מהי אבטחה מובנית בענן?

אבטחה מובנית בענן מצוידת במספר רכיבי מפתח אשר פועלים במשותף כדי להגן על יישומים ותשתית:

אבטחת גורמים מכילים ויחידות Kubernetes. גורמים מכילים אורזים יישומים ואת התלויות שלהם, ומאפשרים ניידות והרחבה של היישום. יחידת Kubernetes מתאמת בין גורמים מכילים אלה, ומנהל את הפריסה וההרחבה שלהם. אבטחת גורמים מכילים ויחידות Kubernetes כוללת סריקת תמונות, ניטור בזמן ריצה ואבטחת מישורי בקרה. תצורה שגויה של אשכולות Kubernetes הם וקטור תקיפה נפוץ, ולכן ניהל התצורה הוא קריטי.

אבטחת ממשק תוכניות יישום (API). מיקרו-שירותים מתקשרים דרך יחידות API שחייבים להיות מאובטחים כדי למנוע גישה לא מורשית. אבטחת ממשק תוכניות יישום כוללת אימות, הרשאה והגבלת קצב. שערי API מספקים בקרה וניטור מרכזיים, ובכך מפחיתים את הסיכון לחשיפת נתונים.

פלטפורמת להגנת יישומים מובנית בענן (CNAPPs). פתרונות מסוג פלטפורמות CNAPP מציעים יכולות אבטחה רבות, כולל ניהול מצב אבטחת ענן (CSPM) בפתרון מאוחד אחד. פלטפורמות מאוחדות אלה מספקות ניראות מקצה לקצה לאורך מחזור החיים של היישום, ומאפשרות תעדוף על סמך סיכון, אכיפה עקבית של מדיניות וזיהוי ותגובה מהירים יותר במקרה של איומים.

תאימות ופיקוח. ארגונים חייבים לעמוד בתקני תאימות רגולטורית כגון התקנה הכללית להגנת על נתונים (GDPR), חוק היבילות ואחריות הדיווח של ביטוח בריאות (HIPAA) והתקן לאבטחת נתונים בתעשיית כרטיסי התשלום (PCI DSS). בדיקות תאימות ודיווח אוטומטיים עוזרים לוודא כי ההתאמה לתקנים נשמרת, ובכך מפחיתים את הסיכון לקנסות וסנקציות משפטיות.

עומסי עבודה של בינה מלאכותית. מודלי בינה מלאכותית וצינורות נתונים מציגים אתגרי אבטחת ענן ייחודיים. הגנה על נתוני אימון, מניעת שיבוש מודלים והבטחת שיטות עבודה אתיות עם AI הם חיוניים. אמצעי האבטחה חייבים לתת מענה גם לסודיות מערכת הבינה המלאכותית וגם לשלמותה.

אבטחת נתונים בענן. תוקפים רואים בנתונים יעד מרכזי. הצפנה, מיסוך ובקרות גישה מגנים על מידע רגיש. אבטחת מסדי נתונים כוללת ניטור התר אחר שאילתות לא מורשות ווידוא שקביעת התצורה תקינה.

הרשאות זהות. הרשאות עודפות מגבירות את הסיכון לפגיעה. כלי פיקוח על זהויות עוזרים לאכוף את עקרון 'מינימום הרשאות' ולנטר חריגות. מתקפות הסלמת הרשאות הן נפוצות בסביבות ענן, ולכן יש לאבטחת זהויות עדיפות עליונה.

עקביות מצב האבטחה בריבוי שירותי ענן. אבטחת ריבוי שירותי ענן היא מקור לדאגה בארגונים המשתמשים בכמה ספקי ענן, שלכל אחד מהם כלים ותצורות אבטחה ייחודיים. שמירה על מדיניות עקבית בין סביבות מפשטת מורכבות ומקטינה את הסיכון.

אבטחה מובנית בענןשל גורם מכיל. היא כוללת אבטחת רישומי גורמים מכילים, הטמעת בקרות בזמן ריצה וניטור פגיעויות בתמונות גורם מכיל.

הגנה על עומס עבודה בענן (CWPP). פתרונות CWPP מספקים ניראות וזיהוי איומים לעומסי עבודה בכל הסביבות, כולל מחשבים וירטואליים, גורמים מכילים ופונקציות חסרות שרת.

מושג מפתח נוסף שחשוב להכיר הוא 'ארבעת הרבדים' שאבטחה מובנית בענן מורכבת מהם (או באנגלית: ארבעת ה- C:‏-code, container, cluster ו-cloud). כל רובד מייצג את אחת השכבות שיש לאבטח כדי להבטיח גישת 'הגנה לעומק':
 

1. קוד– קוד היישום ותשתית כקוד (IaC), כולל תלויות בקוד פתוח.
2. גורם מכיל– תמונות גורם מכיל וזמן ריצה.
3. Cluster– פלטפורמות תיאום כגון Kubernetes.
4. ענן– תשתית הענן הבסיסית, כגון רשתות, מחשבים וירטואליים, אחסון, זהויות ותצורות.

סקרנו גורמים רבים שכדאי להביא בחשבון כאשר מגבשים אסטרטגיה ארגונית. הנה עוד כמה נקודות שכדאי לזכור כאשר בוחרים בכלים הדרושים לחיזוק מצב אבטחת הענן:
 

• יישם גישת אפס אמון לצד מיקרו-סגמנטציה כדי להגביל תנועה רוחבית ולהקטין את השפעת ההתקפות.
• הצפן נתונים בעת העברה ובעת אחסון על מנת להבטיח את סודיות המידע הרגיש ואת תקינותו.
• בצע סריקות פגיעויות אוטומטיות בתהליכי ה-CI/CD כדי לזהות בעיות בתהליך הפיתוח בשלב מוקדם ככל האפשר.
• ערוך בדיקות תאימות והערכות מצב אבטחה תקופתיות קבוע כדי להקטין את הסיכון לספיגת קנסות רגולטוריים.
• הפעל מעקב מתמיד וגילוי איומים, לצד קביעת סדרי עדיפויות דינמית של סיכונים, על מנת לאפשר לצוותי אבטחת המידע להתמקד בראש ובראשונה במסלולי התקיפה שעלולים בסבירות הגבוהה ביותר להוביל לחדירה למערכת.

אם תבחר לאמץ CNAPP, ודא שהוא מציע:
 

• כיסוי ללא סוכנים לנראות רחבה ללא פגיעה בביצועים.
• תעדוף נתיבי תקיפה לטובת התמקדות בסיכונים קריטיים שעלולים להוביל לפריצות שיעלו לך ביוקר.
• הפחתת הרשאות זהות לטובת מזעור החשיפה כתוצאה מהרשאות עודפות.
• אינטגרציה עם פתרון XDR ‏(Extended Detection and Response) לצורך זיהוי איומים מאוחד.
• תיקון על סמך מחזור חיים לפתרון מהיר יותר של פגיעויות.