0
0
Provedores de serviços em nuvem (CSPs) mudaram a maneira como organizações de todos os tamanhos arquitetam e implantam seus ambientes de TI. Os CSPs agora possibilitam que as organizações implementem rapidamente novas tecnologias com maiores níveis de facilidade e escalabilidade.
Como em qualquer nova oportunidade, aproveitar a tecnologia em nuvem também introduz novas formas de risco. Os padrões do setor fornecem orientação às organizações para criar políticas e planos e gerenciar seus ambientes de nuvem. Organizações que não usam padrões do setor para endurecer seus ambientes se deixam abertas a ataques cibernéticos e configurações incorretas.
Os ambientes em nuvem evoluem e mudam, e os CSPs estão constantemente adicionando novos serviços funcionais que vêm com ferramentas exclusivas de configuração e segurança para gerenciá-los. No entanto, as organizações não podem depender apenas do CSP para segurança.
Uma das maneiras mais eficazes de as organizações protegerem suas contas de nuvem pública é usar os Benchmarks CIS Foundations. Saiba mais sobre eles e novos recursos de segurança de produtos e serviços em nuvem do Center for Internet Security (CIS).
Visão geral dos Benchmarks CIS Foundations
Os Benchmarks da CIS Foundations fazem parte da família de padrões de segurança cibernética gerenciados pela CIS. Os benchmarks CIS são diretrizes de configuração segura baseadas em consenso e independentes do fornecedor para os sistemas e tecnologias mais usados.
Existem mais de 100 PDFs gratuitos da CIS Benchmarks cobrindo mais de 25 famílias de produtos de fornecedores, como sistemas operacionais, servidores, provedores de nuvem, dispositivos móveis, software de desktop e dispositivos de rede. Os Benchmarks CIS Foundations fornecem orientação para ambientes de nuvem pública no nível da conta.
Os Benchmarks da CIS Foundations cobrem:
- Amazon Web Services
- Microsoft Azure
- Plataforma de Computação em Nuvem do Google
- Oracle Cloud Infrastructure
- IBM Cloud
- Nuvem Alibaba
Os Benchmarks CIS são guias de configuração de segurança baseados em consenso e melhores práticas, desenvolvidos e aceitos pelo governo, empresas, indústria e academia. Os Benchmarks CIS Foundations destinam-se a administradores de sistemas e aplicativos, especialistas em segurança, auditores, help desk, implantação de plataformas e/ou pessoal de DevOps que planejam desenvolver, implantar, avaliar ou proteger soluções na nuvem. Eles estão disponíveis sem nenhum custo para download em formato PDF.
Como funcionam os Benchmarks CIS Foundations
Embora todos os Benchmarks CIS Foundations sejam adaptados aos seus respectivos CSPs, todo o conteúdo do documento tem características comuns e é organizado com uma estrutura semelhante. No mínimo, eles fornecem orientações prescritivas específicas para Gerenciamento de Identidade e Acesso (IAM), registro e monitoramento e rede.
Tome o IAM como exemplo. Em todos os Benchmarks CIS Foundations, há pelo menos uma recomendação sobre autenticação multifatorial (MFA). As recomendações de configuração variam entre as plataformas, mas a intenção é a mesma. Em cada recomendação da CIS Foundations Benchmark, você encontrará as seguintes seções:
- Aplicabilidade do perfil – Identifica se a recomendação está relacionada a um perfil de Nível 1 (segurança padrão) ou Nível 2 (segurança superior)
- Descrição – Uma explicação fácil de entender da recomendação e por que ela é importante
- Auditoria – Uma descrição detalhada de como avaliar o status da recomendação em sua configuração atual
- Remediação – Orientação passo a passo sobre como implementar com sucesso a recomendação
- Referências – Links para documentação de apoio
- Informações adicionais – Explicação adicional, se necessário
- Controles CIS – Mapeia a recomendação para um Controle CIS específico
Embora as recomendações sejam específicas para os serviços e ferramentas de cada plataforma, os usuários podem confiar que todos os Benchmarks CIS Foundations forneçam orientação prescritiva para proteger elementos em nível de conta de plataformas de nuvem pública.
Recursos compartilhados de responsabilidade de segurança na nuvem
Os CIS Foundations Benchmarks fazem parte de um portfólio de recursos reconhecidos globalmente fornecidos pela CIS para ajudar as organizações a proteger suas operações em ambientes de nuvem pública. Além disso, o CIS Controls Cloud Companion Guide pode ajudar os clientes de CSP a cumprir sua parte do modelo de responsabilidade de segurança compartilhada na nuvem:
- O Modelo de Responsabilidade Compartilhada descreve as responsabilidades compartilhadas entre o provedor de nuvem, os usuários e a organização de TI. Em vez de deixar a responsabilidade e a confiança apenas nas mãos do CSP, o modelo descreve quais ações de segurança uma organização é responsável e quais ações de segurança o CSP deve gerenciar.
- O CIS Controls Cloud Companion Guide fornece orientações sobre como aplicar as melhores práticas de segurança encontradas nos CIS Controls aos quatro principais ambientes de nuvem “como serviço”. Etapas adicionais necessárias em qualquer ambiente de nuvem são explicadas, com base nos modelos de serviço individuais.
- Imagens Endurecidos CIS são imagens de máquinas virtuais pré-configuradas endurecidas de acordo com as recomendações de segurança dos CIS Benchmarks. As Imagens Endurecidos CIS são atualizadas mensalmente para garantir que as configurações de segurança mais recentes estejam em vigor e corrigidas para vulnerabilidades.
Benchmarks CIS de nível de produto e serviço para a nuvem
Os Benchmarks da CIS Foundations não se destinam a cobrir todos os serviços de um CSP. Eles são um ponto de partida para configurar sua conta de nuvem pública. Benchmarks de nível de produto e serviço CIS para a nuvem fornecem orientação de configuração mais prescritiva na nuvem.
Atualmente, a CIS oferece Benchmarks CIS baseados em serviços para cobrir serviços Kubernetes. Os benchmarks de serviço Kubernetes incluem:
- Alibaba Cloud Container Service Para Kubernetes (ACK)
- Amazon Elastic Kubernetes (EKS)
- Serviço Azure Kubernetes (AKS)
- Serviço Google Kubernetes (GKE)
- Kubernetes e Kubernetes V1.20
- Oracle Cloud Infrastructure Kubernetes (OKE)
- Red Hat OpenShift Kubernetes e Red Hat OpenShift Kubernetes v4
Além disso, a CIS planeja introduzir mais cobertura em nível de produto para vários serviços de CSP. Temos o prazer de anunciar o CIS AWS End User Compute Services Benchmark como o primeiro exemplo disso. Este Benchmark CIS abrange produtos AWS, incluindo: Amazon WorkSpaces, Amazon WorkDocs, Amazon AppStream 2.0 e Amazon WorkLink. Este Benchmark se baseia no CIS Foundations Benchmark com ênfase nas configurações de segurança ao utilizar a computação do usuário final. Continuaremos a lançar Benchmarks CIS em nível de produto entre os CSPs, enquanto continuamos a expandir os Benchmarks CIS Foundations.
Baixe nosso guia Benchmarks de produtos e serviços
Faça parte das Comunidades de Benchmarks da CEI
Os Benchmarks CIS Foundations são criados usando um processo de revisão de consenso aproveitando a experiência de especialistas no assunto de todo o mundo. Os participantes do consenso fornecem perspectiva de um conjunto diversificado de origens, incluindo consultoria, desenvolvimento de software, auditoria e conformidade, pesquisa de segurança, operações, governo e jurídico.
Como os ambientes de nuvem pública evoluem rapidamente, os Benchmarks CIS Foundations exigem manutenção constante. Trabalhamos com CSPs, consumidores de CSPs e especialistas em segurança cibernética para obter insights e coletar as informações mais atualizadas. Considere se juntar a uma de nossas Comunidades e participar do desenvolvimento desses recursos.
Baixe os Benchmarks CIS Foundations
FONTE: HELPNET SECURITY