☁️ Cloudová infrastruktura má výhody, jako je flexibilita, škálovatelnost, vysoký výkon a cenová dostupnost.
Jakmile si předplatíte službu, jako je Google Cloud Platform (GCP), nemusíte se obávat vysokých kapitálových nákladů a nákladů na údržbu ekvivalentního interního datového centra a související infrastruktury. Tradiční on-premise bezpečnostní postupy však neposkytují dostatečné a rychlé zabezpečení pro virtuální prostředí.
Na rozdíl od on-premise datového centra, kde zabezpečení perimetru chrání celou instalaci a zdroje, povaha cloudového prostředí s různými technologiemi a umístěními vyžaduje jiný přístup. Decentralizovaná a dynamická povaha cloudového prostředí obvykle vede ke zvýšené ploše útoku.
Zejména nesprávná konfigurace na cloudových platformách a komponentách odhaluje aktiva a zároveň zvyšuje skrytá bezpečnostní rizika. Někdy mohou vývojáři otevřít úložiště dat při vývoji softwaru, ale poté jej nechat otevřené při uvolnění aplikace na trh.
Jako takové je kromě dodržování osvědčených bezpečnostních postupů potřeba zajistit správné konfigurace a zajistit nepřetržité monitorování, viditelnost a dodržování předpisů.
Naštěstí vám několik nástrojů pomáhá zlepšit zabezpečení tím, že zjišťuje a předchází nesprávným konfiguracím, poskytuje přehled o stavu zabezpečení GCP a také identifikuje a řeší další zranitelnosti.
Aktualizace: pro bezpečnostní skener AWS se podívejte na tento příspěvek.
Table of Contents
Google Cloud SCC
The Google Cloud SCC je integrovaný systém analýzy rizik a řídicích panelů, který umožňuje zákazníkům GCP porozumět jejich stavu zabezpečení a podniknout nápravná opatření k ochraně svých cloudových zdrojů a majetku z jediného skleněného panelu.
Cloud SCC (Security Command Center) poskytuje přehled o tom, jaká aktiva běží v cloudovém prostředí Google, a o rizikových nesprávných konfiguracích, což týmům umožňuje snížit jejich vystavení hrozbám. Komplexní nástroj pro správu bezpečnostních a datových rizik také pomáhá klientům GCP prosazovat osvědčené bezpečnostní postupy.
Základní velitelské centrum obsahuje několik bezpečnostních nástrojů od společnosti Google. Jedná se však o flexibilní platformu, která se integruje se širokou škálou nástrojů třetích stran pro zvýšení zabezpečení a zvýšení pokrytí komponent, rizik a postupů.
Funkce
- Zobrazení a řešení chybně nakonfigurovaných problémů, jako jsou brány firewall, pravidla IAM atd.
- Detekujte, reagujte a předcházejte hrozbám a problémům s dodržováním předpisů
- Identifikujte většinu zranitelností a rizik, jako je smíšený obsah, vkládání blesku a další, a zároveň vám umožní snadno prozkoumat výsledky.
- Identifikujte veřejně přístupná aktiva, jako jsou virtuální počítače, instance SQL, buckety, datové sady atd.
- zjišťování a inventarizace majetku, identifikace zranitelností, citlivých dat a anomálií,
- Integruje se s nástroji třetích stran pro zlepšení identifikace a řešení ohrožených koncových bodů, síťových útoků, DDoS, porušení zásad a dodržování předpisů, zranitelností zabezpečení instancí a hrozeb.
Obecně je řídicí centrum zabezpečení flexibilním řešením, které vyhovuje potřebám každé organizace. Tento nástroj se integruje s různými bezpečnostními nástroji Google, jako je Cloud Data Loss Prevention a Web Security Scanner, a také s bezpečnostními řešeními třetích stran, jako jsou McAfee, Qualys, CloudGuard a další.
Forseti
Forseti je open-source, který vám pomáhá zviditelnit vaše prostředí GCP, řešit zranitelná místa a také sledovat a porozumět zásadám a dodržování předpisů. Skládá se z různých základních modulů, které můžete snadno povolit, nakonfigurovat a spustit nezávisle.
Existuje také několik přídavných modulů pro rozšíření možností a přizpůsobení Forseti.
Funkce
- Sledujte své zdroje GCP, abyste zajistili, že bezpečnostní funkce, jako je řízení přístupu, jsou na místě a chráněny proti neoprávněným úpravám.
- Udělejte si inventuru zdrojů a sledujte své prostředí GCP.
- Pochopte a vynucujte zásady a pravidla zabezpečení a brány firewall
- Vyhodnoťte nastavení a ujistěte se, že jsou v souladu, a nevystavujte žádné nebo své zdroje GCP.
- Získejte viditelný přehled o svých zásadách Cloud Identity and Access Management (Cloud IAM) a ukažte, jaký přístup mají uživatelé ke zdrojům.
- Má vizualizér, který vám pomůže porozumět vaší bezpečnostní struktuře GCP a také identifikovat dodržování zásad a jejich porušování.
CloudGuard
CloudGuard je cloudové nativní bezpečnostní řešení bez agentů, které posuzuje a vizualizuje stav zabezpečení platformy GPC, a umožňuje tak týmům chránit jejich cloudová aktiva a prostředí. Řešení analyzuje různá aktiva, včetně výpočetního jádra, databází, virtuálních strojů a dalších služeb, stejně jako síťových firewallů a dalších.
Funkce
- Zajistěte nepřetržité monitorování bezpečnostních politik a událostí, zjistěte změny a kontrolujte shodu.
- Identifikujte a řešte nesprávné konfigurace a také zranitelná místa a související bezpečnostní rizika.
- Posilte zabezpečení a zajistěte dodržování předpisů a osvědčené postupy.
- Výkonné vizualizace a bezpečnostní pozice aktiv sítě GCP
- Bezproblémově se integruje s GCP a dalšími veřejnými cloudy, jako jsou webové služby Amazon a Microsoft Azure.
- Prosazování zásad správy, které vyhovují jedinečným potřebám zabezpečení organizace.
Cloudsploit
Cloudsploit je výkonné řešení, které kontroluje a automaticky zjišťuje problémy s konfigurací zabezpečení v Google Cloud Platform a také v dalších veřejných cloudových službách, jako jsou Azure, AWS, Github a Oracle.
Bezpečnostní řešení navazuje na projekty GCP, kde zajišťuje monitorování jednotlivých komponent. Poskytuje detekci chybných konfigurací zabezpečení, škodlivých aktivit, odhalených aktiv a dalších zranitelností.
Funkce
- Snadné nasazení a použití řešení pro monitorování konfigurace zabezpečení s funkcí upozornění
- Rychlé a spolehlivé komplexní skenování a hlášení
- Poskytuje přehled o stavu zabezpečení a dodržování předpisů
- Kontroluje systémy a analyzuje oprávnění, role, sítě, certifikáty, trendy využití, ověřování a různé konfigurace.
- Poskytuje přehledy na úrovni účtu, které vám umožňují vidět a snadno identifikovat trendy a relativní úrovně rizika v průběhu času.
- Návrh založený na rozhraní API, který usnadňuje integraci nástroje s různými řídicími panely CISO a dalšími systémy hlášení.
Prisma Cloud
Prisma mrak je integrované, nativní cloudové řešení pro zajištění správné implementace a údržby zabezpečení a souladu prostředí, aplikací a zdrojů GCP.
Komplexní nástroj má rozhraní API, která se hladce integrují se službou GCP, aby kromě vymáhání souladu poskytovala nepřetržité statistiky, ochranu a vytváření sestav.
Funkce
- Komplexní, škálovatelné bezpečnostní řešení založené na API, které poskytuje přehled, nepřetržité monitorování, detekci hrozeb a reakci.
- Kompletní přehled, který vám umožní identifikovat a řešit nesprávné konfigurace, zranitelnosti pracovního zatížení, síťové hrozby, únik dat, nezabezpečenou aktivitu uživatelů a další
- Chrání pracovní zatížení, kontejnery a aplikace běžící na platformě Google Cloud Platform.
- Vlastní prosazování zásad zabezpečení na základě aplikací, uživatelů nebo zařízení.
- Snadno prosazujte zásady správy a řízení a soulad s širokou škálou standardů včetně, ale pouze, NIST, CIS, GDPR, HIPAA a PCI.
Správce mraků
Správce mraků je open source, flexibilní a odlehčený modul pravidel pro cloudové zabezpečení a správu. Toto řešení vám umožňuje bezpečnou správu účtů a zdrojů GCP. Kromě zabezpečení pomáhá integrované řešení optimalizovat náklady řízením využití zdrojů, což vám umožňuje ušetřit peníze.
Funkce
- Prosazování bezpečnostních zásad a dodržování předpisů v reálném čase při správě přístupu, pravidlech brány firewall, šifrování, štítcích, sběru odpadu, automatizované správě zdrojů mimo pracovní dobu atd.
- Poskytuje jednotné metriky a přehledy
- Bezproblémová integrace s funkcemi Google Cloud Platform
- Automaticky poskytovat GCP AuditLog a další funkce bez serveru.
McAfee MVISION
The McAfee MVISION je bezpečnostní řešení, které se integruje se službou Google Cloud SCC, aby týmům poskytlo přehled o stavu zabezpečení jejich zdrojů GCP a odhalilo a řešilo zranitelná místa a hrozby.
Cloudové nativní řešení také poskytuje konfigurační audity, které bezpečnostním týmům umožňují identifikovat a řešit skrytá rizika. Má cloudové nástroje zásad, které vylepšují dotazy GCP, a proto mají schopnost najít různé nesprávné konfigurace zabezpečení v různých službách GCP.
Funkce
- Poskytuje přehledy, které pomáhají týmům identifikovat a řešit problémy se zabezpečením a dodržováním předpisů.
- Vylepšuje a komplexní audit konfigurací k nalezení skrytých zranitelností, což týmům umožňuje prosazovat osvědčené postupy.
- Poskytuje přehled, který umožňuje týmům vyšetřovat bezpečnostní incidenty, anomálie, porušení a hrozby, což umožňuje rychlé nápravné akce v řídicím centru zabezpečení cloudu.
- Upozornění na bezpečnostní hrozby nebo porušení zásad.
- Vizualizujte zranitelná místa a hrozby na řídicích panelech Google Cloud SCC.
Netskope
Netskope umožňuje rychle identifikovat a řešit bezpečnostní problémy, hrozby a nesprávné konfigurace, které vystavují vaše digitální aktiva hrozbám a útokům.
Kromě doplňování GSCC při ochraně výpočetních instancí, objektových úložišť, databází a dalších aktiv jde Netskope hlouběji a rozsáhleji, aby poskytl vhled do chybné konfigurace, pokročilých hrozeb a rizik.
Funkce
- Získejte cenný přehled o hrozbách, zranitelnostech, nesprávných konfiguracích a dodržování předpisů na vaší cloudové platformě Google v reálném čase.
- Identifikujte a řešte všechna zranitelná místa, nesprávné konfigurace, dodržování předpisů a bezpečnostní rizika.
- Nepřetržitě sledujte konfiguraci zabezpečení a porovnejte je s osvědčenými postupy. Identifikujte problémy a prosazujte standardy na základě osvědčených postupů a benchmarků CIS.
- Hlášení souladu – provádí inventarizaci vašich zdrojů GCP za účelem zjištění a hlášení nesprávných konfigurací a anomálií.
Tripwire
Tripwire Cloud Cybersecurity je komplexní řešení, které umožňuje organizacím implementovat efektivní bezpečnostní konfigurace a kontroly, a tím zabránit odhalení jejich digitálních aktiv. Kombinuje správu konfigurace, nástroj pro hodnocení správy cloudu (CMA) a možnosti monitorování integrity souborů k identifikaci veřejně vystavených zdrojů a dat na GCP.
Klíčové vlastnosti
- Objevte a řešte veřejně vystavené úložiště GCP nebo instance, abyste zajistili správnou konfiguraci a zabezpečení dat.
- Shromažďuje, analyzuje a poté hodnotí data konfigurace GCP, což vám umožňuje identifikovat a řešit nesprávné konfigurace.
- Sledujte změny konfigurace, které ohrožují cloud GCP nebo odhalují aktiva
- Hodnotitel správy cloudu Tripwire monitoruje chybnou konfiguraci platformy Google Cloud Platform, načež upozorní bezpečnostní týmy na nápravu.
Scout Suite
The Scout Suite je open-source nástroj pro bezpečnostní audit pro GCP a další veřejné cloudy. Umožňuje bezpečnostním týmům posoudit stav zabezpečení jejich prostředí GCP a identifikovat nesprávnou konfiguraci a další zranitelnosti.
Nástroj pro kontrolu konfigurace Scout Suite snadno spolupracuje s rozhraními API, která společnost Google poskytuje, aby shromažďovala a analyzovala data o stavu zabezpečení. Poté zvýrazní všechny zranitelnosti, které identifikuje.
Aqua Security
Aqua Security je platforma, která organizacím poskytuje viditelný přehled o GCP a dalších AWS, Oracle Cloud, Azure. Pomáhá zjednodušit a prosadit zásady a dodržování předpisů.
Aqua se integruje s Cloud Security Command Center společnosti Google, dalšími řešeními třetích stran a analytickými a monitorovacími nástroji. To vám umožní prohlížet a spravovat vaše zabezpečení, zásady a dodržování předpisů z jednoho místa.
Funkce
- Skenujte, identifikujte a řešte nesprávnou konfiguraci, malware a zranitelná místa na obrázcích
- Posilujte integritu obrazů během celého životního cyklu aplikace
- Definujte a prosazujte privilegia a standardy dodržování předpisů, jako jsou PCI, GDPR, HIPAA atd.
- Poskytuje vylepšenou detekci hrozeb a opatření ke zmírnění pro úlohy kontejneru GCP.
- Vytvářejte a prosazujte zásady zabezpečení obrazu, abyste zabránili spouštění ohrožených, zranitelných nebo špatně nakonfigurovaných obrazů ve vašem prostředí Google Kubernetes Engine
- Pomáhá vám vytvořit auditní stopu pro forenzní a soulad s předpisy.
- Poskytuje nepřetržité skenování nastavení za účelem nalezení zranitelností a anomálií.
GCPBucketBrute
The GCPBucketBrute je přizpůsobitelné a efektivní řešení zabezpečení s otevřeným zdrojovým kódem pro detekci otevřených nebo nesprávně nakonfigurovaných segmentů úložiště Google. Obecně se jedná o skript, který vytvoří výčet segmentů úložiště Google, aby zjistil, zda dochází k nezabezpečené konfiguraci a eskalaci oprávnění.
Funkce
- Objevte otevřené segmenty GCP a riskantní eskalace oprávnění v cloudových instancích na platformě.
- Zkontrolujte oprávnění v každém zjištěném segmentu a zjistěte, zda jsou zranitelné vůči eskalaci oprávnění.
- Vhodné pro cloudové penetrační testy Google, zapojení červeného týmu a další.
Cloud Security Suite
Zabezpečení FTW Cloud Security Suite je dalším otevřeným zdrojem pro auditování bezpečnostní pozice infrastruktury GCP. Řešení all-in-one vám pomůže auditovat konfigurace a zabezpečení účtů GCP a dokáže identifikovat širokou škálu zranitelností.
Závěr
Google Cloud Platform poskytuje flexibilní a vysoce škálovatelnou IT infrastrukturu. Stejně jako ostatní cloudová prostředí však může mít chyby zabezpečení, pokud není správně nakonfigurováno. Zlí herci mohou zneužít ke kompromitaci systémů, krádeži dat, infikování malwarem nebo k jiným kybernetickým útokům.
Naštěstí mohou podniky zabezpečit svá prostředí GCP dodržováním správných bezpečnostních postupů a používáním spolehlivých nástrojů k ochraně, nepřetržitému monitorování a poskytování přehledu o konfiguracích a celkovém stavu zabezpečení.