Dopo aver migrato tutto sul cloud, quali strumenti di valutazione della sicurezza cloud hanno senso per le realtà più piccole?

Potete far girare i tool open source come cron job settimanale su una macchina virtuale e inoltrare i risultati via mail. I tool che controllano le policy IAM, in particolare, individuano benissimo chiavi di servizio inutilizzate e ruoli con privilegi troppo ampi. Per iniziare, questo livello basta e avanza.

Prima di cercare strumenti costosi verificate subito queste tre cose: 1) I permessi di lettura pubblica sui vostri object storage sono disattivati? 2) Le porte di gestione di server e database sono aperte solo all'IP statico dell'azienda? 3) L'autenticazione a due fattori è obbligatoria per accedere al pannello admin? Queste tre cose eliminano già gran parte del rischio.

Noi avevamo speso 12.000 dollari all'anno per un tool enterprise e il primo mese siamo andati nel panico perché il sistema ha tirato fuori 600 avvisi di violazione. Poi abbiamo capito che uno degli avvisi era semplicemente un tag mancante su un server di test. Nelle piccole realtà, strumenti che generano così tanto rumore bloccano solo il lavoro. Andare passo dopo passo con gli strumenti nativi della console è molto più furbo.

i questionari di audit dei clienti di solito fanno paura ma a essere sinceri non cercano il nome del software enterprise blasonato. vogliono solo vedere una documentazione che attesti che eseguite scansioni periodiche dell'infrastruttura e come risolvete le vulnerabilità riscontrate.

installate gli scanner open source e salvate l'output in html... boh dite al cliente che fate scansioni automatiche di sicurezza ogni settimana e girategli il report di riepilogo per la maggior parte dei clienti enterprise è una prova più che valida.

Nota: ho scritto questo basandomi sulla mia esperienza, potrebbe non valere per tutti.

Il vostro cliente è soggetto a normative particolari? Gestite dati sanitari o carte di credito? Se non ci sono obblighi stringenti di conformità legale, imbarcarsi in costosi strumenti di terze parti appesantisce il budget inutilmente.

Aprite il centro di sicurezza nativo del vostro cloud provider, stringete le policy ed eseguite una scansione settimanale con un tool di audit open source.

Grazie mille, proverò oggi.

Racconto cosa mi è successo, magari vi è utile. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

La risposta varia molto in base al settore, non esiste una regola generale. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Non ho alcuna esperienza in materia di strumenti di valutazione della sicurezza cloud, quindi chiedo. Cercare di farlo da soli è la strada più costosa.

Correggetemi se sbaglio.

corretto.

Sosterrò l'opposto, non prendetela male. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi. Se scrivete qui il risultato, sarà utile anche ad altri.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. Chiunque abbia fretta su strumenti di valutazione della sicurezza cloud si blocca nello stesso punto.

Non lo sapevo. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Naturalmente cambia se la vostra situazione è diversa.

c'è una cosa a cui prestare attenzione. onestamente se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

è tutto, scusate se mi sono dilungato.

assolutamente. se devo aggiungere qualcosa: Non fidateiv di una sola misura di sicurezza; procedete per livelli.

buon lavoro.

Mi farebbe piacere se scrivesse il risultato. I primi tre mesi vanno bene, i problemi emergono al quarto mese.

Il vero problema non è il numero, ma su cosa si basa quel numero. Se scrivete qui il risultato, sarà utile anche ad altri.

Ci proverò.