PV-5: Provádění posouzení ohrožení zabezpečení

ID ovládacích prvků CIS v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS verze 3.2.1
5.5, 7.1, 7.5, 7.6 RA-3, RA-5 6.1, 6.2, 6.6

Princip zabezpečení: Proveďte posouzení ohrožení zabezpečení pro cloudové prostředky na všech úrovních podle pevného plánu nebo na vyžádání. Sledujte a porovnejte výsledky kontroly a ověřte, že jsou ohrožení zabezpečení napravena. Hodnocení by mělo zahrnovat všechny typy ohrožení zabezpečení, jako jsou ohrožení zabezpečení ve službách Azure, sítě, webu, operačních systémech, chybných konfiguracích atd.

Mějte na paměti potenciální rizika spojená s privilegovaným přístupem používaným skenery ohrožení zabezpečení. Pokud chcete zabezpečit všechny účty pro správu používané ke kontrole, postupujte podle osvědčených postupů zabezpečení privilegovaného přístupu.

Pokyny pro Azure: Postupujte podle doporučení z Microsoft Defender pro cloud pro provádění posouzení ohrožení zabezpečení na virtuálních počítačích Azure, imagích kontejnerů a sql serverech. Microsoft Defender pro cloud má integrovanou kontrolu ohrožení zabezpečení pro virtuální počítače. K posouzení ohrožení zabezpečení síťových zařízení a aplikací (např. webových aplikací) použijte řešení třetí strany.

Exportujte výsledky kontroly v konzistentních intervalech a porovnejte výsledky s předchozími kontrolami, abyste ověřili, že došlo k nápravě ohrožení zabezpečení. Pokud používáte doporučení pro správu ohrožení zabezpečení navrhovaná Microsoft Defender pro cloud, můžete přejít na portál vybraného řešení kontroly a zobrazit historická data kontroly.

Při provádění vzdálených kontrol nepoužívejte jeden časově neomezený účet pro správu. Zvažte implementaci metodologie zřizování JIT (Just In Time) pro účet kontroly. Přihlašovací údaje pro účet kontroly by měly být chráněné, monitorované a používané pouze pro kontrolu ohrožení zabezpečení.

Poznámka: Microsoft Defender služby (včetně Defenderu pro servery, kontejnery, App Service, databáze a DNS) vkládají určité možnosti posouzení ohrožení zabezpečení. Upozornění vygenerovaná ze služeb Azure Defender by se měla monitorovat a kontrolovat společně s výsledkem nástroje pro kontrolu ohrožení zabezpečení Microsoft Defender pro cloud.

Poznámka: Nezapomeňte nastavit e-mailová oznámení v Microsoft Defender pro cloud.

Implementace Azure a další kontext:

Pokyny pro AWS: Pomocí Amazon Inspectoru zkontrolujte instance Amazon EC2 a image kontejnerů umístěné ve službě Amazon Elastic Container Registry (Amazon ECR) z hlediska ohrožení zabezpečení softwaru a neúmyslného ohrožení sítě. K posouzení ohrožení zabezpečení síťových zařízení a aplikací (např. webových aplikací) použijte řešení třetí strany.

Informace o nasazení účtu AWS do Microsoft Defender pro cloud a nasazení Microsoft Defender pro servery (s integrovanými Microsoft Defender for Endpoint) v instancích EC2 najdete v řízení ES-1 s názvem Use Endpoint Detection and Response (EDR). Microsoft Defender pro servery poskytuje nativní Threat and Vulnerability Management schopnost pro virtuální počítače. Výsledek kontroly ohrožení zabezpečení se konsoliduje na řídicím panelu Microsoft Defender for Cloud.

Sledujte stav zjištění ohrožení zabezpečení, abyste měli jistotu, že jsou správně napravena nebo potlačena, pokud jsou považována za falešně pozitivní.

Při provádění vzdálených kontrol nepoužívejte jeden časově neomezený účet pro správu. Zvažte implementaci metodologie dočasného zřizování pro skenovací účet. Přihlašovací údaje pro účet kontroly by měly být chráněné, monitorované a používané pouze pro kontrolu ohrožení zabezpečení.

Implementace AWS a další kontext:

Pokyny ke GCP: Postupujte podle doporučení od Microsoft Defender for Cloud nebo Google Cloud Security Command Center k provádění posouzení ohrožení zabezpečení u instancí výpočetního modulu. Security Command Center má integrovaná posouzení ohrožení zabezpečení síťových zařízení a aplikací (např. Webový skener zabezpečení).

Exportujte výsledky kontroly v konzistentních intervalech a porovnejte výsledky s předchozími kontrolami, abyste ověřili, že ohrožení zabezpečení byla napravena. Pokud používáte doporučení ke správě ohrožení zabezpečení navržená službou Security Command Center, můžete přejít na portál vybraného řešení kontroly a zobrazit historická data kontroly.

Implementace GCP a další kontext:

Účastníci zabezpečení zákazníků (další informace):

PV-6: Rychlá a automatická náprava ohrožení zabezpečení

ID ovládacích prvků CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
7.2, 7.3, 7.4, 7.7 RA-3, RA-5, SI-2: NÁPRAVA CHYB 6.1, 6.2, 6.5, 11.2

Princip zabezpečení: Rychle a automaticky nasaďte opravy a aktualizace, které opraví ohrožení zabezpečení ve vašich cloudových prostředcích. Pomocí vhodného přístupu založeného na riziku určete prioritu nápravy ohrožení zabezpečení. Například závažnější ohrožení zabezpečení v prostředku s vyšší hodnotou by se mělo řešit jako vyšší priorita.

Pokyny Pro Azure: Pomocí Azure Automation Řešení Update Management nebo řešení třetí strany zajistěte, aby byly na virtuálních počítačích s Windows a Linuxem nainstalované nejnovější aktualizace zabezpečení. U virtuálních počítačů s Windows se ujistěte, že je služba Windows Update povolená a nastavená na automatickou aktualizaci.

V případě softwaru jiných výrobců použijte řešení pro správu oprav od jiného výrobce nebo Microsoft System Center Aktualizace Publisher pro Configuration Manager.

Implementace Azure a další kontext:

Pokyny pro AWS: Pomocí nástroje AWS Systems Manager – Správce oprav zajistěte, aby byly v operačních systémech a aplikacích nainstalované nejnovější aktualizace zabezpečení. Správce oprav podporuje směrné plány oprav, které umožňují definovat seznam schválených a odmítnutých oprav pro vaše systémy.

Můžete také použít Azure Automation Update Management k centrální správě oprav a aktualizací instancí AWS EC2 pro Windows a Linux.

V případě softwaru jiných výrobců použijte řešení pro správu oprav od jiného výrobce nebo Microsoft System Center Aktualizace Publisher pro Configuration Manager.

Implementace AWS a další kontext:

Pokyny ke GCP: Použijte správu oprav operačního systému Správce cloudu Google nebo řešení třetí strany, abyste zajistili, že se na virtuální počítače s Windows a Linuxem nainstalují nejnovější aktualizace zabezpečení. V případě virtuálních počítačů s Windows se ujistěte, že je povolená a nastavená automatická aktualizace služba Windows Update.

V případě softwaru jiných výrobců použijte řešení pro správu oprav od jiného výrobce nebo microsoft System Center Aktualizace Publisher pro správu konfigurace.

Implementace GCP a další kontext:

Účastníci zabezpečení zákazníků (další informace):

PV-7: Pravidelná operace s červeným týmem

ID ovládacích prvků CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
18.1, 18.2, 18.3, 18.4, 18.5 CA-8, RA-5 6.6, 11.2, 11.3

Princip zabezpečení: Simulace reálných útoků za účelem získání úplnějšího přehledu o ohrožení zabezpečení vaší organizace Červené týmové operace a penetrační testování doplňují tradiční přístup kontroly ohrožení zabezpečení ke zjišťování rizik.

Při návrhu, přípravě a provádění tohoto druhu testování dodržujte osvědčené postupy v oboru, abyste měli jistotu, že nezpůsobí poškození nebo narušení vašeho prostředí. To by vždy mělo zahrnovat diskuzi o rozsahu testování a omezeních s příslušnými zúčastněnými stranami a vlastníky prostředků.

Pokyny k Azure: Podle potřeby proveďte penetrační testování nebo aktivity červeného týmu u vašich prostředků Azure a zajistěte nápravu všech důležitých zjištění zabezpečení.

Postupujte podle pravidel zapojení testování průniku cloudových služeb Microsoftu (Microsoft Cloud Penetration Testing), abyste měli jistotu, že testy průniku neporušují zásady Microsoftu. Využijte strategii Microsoftu a spuštění červeného týmu a testování průniku na živém webu na cloudové infrastruktuře, službách a aplikacích spravovaný Microsoftem.

Implementace Azure a další kontext:

Pokyny pro AWS: Podle potřeby proveďte penetrační testování nebo aktivity červeného týmu u prostředků AWS a zajistěte nápravu všech důležitých zjištění zabezpečení.

Postupujte podle zásad zákaznické podpory AWS pro penetrační testování a ujistěte se, že vaše penetrační testy neporušují zásady AWS.

Implementace AWS a další kontext:

Pokyny ke GCP: Podle potřeby proveďte u prostředku GCP penetrační testování nebo aktivity červeného týmu a zajistěte nápravu všech důležitých zjištění zabezpečení.

Postupujte podle zásad zákaznické podpory GCP pro penetrační testování a ujistěte se, že vaše penetrační testy neporušují zásady GCP.

Implementace GCP a další kontext:

Účastníci zabezpečení zákazníků (další informace):