Sostenere ed evolvere il comportamento di sicurezza
 Incorporare un miglioramento continuo e applicare vigilanza per rimanere al passo con gli utenti malintenzionati che stanno evolvendo continuamente le loro strategie di attacco |
|---|
Il comportamento di sicurezza non deve degradarsi nel tempo. È necessario migliorare continuamente le operazioni di sicurezza in modo che le nuove interruzioni vengano gestite in modo più efficiente. Cercare di allineare i miglioramenti alle fasi definite dagli standard del settore. In questo modo si ottiene una preparazione migliore, un tempo ridotto al rilevamento degli eventi imprevisti e un contenimento e una mitigazione efficaci. Il miglioramento continuo deve essere basato su lezioni apprese dagli eventi imprevisti precedenti.
È importante misurare il comportamento di sicurezza, applicare criteri per mantenere tale comportamento e convalidare regolarmente le mitigazioni della sicurezza e i controlli di compensazione per migliorare continuamente il comportamento di sicurezza in caso di minacce in continua evoluzione.
Scenario di esempio
Contoso Race Day Performance crea sistemi di acquisizione dei dati per i team di corse di rally professionisti. La maggior parte del sistema è incorporata nelle automobili e fornisce feedback locale all'equipaggio di guida, ma alla fine della gara tutti i dati di telemetria vengono caricati nel cloud per l'elaborazione analitica. L'elaborazione combina i dati di telemetria di traccia e ambiente e dei veicoli nei report che possono essere usati dal team di gara per valutare la loro corsa e ottimizzare le loro strategie. Il sistema cloud usa Azure Spark in Azure Synapse Analytics. I sistemi ausiliari nel carico di lavoro usano tutte le offerte PaaS. Il sistema è già in uso da tre delle prime cinque squadre al mondo.
I team di gara sono altamente protettivi dei dati e vogliono sapere cosa sta facendo Contoso Race Day Performance per mantenere aggiornati le minacce alla sicurezza in continua evoluzione che potrebbero compromettere i dati.
Eseguire la modellazione delle minacce per identificare e mitigare potenziali minacce
Analizzare ogni componente del flusso di lavoro e valutare le potenziali minacce a cui ogni componente potrebbe essere soggetto. Classificare le minacce identificate usando una metodologia standard del settore.
Adottando questo approccio, è possibile generare un report dei vettori di attacco classificati in ordine di priorità in base al livello di gravità. Inoltre, è possibile identificare rapidamente minacce e vulnerabilità e configurare contromisure.
Sfida di Contoso
- Anche se non hanno ancora avuto un evento imprevisto di sicurezza, il team del carico di lavoro non ha un modo standardizzato per valutare se sono presenti vettori di minaccia non adeguatamente risolti nei controlli di sicurezza esistenti.
- Il team si rende conto di avere un punto cieco per quanto riguarda la sicurezza del carico di lavoro e rischia di essere catturato fuori guardia se si verifica un incidente di sicurezza.
Applicazione dell'approccio e dei risultati
- Il team interagisce con uno specialista di consulenza per la sicurezza per apprendere come eseguire la modellazione delle minacce.
- Dopo aver eseguito un esercizio iniziale di modellazione delle minacce, rilevano che hanno controlli ben progettati per la maggior parte dei vettori di minaccia, ma trovano un gap in una delle attività di pulizia dei dati che si verificano dopo il completamento dei processi di Azure Spark e hanno trovato due vettori di minacce Insider per l'esfiltrazione dei dati.
- Questi gap sono pianificati per la correzione nel ciclo di sviluppo successivo.
- Il team trova anche un sistema legacy usato da un team di gara che non usa più il servizio, che ha un accesso significativo ai dati di telemetria delle gare. Parte della correzione sarà rimuovere il sistema.
Verificare in modo indipendente i controlli
Eseguire test di sicurezza periodici condotti da esperti esterni al team del carico di lavoro che tentano di violare eticamente il sistema. Eseguire l'analisi delle vulnerabilità di routine e integrata per rilevare gli exploit nell'infrastruttura, nelle dipendenze e nel codice dell'applicazione.
Questi test consentono di convalidare le difese di sicurezza simulando attacchi reali usando tecniche come i test di penetrazione.
Le minacce possono essere introdotte come parte della gestione delle modifiche. L'integrazione degli scanner nelle pipeline di distribuzione consente di rilevare automaticamente le vulnerabilità e persino di mettere in quarantena l'utilizzo fino a quando non vengono rimosse le vulnerabilità.
Sfida di Contoso
- L'esercizio di modellazione delle minacce ha aiutato il team a individuare le lacune di sicurezza e ora è interessato a convalidare i controlli, soprattutto dopo aver implementato la correzione.
- Il team ha sperimentato gli strumenti open source in passato per testare la sicurezza e ha trovato l'esercizio divertente ed educativo. Tuttavia, essi e gli stakeholder vorrebbero coinvolgere professionisti della sicurezza per eseguire regolarmente test accurati e rigorosi.
Applicazione dell'approccio e dei risultati
- Il team si impegna con un partner Microsoft ben noto specializzato nella sicurezza cloud per discutere dei test di penetrazione.
- Il team del carico di lavoro firma una dichiarazione di lavoro per il servizio di test di penetrazione trimestrale, combinando un test white-box all'anno per garantire una maggiore attendibilità.
- Il team di consulenza aiuta anche il team di sviluppo a installare antimalware nelle caselle di sviluppo e negli agenti di compilazione self-hosted.
- Queste misure offrono al team del carico di lavoro e agli stakeholder un elevato grado di fiducia che saranno preparati per le minacce in continua evoluzione.
Ottenere l'attuale e rimanere aggiornati
Rimanere aggiornati sugli aggiornamenti, l'applicazione di patch e le correzioni di sicurezza. Valutare continuamente il sistema e migliorarlo in base a report di controllo, benchmarking e lezioni dalle attività di test. Prendere in considerazione l'automazione, in base alle esigenze. Usare l'intelligence sulle minacce basata sull'analisi della sicurezza per il rilevamento dinamico delle minacce. A intervalli regolari, esaminare la conformità del carico di lavoro alle procedure consigliate sdl (Security Development Lifecycle).
Adottando questo approccio, si sarà in grado di garantire che il comportamento di sicurezza non si degradi nel tempo. Integrando i risultati di attacchi e attività di test reali, sarà possibile combattere gli utenti malintenzionati che migliorano e sfruttano continuamente nuove categorie di vulnerabilità. L'automazione delle attività ripetitive riduce la probabilità di errore umano che può creare rischi.
Le revisioni SDL consentono di chiarire le funzionalità di sicurezza. SDL consente di gestire un inventario degli asset del carico di lavoro e dei relativi report di sicurezza, che riguardano l'origine, l'utilizzo, i punti deboli operativi e altri fattori.
Sfida di Contoso
- Gli sviluppatori responsabili della scrittura dei processi Apache Spark sono esitanti a introdurre modifiche e in genere accettano un approccio "se non è interrotto, non correggerlo" ai processi. Ciò significa che è probabile che i pacchetti Python e R inseriti nella soluzione non siano aggiornati nel tempo.
Applicazione dell'approccio e dei risultati
- Dopo che il team del carico di lavoro esamina i processi interni, si nota che esiste un rischio di componenti senza patch nel carico di lavoro se il processo per la gestione dei processi Spark non viene risolto.
- I team adottano un nuovo standard per i processi Apache che richiedono l'aggiornamento di tutte le tecnologie in uso insieme alle pianificazioni regolari di aggiornamenti e patch.
- Risolvendo questo divario nei controlli di sicurezza, è meno probabile che il carico di lavoro nel suo complesso sia a rischio di componenti senza patch. L'uso dei servizi PaaS e SaaS consente anche di limitare l'esposizione a questo rischio perché non devono applicare patch all'infrastruttura sottostante.