La National Security Agency(NSA) non ha bisogno di presentazioni ed ha individuato 10 strategie per proteggere i dati nel Cloud in questo periodo in cui qualsiasi azienda sta migrando le proprie applicazioni su questa nuova tecnologia.
Usare il Cloud, come afferma il Direttore della Cyber Security di NSA Rob Joyce, porta miglioramenti a livello di efficienza e di sicurezza per l’IT ma solo se implementato correttamente. Spesso così non è e ne abbiamo parlato nell’articolo “Cos’è una misconfiguration, l’impatto nel Cloud e come prevenirla” su quale possa essere il grave impatto di semplici errori di configurazione di architetture Cloud.
Attraverso queste strategie la NSA ti vuole indicare la strada da seguire. Le strategie sono agnostiche, vale a dire che si possono adattare a qualsiasi provider, e noi abbiamo aggiunto qualche possibile soluzione per metterle subito in pratica.
Contattaci subito e senza impegno per verificare la sicurezza della tua architettura Cloud.
Un problema che c’è sempre è pensare che la responsabilità dei dati sul Cloud sia solo del provider ma in realtà anche tu hai delle responsabilità e, spesso, le tue responsabilità te le indica direttamente il provider nel contratto attraverso lo Shared Responsibility Model(SRM) ed in base alla tua architettura per es. per Iaas, PaaS e SaaS.
Se vuoi mitigare le tue responsabilità, devi avere contratti ad hoc o con il Cloud Provider oppure con un partner: non le potrai mai eliminare tutte ( per es. leggi come il GDPR indicano te quale titolare dei dati e questa responsabilità non la potrai delegare) ma potrai sicuramente diminuire le responsabilità e concentrarti sul tuo business.
La gestione degli account è un fattore critico per garantire la sicurezza, attori malevoli possono, tramite la compromissione degli account, avere accesso ad informazioni sensibili. Per questa strategia ci sentiamo di dire che la tecnologia Multi Factor Authentication(MFA) e Cloud Provider come Google con il suo servizio IAM ti forniscono tutti gli strumenti per avere un eccellente livello di sicurezza degli account nella tua organizzazione anche con federazione esterna.
Gestire le chiavi per cifrare e decifrare i dati oppure i token per i service account e per le API è aspetto importante al fine di evitare che attori malevoli, avendole in mano, possano utilizzare tali chiavi per estrarre informazioni sensibili o per sfruttare le tue risorse per le loro esigenze(per es. mining di criptovalute). Anche in questo caso però, i provider come Google ti offrono servizi come Cloud Secret Manager per gestire i tuoi dati segreti come credenziali, chiavi e password.
La segmentazione della rete, unita alla crittografia, mette in pratica concetti come Zero Trust a Defense-in-depth che si traducono in valutare l’autenticazione ed i diritti di accesso ad ogni richiesta, nella cifratura end-to-end, nella separazione delle risorse.
Per questa strategia i provider ti permettono di avere tutti gli elementi per seguirla come la Cifratura at-rest di default e framework come BeyondCorp.
I dati possono essere rubati oppure essere oggetto di ransomware, per questo motivo occorre archiviarli in maniera sicura attivando misure quali: la prevenzione di esposizione di dati, la minima esigenza di privilegi di accesso, la versioning, la creazione di oggetti immutabili di backup, processi per il recovery dei dati, gestione della data retention.
Per essere aderenti a questa strategia purtroppo non sono sufficienti le tecnologie, che comunque ti vengono in auto. A tale proposito, ne abbiamo parlato negli articoli “Backup e Disaster Recovery(DR) in un’unica piattaforma” e “Una possibile architettura(economica) di Backup e Disaster Recovery(DR) su Google Cloud“. E’ necessario, invece, avere processi di Data Governance che permettano a tutti di comprendere come gestire i dati ed agli amministratori, sviluppatori e sistemisti di come proteggerli e mantenerli sicuri ed a disposizione in caso di necessità.
Le pipeline CI/CD negli ambienti di sviluppo possono essere un rischio ed è dove può trovare forma per esempio l’attacco di Supply Chain. Per questo motivo sono nati nuovi processi di DevSecOps che garantiscono non solo la gestione corretta della sviluppo ma implementano strumenti per la sicurezza come l’auditing dei log, la security scanning e la garanzia del codice.
L’Infrastructure as Code(IaC) permette di dichiarare come è fatta l’architettura IT e di effettuare il deployment in maniera sicura mitigando ed eliminando in molti casi gli errori umani che nelle architetture complesse sono molto comuni, non per mancanza di esperienza ma perchè la complessità aumenta la possibilità di errori che, anche se piccoli, possono provocare enormi danni. Grazie all’IaC puoi anche seguire policy sul codice per mantenerlo “pulito” e facile da comprendere per tutto il team.
Sembra ovvio ma molte aziende che utilizzano ambienti ibridi o multi cloud sottovalutano il fatto che fare uso di tecnologie diverse aumentando la complessità potrebbe introdurre rischi di errore a causa della mancanze di skill del tuo team ed alla possibile confusione nelle architetture.
Meglio quindi gestire tutto da un unico punto e servizi come Anthos permettono proprio questo.
Affidarsi ad un Managed Service Provider(MSP) può essere una soluzione ideale ma va valutata sempre per bilanciare i rischi di affidarsi ad un’organizzazione esterna. Come abbiamo indicato al punto 1., devi comprendere responsabilità e rischi per individuare la migliore soluzione per te. In pratica devi bilanciare cosa tenere al tuo interno e cosa affidare all’esterno mantenendone comunque il controllo.
I log giocano un ruolo essenziale nella threat detection e per comprendere il comportamento dei tuoi sistemi. Il Cloud è un ambiente dinamico con anche risorse effimere, vale a dire che esistono per un determinato momento per completare alcune funzionalità. I provider di Cloud, comunque, hanno tutti i tools per monitorare i log con servizi ad hoc come Cloud Logging.
Inoltre è possibile integrate tool di sicurezza come sistemi di Security Information and Event Management (SIEM) per correlare miliardi di eventi ed individuare eventuali minacce per la tua infrastruttura.
Queste 10 strategie ti forniscono gli elementi per comprendere quali argomenti, quali ambienti, quali elementi devi tenere continuamente sotto la tua attenzione per evitare problemi di sicurezza che si traducono in perdita non solo di risorse economiche ma anche di reputazione.
Le competenze più che decennali ci permettono di gestire applicazioni sensibili sul Cloud e di fornirti un Catalogo di servizi forniti da Ethical Hacker professionisti ed in possesso delle più importanti certificazioni internazionali. A questo uniamo la nostra esperienza in tantissimi settori e con numerosi Clienti per garantirti architetture Cloud sicure. Contattaci subito e senza impegno per maggiori informazioni.