Introduzione al Cloud Hardening

La memorizzazione di dati sensibili nel cloud aumenta notevolmente la superficie di attacco — e gli avversari stanno sfruttando le opportunità che l'adozione del cloud presenta. Infatti, un sondaggio 2022 Netwrix ha rilevato un aumento del 10% negli attacchi mirati all'infrastruttura cloud.

Il rafforzamento del cloud è il processo di riduzione del rischio per i tuoi sistemi cloud stabilendo e mantenendo configurazioni sicure e identificando e mitigando altre vulnerabilità. Scopri perché il cloud hardening è fondamentale sia per la sicurezza che per la conformità normativa, e le principali minacce nel cloud oggi. Poi scopri i passaggi da compiere per rafforzare il tuo cloud, indipendentemente dal tuo modello di consegna (IaaS, PaaS o SaaS) o dal tipo di cloud (pubblico, privato o ibrido).

Come il rafforzamento del Cloud aiuta ad aumentare la sicurezza

Il rafforzamento del cloud implica la messa in sicurezza della configurazione e delle impostazioni del sistema per ridurre le vulnerabilità IT e il rischio di compromissione. Un passaggio fondamentale nel rafforzamento è rimuovere tutti i componenti non essenziali dai sistemi. Eliminando programmi, funzioni di account, applicazioni, porte, permessi e accessi non essenziali, si offrono meno vie di ingresso per attaccanti e malware nell'ambiente cloud.

Tieni presente, tuttavia, che il rafforzamento del cloud non è un evento una tantum — devi monitorare costantemente ogni deviazione dalle tue configurazioni di sicurezza, così come rivedere e aggiornare regolarmente i tuoi standard di riferimento man mano che il panorama delle minacce cambia e le migliori pratiche si evolvono.

Naturalmente, il rafforzamento del cloud è solo una parte di una strategia di sicurezza più ampia, che dovrebbe includere anche l'implementazione di strumenti per rilevare e rispondere prontamente a potenziali minacce e garantire che i sistemi possano essere rapidamente ripristinati dopo un incidente.

Come il rafforzamento del Cloud aiuta con la conformità

I governi di tutto il mondo hanno stabilito regolamenti che includono standard per la Data Security — che si applicano indipendentemente dal luogo in cui i dati sono ospitati. Ecco i più significativi da conoscere:

• HIPAA (Health Information Portability and Accountability) è uno standard statunitense per la sicurezza delle informazioni sanitarie protette (PHI). Le sezioni della Security Rule e della Privacy Rule stabiliscono misure di accesso e linee guida per le transazioni sanitarie elettroniche e obbligano le organizzazioni sanitarie a segnalare le violazioni della sicurezza.
• PCI DSS (Payment Card Industry Data Security Standard) è progettato per proteggere i dati dei titolari di carta. Include requisiti per l'autenticazione a più fattori (MFA) e la crittografia dei dati, e richiede alle organizzazioni coperte di condurre test di penetrazione per il miglioramento della sicurezza.
• FERPA (Family Educational Rights and Privacy Act) riguarda la privacy e la sicurezza dei dati degli studenti, inclusi le informazioni personali identificabili (PII). I requisiti FERPA coprono argomenti come la crittografia, l'uso, la rivelazione secondaria e la distruzione dei dati.
• GDPR (Regolamento Generale sulla Protezione dei Dati) è uno standard dell'Unione Europea che si applica alle organizzazioni ovunque esse memorizzino o elaborino le informazioni dei residenti dell'UE. Le sue disposizioni riguardano la memorizzazione, l'uso, la conservazione, l'accesso ai dati e altro ancora. 
• SOX (Sarbanes-Oxley Act del 2002) aiuta a proteggere il pubblico da illeciti aziendali richiedendo a tutte le società pubbliche statunitensi di mitigare il rischio di attività contabili e finanziarie fraudolente. Tra le altre cose, SOX dettaglia gli obblighi relativi all'integrità dei dati, all'audit, al controllo degli accessi e al controllo delle modifiche. 
• FISMA (Federal Information Security Management Act) richiede alle agenzie governative federali degli Stati Uniti di proteggere beni e informazioni creando, implementando e rispettando un piano di sicurezza, che deve essere rivisto annualmente. Inoltre, la legge richiede che le agenzie coperte utilizzino solo centri dati — inclusi i fornitori di servizi cloud — che siano conformi a FISMA.
• ISO 27017 è una sottosezione di ISO 27000 che fornisce linee guida relative ai controlli di sicurezza delle informazioni applicabili alla fornitura e all'uso dei servizi cloud. Affronta argomenti come i ruoli e le responsabilità condivisi, il rafforzamento delle macchine virtuali e l'allineamento della gestione della sicurezza per le reti fisiche e virtuali.

Oltre alle leggi, le organizzazioni possono dover (o scegliere di) adottare un framework di controllo della cybersecurity. In particolare, CCM (Cloud Controls Matrix) copre aspetti critici della tecnologia cloud in 17 domini, come la sicurezza delle applicazioni e delle interfacce, audit e assicurazione, controllo dei cambiamenti e gestione della configurazione, e gestione delle minacce e delle vulnerabilità.

Anche se un'organizzazione può essere soggetta a molteplici leggi, la maggior parte di esse si basa sulle stesse pratiche migliori fondamentali, quindi gli stessi controlli di sicurezza — come il rafforzamento del cloud — possono aiutarti a ottenere la conformità con molti mandati contemporaneamente.

Principali minacce alla sicurezza nel Cloud pubblico

Le minacce alla sicurezza del cloud di cui i professionisti della cybersecurity sono più preoccupati, secondo un sondaggio del 2022, sono:

• Configurazione errata delle piattaforme cloud (62%)
• Esfiltrazione dei dati (51%)
• API e altre interfacce non sicure (52%)
• Accesso non autorizzato (50%)
• Dirottamento di servizi, account o traffico (44%)
• Condivisione di dati esterni (39%)
• Attacchi cibernetici sponsorizzati da stati stranieri (37%)

Rafforzamento nei vari modelli di Cloud

Il rafforzamento del cloud è sempre consigliato. Tuttavia, la divisione delle responsabilità tra la tua organizzazione e il fornitore di servizi cloud (CSP) per implementarlo varia a seconda del modello di cloud: IaaS, PaaS o SaaS.

Infrastructure as a Service (IaaS)

IaaS involves renting basic infrastructure components from a CSP, such as virtual machines on Azure or EC2, or EBS on AWS. With IaaS, cloud hardening is mostly in your hands. While the CSP) will handle physical security and firmware updates, you are responsible for the configuration of your provisioned virtual components. In particular, you are responsible for:

• Identity and data governance, inclusa la gestione degli accessi utente e il controllo delle modifiche
• Configurazione e rafforzamento dei sistemi operativi
• Crittografia dei dati
• Impostazioni a livello di applicazione
• Controlli di accesso alla rete sia a livello di rete che a livello di singolo componente
• Test di sicurezza
• Verifica e registrazione

PaaS (Platform as a Service)

Nel modello PaaS, l'organizzazione controlla la piattaforma e le risorse di esecuzione per sviluppare, testare e distribuire applicazioni. Esempi includono Red Hat OpenShift, AWS Elastic Beanstalk e Google App Engine.

In questo modello operativo cloud, il CSP è responsabile del rafforzamento del sistema operativo, del middleware e dell'ambiente di runtime poiché questi sono gestiti dallo stesso. Tuttavia, la tua organizzazione è ancora responsabile per:

• Governance di identità e dati, inclusa la gestione degli accessi utente e il controllo delle modifiche
• Protezione di client ed Endpoint
• Controlli di rete a livello di rete
• Impostazioni a livello di applicazione
• Test di sicurezza
• Verifica e registrazione

SaaS (Software as a Service)

Nel modello SaaS, che include Microsoft 365 e Salesforce, tutti i componenti sono gestiti dal CSP, il che sposta ancora più responsabilità su di loro. Tuttavia, la responsabilità della tua organizzazione non è trascurabile; include la configurazione:

• Gestione degli account utente e delle regole di accesso
• Impostazioni a livello di applicazione
• Registrazione e auditing

Modelli di distribuzione Cloud

La scelta del cloud deployment model — privato, pubblico o ibrido — influisce anche sulla pianificazione della sicurezza del cloud.

Private Cloud

Un cloud privato serve un'unica organizzazione, con servizi gestiti su una rete privata. Di conseguenza, la tua organizzazione ha il pieno controllo dell'infrastruttura. Questo modello di distribuzione offre un'ampia flessibilità e opportunità di personalizzazione, ma richiede anche più risorse ed esperienza per gestirlo e mantenerlo.

Poiché sei il proprietario, hai la completa responsabilità per quanto segue:

• Distribuzione e manutenzione di hardware e software
• Garantire la sicurezza fisica della tua infrastruttura
• Implementare controlli di sicurezza appropriati per proteggersi da minacce e attacchi

Public Cloud

In un modello di cloud pubblico, un CSP possiede e gestisce tutta l'infrastruttura e il software di supporto, e i servizi vengono erogati tramite internet. Poiché un cloud pubblico opera come un ambiente multi-tenant, generalmente offre costi inferiori e una migliore scalabilità rispetto a un cloud privato. Tuttavia, la tua organizzazione ha meno controllo sull'infrastruttura ed è dipendente dalle misure di sicurezza implementate dal fornitore.

Di conseguenza, è necessario assicurarsi che gli impegni di sicurezza del CSP e la conformità normativa siano allineati con le vostre esigenze di sicurezza e conformità. In particolare, spetta a voi:

• Indagate approfonditamente sugli impegni di sicurezza del fornitore
• Leggere e comprendere l'auditing e la conformità normativa del CSP
• Comprendere chiaramente la divisione delle responsabilità.

Hybrid Cloud

Un cloud ibrido è una combinazione di cloud pubblici e privati. Non sorprende quindi che possa essere il più complesso da proteggere. In particolare, oltre a gestire le preoccupazioni di sicurezza per ogni tipo di cloud, è necessario assicurarsi che politiche di sicurezza coerenti siano applicate su tutti i tuoi cloud e che qualsiasi cambiamento alla postura di sicurezza in un cloud sia replicato negli altri cloud. Ad esempio, se c'è un cambiamento di sicurezza in un'immagine utilizzata nel tuo cloud privato, questo cambiamento viene propagato anche al cloud pubblico?

Raccomandazioni per il rafforzamento del Cloud

Utilizzare i CIS Benchmarks

Per aiutare le organizzazioni a stabilire configurazioni sicure, il Center of Internet Security (CIS) fornisce i CIS benchmarks. Queste guide di configurazione della sicurezza coprono una vasta gamma di tecnologie, inclusi sistemi operativi, network devices, server e software per desktop — così come fornitori di servizi cloud. Implementando i CIS benchmarks, puoi ridurre le vulnerabilità di sicurezza basate sulla configurazione nei tuoi asset digitali.

Un ottimo modo per iniziare è rafforzare le immagini dei server della tua organizzazione utilizzando le linee guida di hardening CIS o acquistando immagini già rafforzate CIS dai marketplace di AWS, Azure o Google Cloud. Quindi integra il tuo antivirus, il rilevamento delle modifiche e altre soluzioni di sicurezza, nelle immagini rafforzate.

Implementare le migliori pratiche di sicurezza

Per rafforzare ulteriormente il tuo ambiente cloud contro le minacce, implementa le seguenti pratiche:

• Privilegio minimo — Assegnare a ogni server i permessi e i privilegi minimi necessari per svolgere la sua funzione prevista. Questo aiuta a limitare i danni che potrebbero essere causati da attori malevoli o errori accidentali.
• Accesso minimo — Limitare l'accesso ai server cloud dalla rete e installare solo i componenti del sistema operativo e le applicazioni necessarie su ogni istanza. Questo renderà più difficile per gli attori malevoli ottenere accesso a informazioni sensibili.
• Configurazione e gestione delle modifiche — Crea una configurazione di base del server e traccia tutte le deviazioni da quella baseline.
• Verifica dei log — Configura ogni risorsa per generare e conservare in modo sicuro i dati di log relativi a tutti i tentativi di accesso e a tutte le modifiche.
• Audit di conformità e reporting — Implementare controlli di sicurezza adeguati e assicurarsi di poter fornire prova della conformità agli auditor.
• Gestione delle vulnerabilità— Valutate regolarmente i vostri ambienti cloud per vulnerabilità e applicate tempestivamente patch e aggiornamenti di sicurezza.
• Segmentazione della rete — Divide gli ambienti cloud in segmenti più piccoli e isolati per limitare l'impatto potenziale di un incidente di sicurezza.
• Crittografia — Crittografa i dati inattivi e i dati in transito per proteggerli dall'accesso non autorizzato.

Conclusione

I vantaggi dei servizi cloud sono sostanziali, inclusi il risparmio sui costi, la facile scalabilità e le potenti funzionalità. Tuttavia, è necessario garantire ancora la sicurezza dei propri dati e applicazioni. Utilizzando le informazioni sopra, puoi aiutare la tua organizzazione a proteggere meglio i suoi ambienti cloud per favorire la crescita aziendale.

FAQ

1. Come si rafforza l'infrastruttura cloud?

Configurate e impostate i sistemi in modo sicuro per ridurre la loro vulnerabilità ai compromessi. Rimuovete tutti i programmi software e gli strumenti non essenziali per ridurre le opportunità di attacco ai vostri sistemi.

2. Quali sono le tecniche di rafforzamento della rete?

Le migliori pratiche di sicurezza di base includono il minimo accesso, il minimo privilegio, la gestione della configurazione, la gestione dei cambiamenti e l'audit & logging.

3. Cos'è il rafforzamento dell'host nella sicurezza?

Il rafforzamento dell'host comporta la rimozione di componenti, programmi, account, applicazioni, servizi, porte, permessi e accessi non essenziali da un host per ridurne le vulnerabilità. Il rafforzamento dell'host può includere anche:

• Disattivare i servizi di rete non necessari e imporre l'autenticazione per quelli che vengono mantenuti.
• Installazione e configurazione di un firewall host.
• Rendere le applicazioni disponibili solo agli utenti che ne hanno bisogno e solo quando ne hanno bisogno.
• Avere utenti che operano con privilegi inferiori e concedere privilegi di livello superiore solo quando necessario.
• Testare regolarmente i sistemi per individuare le debolezze e rimediarle.
• Applicazione di password complesse e rotazione delle password.
• Automatizzare gli aggiornamenti e gli upgrade di sicurezza regolari.

4. Quali sono i vantaggi del rafforzamento del cloud?

Il rafforzamento del cloud offre una vasta gamma di vantaggi, tra cui:

• Ridurre la superficie di attacco della tua infrastruttura cloud
• Migliorare la postura di sicurezza complessiva della tua organizzazione
• Contribuendo a garantire la conformità con regolamenti e standard
• Minimizzare il rischio di data breach e accessi non autorizzati
• Ridurre i costi degli incidenti di sicurezza e delle potenziali multe per non conformità
• Migliorare l'efficienza e le prestazioni dei sistemi basati su cloud

5. Con quale frequenza dovrebbe essere eseguito il cloud hardening?

Il rafforzamento del cloud dovrebbe essere eseguito regolarmente, come parte di un programma di sicurezza e conformità continuo. È importante rivedere e aggiornare regolarmente la configurazione e le pratiche di sicurezza per garantire che l'infrastruttura cloud rimanga sicura.