CSPM: Cloud Security Posture Management

Cloud Security Posture Management (CSPM) הוא קטגוריה של כלי אבטחה שמבצעים אוטומציה של זיהוי ותיקון סיכוני אבטחה בתשתית cloud, ומתמודדים עם אתגר קריטי שארגונים ניצבים בפניו: סביבות cloud משתנות כל הזמן כשמפתחים מקצים משאבים בשירות עצמי, תצורות ברירת המחדל לרוב אינן מאובטחות (דליי S3 היו ניתנים לקריאה ציבורית כברירת מחדל עד ש-AWS שינתה זאת ב-2018 לאחר אינספור דליפות), וקנה המידה של ה-cloud הופך את הסקירה הידנית של כל התצורות לבלתי מעשית - התוצאה היא מגפה של תצורות cloud שגויות שהן הגורם העיקרי לפרצות נתונים ב-cloud (Gartner מעריכה ש-95 אחוז מכשלי אבטחת ה-cloud נובעים מתצורה שגויה של הלקוח, ולא מפגיעויות של ספק ה-cloud). תצורות cloud שגויות נפוצות המנוצלות על ידי תוקפים כוללות: דליי S3 או מכלי Azure Blob עם גישת קריאה/כתיבה ציבורית החושפים נתונים רגישים לאינטרנט (פרצת Capital One ב-2019 נבעה מ-WAF מוגדר שגוי שאפשר גישה לשירות המטא-נתונים), security groups או Network Security Groups מתירניים מדי המאפשרים גישה נכנסת מ-0.0.0.0/0 ביציאות ניהול (SSH, RDP, מסדי נתונים), תפקידי IAM עם הרשאות wildcard (Action: "*", Resource: "*") המפרים את עקרון ההרשאה המינימלית, סודות ואישורי גישה מקודדים בתוך הקוד או במשתני סביבה במקום בשירותי ניהול סודות, הצפנה במנוחה שאינה מופעלת עבור מסדי נתונים ואחסון, רישום וניטור מושבתים המונעים זיהוי פעילויות חשודות, snapshots ציבוריים של volumes המכילים נתוני production הנגישים לכל אחד, ו-MFA שאינו נאכף עבור חשבונות בעלי הרשאות. כלי CSPM סורקים ברציפות סביבות cloud (AWS, Azure, GCP, multi-cloud), משווים תצורות מול שיטות עבודה מומלצות לאבטחה ומסגרות תאימות (CIS Benchmarks, PCI-DSS, HIPAA, SOC 2), מזהים סטיות ומדווחים עליהן כממצאים עם דירוגי חומרה והנחיות תיקון, מספקים לוחות מחוונים המציגים את מצב האבטחה וסטטוס התאימות בזמן אמת, ומשתלבים עם pipelines של CI/CD לאבטחת shift-left המאמתת infrastructure-as-code (Terraform, CloudFormation) לפני הפריסה. פתרונות CSPM מובילים כוללים אפשרויות cloud-native (AWS Security Hub, Azure Security Center, Google Cloud Security Command Center) המשתלבות לעומק עם הפלטפורמות שלהן אך מוגבלות ל-cloud יחיד, ופלטפורמות multi-cloud של צד שלישי (Prisma Cloud מבית Palo Alto, Check Point CloudGuard, Wiz, Orca Security) המציעות תצוגה מאוחדת בין ספקי cloud, מתאם מתקדם וניתוחים עשירים יותר.

גילוי רציף והערכת תצורה

הפונקציונליות המרכזית של CSPM היא גילוי רציף של משאבי cloud והערכת תצורות מול בסיסי אבטחה. גילוי נכסים באמצעות ה-APIs של ספק ה-cloud מבצע אוטומטית מצאי של כל המשאבים בחשבונות ה-cloud - מופעי compute (EC2, Azure VMs, מופעי GCE), אחסון (דליי S3, מכלי Blob, דליי Cloud Storage), מסדי נתונים (RDS, Azure SQL, Cloud SQL), רכיבי רשת (VPCs, רשתות משנה, security groups, טבלאות ניתוב, load balancers), ישויות IAM (משתמשים, תפקידים, מדיניות), ופונקציות serverless (Lambda, Azure Functions, Cloud Functions) - הגילוי מתרחש ברציפות (כל כמה דקות) ולוכד משאבים שנוצרו, שונו או נמחקו כמעט בזמן אמת, דבר קריטי משום שסביבות cloud הן דינמיות מאוד עם שינויי תשתית המתרחשים ללא הרף באמצעות אוטומציה. חילוץ תצורה מאחזר הגדרות מפורטות עבור כל משאב באמצעות APIs מסוג describe/get - עבור מופע EC2: security groups מצורפים, תפקיד IAM, סטטוס הצפנה, ניטור מופעל, הקצאת IP ציבורית, מיקום רשת משנה; עבור דלי S3: ACLs, מדיניות דלי, ניהול גרסאות, הצפנה, רישום, הגדרות חסימת גישה ציבורית. מנוע מדיניות מעריך תצורות מחולצות מול מדיניות אבטחה מוגדרת מראש - מדיניות נכתבת בדרך כלל בשפות דקלרטיביות (Rego עבור Open Policy Agent, חוקים מבוססי YAML) המגדירות את המצב הרצוי ("דליי S3 חייבים שתהיה להם הצפנה מופעלת", "security groups אסור שיאפשרו ingress של 0.0.0.0/0 ביציאה 22", "משתמשי IAM חייבים שתהיה להם MFA מופעלת") ותצורות לא רצויות לסימון. פלטפורמות CSPM מגיעות עם מאות מדיניות מוכנה מראש המכסה: CIS Benchmarks המספקים בסיסי תצורה תקניים בתעשייה עבור AWS, Azure, GCP (רמה 1 לאבטחה בסיסית, רמה 2 לאבטחה גבוהה יותר), מסגרות תאימות המתרגמות דרישות רגולטוריות לבקרות טכניות (PCI-DSS, HIPAA, SOC 2, GDPR, ISO 27001), שיטות עבודה מומלצות של ספק ה-cloud המבוססות על תיעוד רשמי, ומדיניות מותאמת אישית הספציפית לתקני האבטחה הארגוניים. ניקוד חומרה מקצה דירוגי סיכון לממצאים בהתבסס על יכולת הניצול (האם המשאב נגיש לציבור?), הרגישות (האם הוא מכיל נתונים רגישים?), וההשפעה הפוטנציאלית (האם הוא עלול להוביל לפרצת נתונים, הסלמת הרשאות, שיבוש שירות?) - ממצאים קריטיים (דלי S3 ציבורי המכיל PII) דורשים תיקון מיידי, ממצאים גבוהים/בינוניים מתועדפים בהתבסס על הערכת סיכונים, ממצאים נמוכים עשויים להיות סיכון מקובל.

מסגרות תאימות ותאימות רציפה

פלטפורמות CSPM מצטיינות בהדגמת תאימות למסגרות רגולטוריות ולתקני תעשייה - ביקורות תאימות מסורתיות הן הערכות נקודתיות בזמן (ביקורת שנתית המספקת תמונת מצב של סטטוס התאימות בתאריך מסוים) שמתיישנות במהירות ככל שהתשתית משתנה, CSPM מספק ניטור תאימות רציף המעקב אחר מצב התאימות בזמן אמת ומתריע כאשר סטיית תצורה יוצרת אי-תאימות. מיפוי מסגרות - כלי CSPM ממפים תצורות cloud לבקרות ספציפיות במסגרות תאימות: דרישה 1 של PCI-DSS (התקנה ותחזוקה של firewall) ממופה לחוקי security group המבטיחים שאין גישה נכנסת ללא הגבלה, דרישה 3 (הגנה על נתוני מחזיקי כרטיסים מאוחסנים) ממופה לבדיקות הצפנה במנוחה עבור מסדי נתונים ואחסון, דרישה 8 (זיהוי ואימות גישה) ממופה לאכיפת MFA ומדיניות סיסמאות. באופן דומה, אמצעי ההגנה הטכניים של כלל האבטחה של HIPAA ממופים לתצורות הצפנה, בקרות גישה ורישום ביקורת. לוחות מחוונים לתאימות מספקים תצוגה ניהולית של סטטוס התאימות - ציון תאימות כולל (83 אחוז עומדים ב-PCI-DSS), פירוטים לפי תחום בקרה (בקרת גישה 95 אחוז, רישום ביקורת 70 אחוז), מגמות לאורך זמן (תאימות משתפרת או מתדרדרת), וירידה לפרטים של משאבים ספציפיים לא תואמים הדורשים תיקון. איסוף ראיות עבור מבקרים - CSPM מייצר אוטומטית דוחות תאימות המדגימים את אפקטיביות הבקרות באמצעות ראיות תצורה (צילומי מסך, ייצוא תצורות, מעקב היסטורי אחר תאימות) ומצמצם את נטל הכנת הביקורת משבועות לשעות, מספק אישור לניטור רציף במקום תאימות נקודתית בזמן, ושומר על מסלול ביקורת של שינויי תצורה ופעולות תיקון המדגים בדיקת נאותות. אינטגרציית Policy-as-Code - קודדו דרישות תאימות כמדיניות אוטומטית המופצת באמצעות CI/CD, תוך הבטחה שמשאבים שהוקצו לאחרונה תואמים כברירת מחדל במקום לדרוש תיקון לאחר פריסה, הזיזו את התאימות שמאלה לשלב הפיתוח שבו התיקון זול ומהיר יותר. ארגונים נוהגים להשתמש ב-CSPM לתאימות רב-מסגרתית תוך שמירה על מקור אמת יחיד למצב האבטחה המספק דרישות תאימות מרובות בו-זמנית (אותה בקרת הצפנה מספקת PCI, HIPAA, GDPR) במקום ניהול הערכות נפרדות עבור כל מסגרת.

תיקון אוטומטי ואינטגרציית Infrastructure-as-Code

מעבר לזיהוי, יכולות CSPM מתקדמות כוללות תיקון אוטומטי ומניעה של תצורות שגויות. תיקון אוטומטי מתקן באופן אוטומטי סוגים מסוימים של תצורות שגויות באמצעות APIs של cloud - עבור ממצאים בסיכון נמוך ובביטחון גבוה כמו "ניהול גרסאות של דלי S3 מושבת", CSPM יכול להפעיל אוטומטית ניהול גרסאות ללא אישור אנושי, עבור דלי הנגיש לציבור, להחיל אוטומטית מדיניות דלי השוללת גישה ציבורית, עבור volume EBS לא מוצפן, ליצור snapshot מוצפן ולהחליף את ה-volume (דורש זהירות רבה יותר עקב שיבוש שירות פוטנציאלי). מדיניות תיקון אוטומטי מגדירה: אילו ממצאים מתאימים לתיקון אוטומטי (בהתבסס על חומרה, סוג משאב, השפעה עסקית), זרימת עבודה לאישור (תקן אוטומטית מיד, דרוש אישור, התרע בלבד), נהלי שחזור (אם התיקון האוטומטי גורם לבעיה, כיצד לשחזר), והחרגות (משאבים מסוימים שהוחרגו מתיקון אוטומטי עקב דרישות עסקיות). מעקות בטיחות ובקרות מונעות - במקום לתקן לאחר פריסה, מנעו פריסה של תצורות שגויות: Service Control Policies (SCPs) ב-AWS Organizations חוסמות יצירת משאבים לא תואמים ברחבי הארגון, Azure Policy שוללת פריסת משאבים שאינם עומדים בקריטריונים, admission controllers ב-Kubernetes דוחים מפרטי pods המפרים מדיניות אבטחה. סריקת IaC - שלבו CSPM ב-pipelines של CI/CD הסורקים תבניות Terraform, CloudFormation, ARM לפני הפריסה: מפתחים מבצעים commit של IaC, ה-pipeline מפעיל סריקת CSPM, הפרות שזוהו (security group המאפשר 0.0.0.0/0:22) מכשילות את ה-build עם הודעת שגיאה ספציפית, המפתח מתקן את ה-IaC, הסריקה החוזרת עוברת, הפריסה ממשיכה - מזיז את האבטחה שמאלה ולוכד בעיות בפיתוח ולא ב-production. כלים כמו Checkov, Terrascan, Bridgecrew סורקים קבצי IaC מקומית או ב-CI ומספקים משוב בזמן אמת. Playbooks לתיקון - עבור ממצאים הדורשים תיקון ידני, CSPM מספק הנחיות תיקון שלב אחר שלב: פקודות AWS CLI ספציפיות לביצוע, הוראות ניווט בקונסולה עם צילומי מסך, הסבר על סיכון האבטחה המטופל, ושלבי אימות המאשרים שהתיקון הצליח. עקבו אחר מדדי תיקון: זמן ממוצע לתיקון (MTTR) לפי רמת חומרה, אחוז הממצאים שתוקנו אוטומטית מול אלו שתוקנו ידנית, עברייני חזרה (משאבים המוגדרים שגוי שוב ושוב המעידים על בעיה מערכתית הדורשת שינוי תהליך).

אבטחת Multi-Cloud ו-Hybrid Cloud

ארגונים מפעילים יותר ויותר סביבות multi-cloud (AWS + Azure + GCP) וסביבות היברידיות (cloud + on-premises), CSPM חייב לספק תצוגת אבטחה מאוחדת על פני תשתית הטרוגנית. אתגרי multi-cloud: לכל ספק cloud יש טרמינולוגיה שונה (security groups של AWS מול NSGs של Azure מול חוקי firewall של GCP), APIs שונים הדורשים אינטגרציות נפרדות, שירותי אבטחה מקומיים שונים הדורשים תרגום למסגרת משותפת, ושיטות עבודה מומלצות ו-benchmarks תאימות שונים. מסגרת מדיניות מאוחדת - CSPM מפשט את ההבדלים בין הספקים: מדיניות יחידה "חסום גישה ציבורית לאינטרנט למסדי נתונים" מתורגמת לבדיקות ספציפיות לספק (דגל publicly_accessible של AWS RDS, חוקי firewall של Azure SQL המאפשרים 0.0.0.0-255.255.255.255, רשתות מורשות של GCP Cloud SQL הכוללות 0.0.0.0/0), ממצאים מנורמלים המדווחים "למסד הנתונים יש גישה ציבורית" ללא תלות בספק הבסיסי, וזרימות עבודה עקביות לתיקון בין ספקים. מתאם בין-cloud - מזהה סיכוני אבטחה המשתרעים על פני מספר clouds: משתמש IAM עם גישה לחשבונות AWS וגם Azure המשתמש בסיסמה חלשה (נקודת כשל יחידה המשפיעה על סביבת multi-cloud), שכפול נתונים בין clouds ללא הצפנה במעבר, shadow IT שבו מחלקות מקצות חשבונות cloud לא מאושרים מחוץ לניהול המרכזי. אבטחת cloud service mesh - ככל שארגונים מאמצים ארכיטקטורות multi-cloud עם workloads מבוזרים בין ספקים, CSPM חייב להעריך את האבטחה של רשתות בין-cloud (מנהרות VPN, direct connects, חיבורים מבוססי אינטרנט), אימות והרשאה בין שירותים מעבר לגבולות ה-cloud, ותאימות ריבונות נתונים (הבטחה שדרישות תושבות הנתונים מתקיימות בעת שכפול בין אזורים גאוגרפיים). אינטגרציית hybrid cloud - הרחיבו את כיסוי ה-CSPM לתשתית on-premises באמצעות agents או סריקה ללא agents: העריכו תצורות VM, רשימות ACL של רשת, הגדרות אבטחה של hypervisor המספקות תצוגה מאוחדת המשתרעת על cloud ומרכז נתונים. פלטפורמות מובילות (Prisma Cloud, Wiz) מציעות לוח מחוונים יחיד המאחד את מצב האבטחה על פני AWS, Azure, GCP, Kubernetes, VMs של on-prem ומספק ל-CISO תצוגה הוליסטית של אבטחת כל התשתית במקום פתרונות נקודתיים מקוטעים לכל סביבה.