Condividi tramite

Controllo della sicurezza: comportamento e gestione delle vulnerabilità

La gestione del comportamento e della vulnerabilità è incentrata sui controlli per la valutazione e il miglioramento del comportamento di sicurezza del cloud, tra cui l'analisi delle vulnerabilità, i test di penetrazione e la correzione, nonché il rilevamento della configurazione della sicurezza, la creazione di report e la correzione nelle risorse cloud.

PV-1: Definire e stabilire le configurazioni sicure

ID dei controlli CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
4.1, 4.2 CM-2, CM-6 1.1

Principio di sicurezza: definire le baseline di configurazione della sicurezza per diversi tipi di risorse nel cloud. In alternativa, usare gli strumenti di gestione della configurazione per stabilire automaticamente la linea di base di configurazione prima o durante la distribuzione delle risorse in modo che l'ambiente possa essere conforme per impostazione predefinita dopo la distribuzione.

Linee guida di Azure: usare Microsoft Cloud Security Benchmark e la baseline del servizio per definire la baseline di configurazione per ogni rispettiva offerta o servizio di Azure. Fare riferimento all'architettura di riferimento di Azure e all'architettura della zona di destinazione di Cloud Adoption Framework per comprendere i controlli e le configurazioni di sicurezza critici che potrebbero essere necessari tra le risorse di Azure.

Usare la zona di riferimento di Azure (e Blueprint) per accelerare la distribuzione del carico di lavoro configurando servizi e ambienti applicativi, inclusi i modelli di Azure Resource Manager, i controlli di gestione degli accessi in base al ruolo di Azure e le Policy di Azure.

Implementazione di Azure e contesto aggiuntivo:

Indicazioni su AWS: usare le linee guida di Microsoft Cloud Security Benchmark - multi-cloud per AWS e altri input per definire la baseline di configurazione per ogni rispettiva offerta o servizio AWS. Fare riferimento al pilastro della sicurezza e ad altri pilastri di AWS Well-Architectured Framework per comprendere i controlli e le configurazioni di sicurezza critici che potrebbero essere necessari tra le risorse AWS.

Usare i modelli di AWS CloudFormation e le regole di configurazione AWS nella definizione della zona di destinazione AWS per automatizzare la distribuzione e la configurazione di servizi e ambienti applicazione.

Implementazione di AWS e contesto aggiuntivo:

Linee guida per GCP: Utilizzare il Microsoft Cloud Security Benchmark – indicazioni multi-cloud per GCP e altri fattori per definire la configurazione di base per ogni rispettiva offerta o servizio GCP. Fare riferimento ai concetti fondamentali delle distribuzioni di Google Cloud e alla progettazione della zona di destinazione.

Usare i moduli dei progetti Terraform per Google Cloud e usare Google Cloud Deployment Manager nativo per automatizzare la distribuzione e la configurazione di servizi e ambienti applicazione.

Implementazione di GCP e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (Altre informazioni):

PV-2: Controllare e applicare configurazioni sicure

ID dei controlli CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
4.1, 4.2 CM-2, CM-6 2.2

Principio di sicurezza: monitorare e avvisare continuamente quando si verifica una deviazione dalla linea di base di configurazione definita. Applicare la configurazione desiderata in base alla configurazione di base negando la configurazione non conforme o distribuendo una configurazione.

Indicazioni su Azure: usare Microsoft Defender for Cloud per configurare Criteri di Azure per controllare e applicare le configurazioni delle risorse di Azure. Usare Monitoraggio di Azure per creare avvisi quando viene rilevata una deviazione di configurazione nelle risorse.

Usare le regole di Criteri di Azure [nega] e [distribuisci se non esiste] per imporre una configurazione sicura su tutte le risorse di Azure.

Per l'audit e la conformità delle configurazioni delle risorse non supportati da Criteri di Azure, potrebbe essere necessario scrivere script personalizzati o utilizzare strumenti di terze parti per implementare l'audit e la conformità delle configurazioni.

Implementazione di Azure e contesto aggiuntivo:

Indicazioni su AWS: usare le regole di configurazione di AWS per controllare le configurazioni delle risorse AWS. È anche possibile scegliere di risolvere la deriva della configurazione usando l'automazione di AWS Systems Manager associata alla regola di configurazione DI AWS. Usare Amazon CloudWatch per creare avvisi quando viene rilevata una deviazione di configurazione nelle risorse.

Per il controllo e l'imposizione della configurazione delle risorse non supportata da AWS Config, potrebbe essere necessario scrivere script personalizzati o usare strumenti di terze parti per implementare il controllo e l'imposizione della configurazione.

È anche possibile monitorare centralmente la deviazione della configurazione eseguendo l'onboarding dell'account AWS in Microsoft Defender for Cloud.

Implementazione di AWS e contesto aggiuntivo:

Indicazioni per GCP: usare Il Centro comandi di Google Cloud Security per configurare GCP. Usare Google Cloud Monitoring in Operations Suite per creare avvisi quando viene rilevata una deviazione della configurazione nelle risorse.

Per gestire le organizzazioni, usare Criteri organizzativi per centralizzare e controllare a livello di codice le risorse cloud dell'organizzazione. L'amministratore dei criteri dell'organizzazione potrà configurare i vincoli nell'intera gerarchia di risorse.

Per la verifica della configurazione delle risorse e la relativa applicazione, non supportate dai criteri dell'organizzazione, potrebbe essere necessario scrivere script personalizzati o utilizzare strumenti di terze parti per implementare la verifica e l'applicazione della configurazione.

Implementazione di GCP e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (Altre informazioni):

PV-3: Definire e stabilire configurazioni sicure per le risorse di calcolo

ID dei controlli CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
4.1 CM-2, CM-6 2.2

Principio di sicurezza: definire le linee di base di configurazione sicure per le risorse di calcolo, ad esempio macchine virtuali e contenitori. Usare gli strumenti di gestione della configurazione per stabilire automaticamente la linea di base di configurazione prima o durante la distribuzione delle risorse di calcolo in modo che l'ambiente possa essere conforme per impostazione predefinita dopo la distribuzione. In alternativa, usare un'immagine preconfigurata per integrare la baseline di configurazione desiderata nel template dell'immagine della risorsa di calcolo.

Linee guida di Azure: usare le baseline di sicurezza del sistema operativo consigliate di Azure (per Windows e Linux) come benchmark per definire la baseline di configurazione delle risorse di calcolo.

È anche possibile usare un'immagine di macchina virtuale personalizzata (usando Azure Image Builder) o un'immagine contenitore con la Configurazione di Macchine Automanage di Azure (in precedenza denominata Configurazione Guest di Criteri di Azure) e la Configurazione dello Stato di Automazione di Azure per stabilire la configurazione di sicurezza desiderata.

Implementazione di Azure e contesto aggiuntivo:

Indicazioni su AWS: usare EC2 AWS Machine Images (AMI) da origini attendibili nel marketplace come benchmark per definire la baseline di configurazione EC2.

Inoltre, è possibile usare EC2 Image Builder per creare un modello AMI personalizzato con un agente di Systems Manager per stabilire la configurazione di sicurezza desiderata. Nota: l'agente di AWS Systems Manager è preinstallato in alcune immagini di Amazon Machine (AMI) fornite da AWS.

Per le applicazioni del carico di lavoro in esecuzione all'interno delle istanze EC2, dell'ambiente AWS Lambda o dei contenitori, è possibile usare AWS System Manager AppConfig per stabilire la baseline di configurazione desiderata.

Implementazione di AWS e contesto aggiuntivo:

Indicazioni per GCP: usare le baseline di sicurezza consigliate del sistema operativo di Google Cloud (sia per Windows che Linux) come benchmark per definire la baseline di configurazione delle risorse di calcolo.

È anche possibile usare un'immagine di macchina virtuale personalizzata usando Packer Image Builder o un'immagine del contenitore con l'immagine del contenitore google Cloud Build per stabilire la linea di base di configurazione desiderata.

Implementazione di GCP e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (Altre informazioni):

PV-4: Controllare e applicare configurazioni sicure per le risorse di calcolo

ID dei controlli CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
4.1 CM-2, CM-6 2.2

Principio di sicurezza: monitorare e avvisare continuamente quando si verifica una deviazione dalla baseline di configurazione definita nelle risorse di calcolo. Applicare la configurazione desiderata in base alla configurazione di base negando la configurazione non conforme o distribuendo una configurazione nelle risorse di calcolo.

Linee guida di Azure: usare Microsoft Defender per il Cloud e Configurazione Automatica di Azure (in precedenza denominata Configurazione dei Guest di Azure Policy) per valutare e correggere regolarmente le deviazioni di configurazione nelle risorse di calcolo di Azure, incluse macchine virtuali, container, e altri. È anche possibile usare modelli di Azure Resource Manager, immagini personalizzate del sistema operativo o State Configuration di Automazione di Azure per mantenere la configurazione di sicurezza del sistema operativo. I modelli di macchina virtuale Microsoft insieme a State Configuration di Automazione di Azure consentono di soddisfare e gestire i requisiti di sicurezza. Usare Rilevamento modifiche e inventario in Automazione di Azure per tenere traccia delle modifiche nelle macchine virtuali ospitate in Azure, in locale e in altri ambienti cloud per individuare i problemi operativi e ambientali con il software gestito da Distribution Package Manager. Installare l'agente di attestazione guest nelle macchine virtuali per monitorare l'integrità dell'avvio nelle macchine virtuali riservate.

Nota: le immagini delle macchine virtuali di Azure Marketplace pubblicate da Microsoft vengono gestite e mantenute da Microsoft.

Implementazione di Azure e contesto aggiuntivo:

Indicazioni su AWS: usare la funzionalità State Manager di AWS System Manager per valutare e correggere regolarmente le deviazioni di configurazione nelle istanze EC2. Inoltre, è possibile usare modelli CloudFormation, immagini personalizzate del sistema operativo per mantenere la configurazione di sicurezza del sistema operativo. I modelli AMI in combinazione con Systems Manager possono aiutare a soddisfare e gestire i requisiti di sicurezza.

È anche possibile monitorare e gestire centralmente la deviazione della configurazione del sistema operativo tramite State Configuration di Automazione di Azure ed eseguire l'onboarding delle risorse applicabili alla governance della sicurezza di Azure usando i metodi seguenti:

  • Eseguire l'onboarding dell'account AWS in Microsoft Defender for Cloud
  • Usare Azure Arc per i server per connettere le istanze EC2 a Microsoft Defender for Cloud

Per le applicazioni del carico di lavoro in esecuzione all'interno delle istanze EC2, dell'ambiente AWS Lambda o dei contenitori, è possibile usare AWS System Manager AppConfig per controllare e applicare la baseline di configurazione desiderata.

Nota: le AMIs pubblicate da Amazon Web Services in AWS Marketplace vengono gestite e mantenute da Amazon Web Services.

Implementazione di AWS e contesto aggiuntivo:

Indicazioni per GCP: usare Vm Manager e Google Cloud Security Command Center per valutare e correggere regolarmente la deviazione della configurazione delle istanze, dei contenitori e dei contratti serverless del motore di calcolo. È anche possibile usare modelli di MACCHINA virtuale di Deployment Manager, immagini personalizzate del sistema operativo per mantenere la configurazione di sicurezza del sistema operativo. I modelli di VM di Deployment Manager, insieme alla Gestione delle macchine virtuali, possono aiutare a soddisfare e mantenere i requisiti di sicurezza.

È anche possibile monitorare e gestire centralmente la deviazione della configurazione del sistema operativo tramite State Configuration di Automazione di Azure ed eseguire l'onboarding delle risorse applicabili alla governance della sicurezza di Azure usando i metodi seguenti:

  • Eseguire l'onboarding del progetto GCP in Microsoft Defender for Cloud
  • Usare Azure Arc per i server per connettere le istanze di vm GCP a Microsoft Defender for Cloud

Implementazione di GCP e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (Altre informazioni):

PV-5: Eseguire valutazioni delle vulnerabilità

ID dei controlli CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
5.5, 7.1, 7.5, 7.6 RA-3, RA-5 6.1, 6.2, 6.6

Principio di sicurezza: eseguire la valutazione delle vulnerabilità per le risorse cloud a tutti i livelli in una pianificazione fissa o su richiesta. Tenere traccia e confrontare i risultati dell'analisi per verificare che le vulnerabilità siano corrette. La valutazione deve includere tutti i tipi di vulnerabilità, ad esempio vulnerabilità nei servizi di Azure, nella rete, nel Web, nei sistemi operativi, nelle configurazioni errate e così via.

Tenere presenti i potenziali rischi associati all'accesso con privilegi usati dagli scanner di vulnerabilità. Seguire la procedura consigliata per la sicurezza degli accessi con privilegi per proteggere gli account amministrativi usati per l'analisi.

Indicazioni su Azure: seguire le raccomandazioni di Microsoft Defender for Cloud per eseguire valutazioni delle vulnerabilità nelle macchine virtuali di Azure, nelle immagini dei contenitori e nei server SQL. Microsoft Defender for Cloud ha uno scanner di vulnerabilità predefinito per le macchine virtuali. Usare una soluzione di terze parti per eseguire valutazioni delle vulnerabilità su dispositivi e applicazioni di rete (ad esempio, applicazioni Web)

Esportare i risultati dell'analisi a intervalli coerenti e confrontare i risultati con le analisi precedenti per verificare che le vulnerabilità siano state corrette. Quando si usano le raccomandazioni di gestione delle vulnerabilità suggerite da Microsoft Defender for Cloud, è possibile passare al portale della soluzione di analisi selezionata per visualizzare i dati cronologici di analisi.

Quando si eseguono analisi remote, non usare un singolo account amministrativo perpetuo e perpetuo. Valutare la possibilità di implementare la metodologia di provisioning JIT (Just In Time) per l'account di analisi. Le credenziali per l'account di analisi devono essere protette, monitorate e usate solo per l'analisi delle vulnerabilità.

Nota: i servizi di Microsoft Defender (inclusi Defender per server, contenitori, servizio app, database e DNS) incorporano determinate funzionalità di valutazione delle vulnerabilità. Gli avvisi generati dai servizi di Azure Defender devono essere monitorati ed esaminati insieme al risultato dello strumento di analisi delle vulnerabilità di Microsoft Defender for Cloud.

Nota: assicurarsi di configurare le notifiche tramite posta elettronica in Microsoft Defender for Cloud.

Implementazione di Azure e contesto aggiuntivo:

Indicazioni su AWS: usare Amazon Inspector per analizzare le istanze di Amazon EC2 e le immagini del contenitore che risiedono in Amazon Elastic Container Registry (Amazon ECR) per individuare vulnerabilità software ed esposizione di rete imprevista. Usare una soluzione di terze parti per eseguire valutazioni delle vulnerabilità su dispositivi e applicazioni di rete (ad esempio, applicazioni Web)

Fare riferimento al controllo ES-1, "Use Endpoint Detection and Response (EDR)", per eseguire l'onboarding dell'account AWS in Microsoft Defender for Cloud e distribuire Microsoft Defender per i server (con Microsoft Defender per endpoint integrato) nelle istanze ec2. Microsoft Defender per server offre una funzionalità nativa di gestione delle minacce e delle vulnerabilità per le macchine virtuali. Il risultato dell'analisi delle vulnerabilità verrà consolidato nel dashboard di Microsoft Defender for Cloud.

Tenere traccia dello stato dei risultati della vulnerabilità per assicurarsi che vengano corretti correttamente o eliminati se sono considerati falsi positivi.

Quando si eseguono analisi remote, non usare un singolo account amministrativo perpetuo e perpetuo. Valutare la possibilità di implementare una metodologia di provisioning temporanea per l'account di analisi. Le credenziali per l'account di analisi devono essere protette, monitorate e usate solo per l'analisi delle vulnerabilità.

Implementazione di AWS e contesto aggiuntivo:

Indicazioni per GCP: seguire le raccomandazioni di Microsoft Defender for Cloud o/e Google Cloud Security Command Center per eseguire valutazioni delle vulnerabilità nelle istanze del motore di calcolo. Il Centro comandi di sicurezza include valutazioni delle vulnerabilità predefinite su dispositivi e applicazioni di rete (ad esempio, Web Security Scanner)

Esportare i risultati dell'analisi a intervalli coerenti e confrontare i risultati con le analisi precedenti per verificare che le vulnerabilità siano state corrette. Quando si usano le raccomandazioni di gestione delle vulnerabilità suggerite dal Centro comandi di sicurezza, è possibile passare al portale della soluzione di analisi selezionata per visualizzare i dati cronologici di analisi.

Implementazione di GCP e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (Altre informazioni):

PV-6: correggere rapidamente e automaticamente le vulnerabilità

ID dei controlli CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
7.2, 7.3, 7.4, 7.7 RA-3, RA-5, SI-2: CORREZIONE DEI DIFETTI 6.1, 6.2, 6.5, 11.2

Principio di sicurezza: distribuire rapidamente e automaticamente patch e aggiornamenti per correggere le vulnerabilità nelle risorse cloud. Usare l'approccio appropriato basato sul rischio per classificare in ordine di priorità la correzione delle vulnerabilità. Ad esempio, le vulnerabilità più gravi in un asset con valore più elevato devono essere risolte come priorità più alta.

Indicazioni su Azure: usare Gestione aggiornamenti di Automazione di Azure o una soluzione di terze parti per assicurarsi che gli aggiornamenti della sicurezza più recenti siano installati nelle macchine virtuali Windows e Linux. Per le macchine virtuali Windows, verificare che Windows Update sia stato abilitato e impostato per l'aggiornamento automatico.

Per il software di terze parti, usare una soluzione di gestione delle patch di terze parti o Microsoft System Center Updates Publisher per Configuration Manager.

Implementazione di Azure e contesto aggiuntivo:

Indicazioni su AWS: usare AWS Systems Manager - Patch Manager per assicurarsi che gli aggiornamenti della sicurezza più recenti siano installati nei sistemi operativi e nelle applicazioni. Patch Manager supporta le linee di base delle patch per consentire di definire un elenco di patch approvate e rifiutate per i sistemi.

È anche possibile usare Gestione aggiornamenti di Automazione di Azure per gestire centralmente le patch e gli aggiornamenti delle istanze di AWS EC2 Windows e Linux.

Per il software di terze parti, usare una soluzione di gestione delle patch di terze parti o Microsoft System Center Updates Publisher per Configuration Manager.

Implementazione di AWS e contesto aggiuntivo:

Indicazioni per GCP: usare la gestione delle patch del sistema operativo di Google Cloud VM Manager o una soluzione di terze parti per assicurarsi che gli aggiornamenti della sicurezza più recenti siano installati nella macchina virtuale Windows e Linux. Per la macchina virtuale Windows, assicurarsi che Windows Update sia stato abilitato e impostato per l'aggiornamento automatico.

Per il software di terze parti, usare una soluzione di gestione delle patch di terze parti o Microsoft System Center Updates Publisher per la gestione della configurazione.

Implementazione di GCP e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (Altre informazioni):

PV-7: Condurre normali operazioni del team rosso

ID dei controlli CIS v8 NIST SP 800-53 r4 ID ID PCI-DSS v3.2.1
18.1, 18.2, 18.3, 18.4, 18.5 CA-8, RA-5 6.6, 11.2, 11.3

Principio di sicurezza: simulare attacchi reali per offrire una visualizzazione più completa della vulnerabilità dell'organizzazione. Le operazioni del red team e i test di penetrazione completano l'approccio tradizionale di analisi delle vulnerabilità per individuare i rischi.

Seguire le procedure consigliate del settore per progettare, preparare ed eseguire questo tipo di test per assicurarsi che non causi danni o interruzioni nell'ambiente. Questo deve includere sempre la discussione sull'ambito di test e sui vincoli con gli stakeholder e i proprietari delle risorse pertinenti.

Linee guida di Azure: se necessario, eseguire test di penetrazione o attività red team sulle risorse di Azure e garantire la correzione di tutti i risultati critici della sicurezza.

Seguire le regole di coinvolgimento dei test di penetrazione microsoft cloud per assicurarsi che i test di penetrazione non siano in violazione dei criteri Microsoft. Usa la strategia e l'esecuzione di Red Teaming e test di penetrazione su siti operativi in tempo reale per l'infrastruttura, i servizi e le applicazioni cloud gestiti da Microsoft.

Implementazione di Azure e contesto aggiuntivo:

Indicazioni su AWS: in base alle esigenze, eseguire test di penetrazione o attività red team sulle risorse AWS e garantire la correzione di tutti i risultati critici della sicurezza.

Seguire i criteri di supporto tecnico AWS per i test di penetrazione per assicurarsi che i test di penetrazione non siano in violazione dei criteri AWS.

Implementazione di AWS e contesto aggiuntivo:

Linee guida GCP: come richiesto, eseguire test di penetrazione o attività red team sulla risorsa GCP e garantire la correzione di tutti i risultati critici della sicurezza.

Seguire i criteri di supporto tecnico GCP per i test di penetrazione per assicurarsi che i test di penetrazione non siano in violazione dei criteri GCP.

Implementazione di GCP e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (Altre informazioni):