Co to jest zarządzanie upoważnieniami do infrastruktury chmurowej (CIEM)?

Cloud Infrastructure Entitlement Management (CIEM) to rozwiązanie zabezpieczające w chmurze służące do zarządzania tożsamościami i uprawnieniami w chmurze zgodnie z zasadą najmniejszych uprawnień (POLP).

CIEM wykorzystuje uczenie maszynowe i analitykę do wykrywania anomalii w uprawnieniach kont w środowiskach wielochmurowych. Ta widoczność umożliwia organizacjom stosowanie spójnego zarządzania dostępem do tożsamości (IAM) w usługach w chmurze w celu ograniczenia zagrożeń cybernetycznych, takich jak naruszenia danych i eksfiltracja danych

Rozwiązania CIEM są dostarczane w modelu SaaS (software-as-a-service) wraz z innymi rozwiązaniami zabezpieczeń w chmurze, takimi jak Cloud Security Posture Management (CSPM) i Cloud Access Service Brokers (CASB).

Co to jest Cloud Identity?

Tożsamość w chmurze to dowolna jednostka mająca dostęp do usług w chmurze/zasobów w chmurze. Istnieją dwa typy tożsamości w chmurze:

• Tożsamość ludzka — dowolna osoba uzyskująca dostęp do chmury, np. użytkownicy, administratorzy, programiści.
• Tożsamość inna niż ludzka (usługa) — dowolna jednostka inna niż człowiek, która uzyskuje dostęp do chmury w imieniu człowieka, np. połączone urządzenia, administrator IT, infrastruktura zdefiniowana programowo (SDI), sztuczna inteligencja (AI).

Organizacja może przyznać obu tym typom tożsamości w chmurze uprawnienia do chmury.

Co to jest uprawnienie do chmury?

Uprawnienia do chmury określają, które zadania może wykonywać tożsamość i do jakich zasobów może uzyskiwać dostęp w infrastrukturze chmury organizacji.

Głównymi typami uprawnień są zasoby w chmurze i usługi w chmurze.

• Zasoby chmurowe, np. pliki, maszyny wirtualne (VM) i serwery, kontenery bezserwerowe.
• Usługi w chmurze, np. bazy danych, zasobniki i pamięć masowa, aplikacje, usługi sieciowe.

Jak działa CIEM

CIEM działa w oparciu o zasadę najmniejszych uprawnień (POLP) do zarządzania uprawnieniami użytkowników do chmury prywatnej i publicznej, minimalizując ryzyko nadawania nadmiernych uprawnień.

Skuteczne rozwiązania CIEM są zgodne z pięcioetapowym cyklem życia funkcji IAM w chmurze.

Czym jest zasada najmniejszych uprawnień (POLP)?

Zasada najmniejszych uprawnień (POLP) to koncepcja cyberbezpieczeństwa, która ogranicza prawa dostępu do kont użytkowników tylko do tych, które są niezbędne do spełnienia ich wymagań dotyczących pracy.

Stosowanie tak ścisłej kontroli dostępu za pośrednictwem dostępu uprzywilejowanego pomaga organizacjom zminimalizować powierzchnię ataku i narażenie na wycieki chmury, naruszenia danych, zagrożenia wewnętrzne i inne zagrożenia cybernetyczne.

POLP jest kluczowym elementem architektury sieci zero-trust (ZTNA).

Cykl życia CIEM

Cykl życia CIEM to rama, którą powinny przestrzegać wszystkie skuteczne rozwiązania CIEM, aby zapewnić skalowalne egzekwowanie najniższych uprawnień we wdrożeniach w chmurze.

Struktura umożliwia organizacjom łatwe zarządzanie uprawnieniami wszystkich tożsamości w środowiskach wielochmurowych i monitorowanie ich.

• Odnajdywanie kont i uprawnień: zapewnia szczegółowy wgląd w tożsamości w chmurze i ich uprawnienia, zgodnie z działaniami opartymi na chmurze.

• Optymalizacja uprawnień: Wymusza ścisłą kontrolę dostępu za pośrednictwem TGE.

• Korelacja upoważnień między chmurami: umożliwia spójność zasad uprawnień we wdrożeniach w chmurze.

• Wizualizacja uprawnień: Centralizuje punkty danych w zwięzłe, praktyczne informacje, umożliwiając zespołom ds. zabezpieczeń i DevOps skuteczne monitorowanie stanu zabezpieczeń w chmurze i dostępu użytkowników do zasobów w chmurze.

• Korygowanie: identyfikuje zagrożenia związane z prawami dostępu, takie jak nadmierne uprawnienia, oraz udostępnia alerty i zautomatyzowane odpowiedzi zespołom ds. zabezpieczeń i metodyki DevOps po wykryciu zagrożeń.

Znaczenie zarządzania tożsamością w chmurze

Transformacja cyfrowa przyczyniła się do przyjęcia chmury obliczeniowej, do czego przyczyniło się niedawne zapotrzebowanie na zdalny dostęp spowodowany pandemią COVID-19 i elastyczną organizacją pracy.

Gartner przewiduje, że do 2025 r. 85% organizacji wdroży strategię cloud-first, a 95% nowych obciążeń cyfrowych będzie wdrażanych na platformach natywnych dla chmury - to wzrost o 35% w stosunku do 2021 r.

W przeciwieństwie do tradycyjnych sieci lokalnych, chmura nie może polegać na fizycznych obwodach zabezpieczeń sieci i zaporach sieciowych w celu zapewnienia bezpieczeństwa.

Brak stałego obwodu oznacza, że rola tożsamości jako mechanizmu bezpieczeństwa jest znacznie bardziej krytyczna w środowisku chmury.

Istniejące rozwiązania do zarządzania tożsamościami i dostępem (IAM), takie jak administracja zarządzania tożsamościami (IGA) i zarządzanie dostępem uprzywilejowanym (PAM), nie zapewniają szczegółowej widoczności niezbędnej do zabezpieczenia zasobów w chmurze na dużą skalę.

Gartner spodziewa się również, że do 2025 r. 99% awarii zabezpieczeń w chmurze będzie winą klienta, co jeszcze bardziej zwiększy presję na organizacje, aby hojnie inwestowały w bezpieczeństwo danych w chmurze.

Rozwiązania CIEM wypełniają lukę w możliwościach tych tradycyjnych rozwiązań, umożliwiając organizacjom zarządzanie uprawnieniami w chmurze i monitorowanie ich we wdrożeniach wielochmurowych.

Rozwiązywanie problemów związanych z IAM w chmurze

Zarządzanie tożsamościami w chmurze jest wyzwaniem z kilku powodów.

Poniżej przedstawiono niektóre z głównych wyzwań, przed którymi stoją organizacje związane z IAM we wdrożeniach w chmurze, oraz sposób, w jaki rozwiązania CIEM mogą pomóc w ich rozwiązaniu.

Brak widoczności

Skalowalność infrastruktury chmurowej na żądanie jest jedną z jej głównych zalet, ale także wad. Stale rozwijający się charakter środowisk chmurowych komplikuje możliwość skutecznego monitorowania tożsamości i ich uprawnień dostępu oraz zarządzania nimi, ponieważ zespoły ds. bezpieczeństwa tracą wgląd we wszystkie tożsamości w sieci.

Rozwiązania CIEM zapewniają szczegółowy wgląd w uprawnienia i aktywność wszystkich tożsamości w środowisku chmury. Dzięki CIOM administratorzy mogą szybko zidentyfikować, kto uzyskuje dostęp do określonych zasobów/usług w chmurze i dokładny czas, w którym uzyskuje do nich dostęp.

Niespójne mechanizmy bezpieczeństwa

Organizacje prawdopodobnie korzystają z wielu różnych usług w chmurze do wykonywania różnych operacji biznesowych. Każdy dostawca usług w chmurze ma unikatowe zasady zabezpieczeń i możliwości zarządzania dostępem i tożsamościami, co powoduje niespójności w zabezpieczeniach w całym środowisku chmury.

Identyfikowanie i korygowanie luk w zabezpieczeniach i luk w zabezpieczeniach każdej platformy pochłania znaczną ilość czasu i zasobów zespołów ds. bezpieczeństwa.

CIEM to scentralizowana platforma do wdrażania IAM we wdrożeniach w chmurze. Rozwiązania CIEM mogą stosować spójne zasady zabezpieczeń na wszystkich platformach chmurowych, wymuszając dostęp z najmniejszymi uprawnieniami.

Luka w uprawnieniach

Przenoszenie obciążeń do chmury jest czasochłonnym procesem dla administratorów. Aby zaoszczędzić czas, organizacje często przypisują użytkownikom nadmierne uprawnienia, zamiast korzystać z indywidualnego uznania, tworząc lukę w uprawnieniach do chmury.

Te niepotrzebne uprawnienia narażają organizacje na niepotrzebne zagrożenia cybernetyczne.

Innym częstym czynnikiem przyczyniającym się do luki w uprawnieniach jest obecność nieaktywnych tożsamości — użytkowników z dostępem do zasobów i usług w chmurze, których nie używają.

Narzędzia CIEM mogą identyfikować nadmierną alokację uprawnień i powiadamiać zespoły ds. zabezpieczeń o użytkownikach z nieodpowiednimi uprawnieniami.

Najlepsi dostawcy CIEM

Następujący dostawcy zapewniają organizacjom skuteczne rozwiązania CIEM.

1. Authomizacja

Platforma Authomize integruje SaaS, Platform-as-a-Service (PaaS), Data, IT Service Management (ITSM) i (Identity Providers) IdPs Identity Providers w celu normalizacji i skorelowania tożsamości organizacji i uprawnień do kont, generując ujednolicony model dostępu i autoryzacji.

Authomize jest kompatybilny ze wszystkimi głównymi dostawcami usług w chmurze (CSP), w tym Azure, AWS i GCP.

Główne cechy:

• Ochrona klejnotów koronnych
• Wymuszanie najmniejszych uprawnień
• Egzekwowanie barier ochronnych w chmurze
• Wykrywanie podejrzanych zachowań

2. Brytyjski

Britive to natywne rozwiązanie chmurowe, które zapewnia ujednolicony dostęp między chmurami.

Główne cechy:

• Aprowizacja just in time
• Zarządzanie wpisami tajnymi
• Odnajdywanie między chmurami
• Proaktywne monitorowanie zagrożeń
• Wymuszanie najmniejszych uprawnień

Britive jest kompatybilny z Azure, AWS, GCP, Oracle Cloud i Service Now.

3. Skaler

Rozwiązanie Cloud Protection firmy Zscaler zapewnia dostęp do zasobów w chmurze z najmniejszymi uprawnieniami dla użytkowników, aplikacji i maszyn, z zasadami dostępu zalecanymi przez uczenie maszynowe.

Rozwiązanie Zscaler Cloud Protection jest zgodne ze wszystkimi głównymi dostawcami usług w chmurze (CSP), w tym Azure, AWS i GCP.

Główne cechy:

• Zasady uprawnień "Bezpieczne do usunięcia"
• Mapowanie uprawnień
• Priorytetyzacja oparta na ryzyku
• Część większej platformy ochrony danych

4. Bezpieczeństwo CloudKnox

Platforma CloudKnox Security CloudKnox Permissions Management to rozwiązanie do zarządzania uprawnieniami (CIEM) infrastruktury chmurowej, obecnie w wersji zapoznawczej, które zapewnia widoczność i kontrolę nad uprawnieniami dla tożsamości w chmurze.

CloudKnox jest kompatybilny z Microsoft Azure, Amazon Web Services (AWS) i Google Cloud Platform (GCP).

Funkcje:

• Pełna widoczność
• Automatyczny dostęp z najmniejszymi uprawnieniami
• Ujednolicone zasady dostępu do chmury

5. Ermetyczny

Ermetic automatyzuje zarządzanie uprawnieniami i korygowanie ryzyka.

Platforma jest kompatybilna ze wszystkimi głównymi dostawcami usług w chmurze, w tym Azure, AWS i GCP.

Główne cechy:

• Widoczność w wielu chmurach i zarządzanie zasobami
• Ocena ryzyka w odniesieniu do tożsamości, sieci i danych
• Automatyczne korygowanie
• Proaktywne egzekwowanie zasad i przesunięcie w lewo
• Anamoly i wykrywanie zagrożeń
• Zarządzanie zgodnością i dostępem

6. Obsydianowe bezpieczeństwo

Obsidian pomaga zespołom ds. bezpieczeństwa podejmować świadome decyzje dotyczące uprzywilejowanego dostępu w celu ograniczenia ryzyka, obniżenia niepotrzebnych kosztów i ochrony najbardziej krytycznych aplikacji biznesowych organizacji.

Obsidian Security jest kompatybilny ze wszystkimi głównymi dostawcami usług w chmurze, w tym Microsoft Azure, Amazon Web Services (AWS) i Google Cloud Platform (GCP).

Funkcje:

• Modele uczenia maszynowego do identyfikowania pełzania uprawnień
• Dostęp użytkowników i monitorowanie aktywności
• Analityka danych

6. Punkt Żagla

Platforma Cloud Governance firmy SailPoint wykrywa i chroni platformy i zasoby chmurowe za pomocą sztucznej inteligencji i uczenia maszynowego.

Funkcje:

• Pełna widoczność
• Zautomatyzowane przydzielanie i monitorowanie dostępu
• Modelowanie polityki i zarządzanie nią
• Zautomatyzowane przeglądy dostępu i tworzenie raportów

7. Saviynt

Platforma Saviynt ustanawia i egzekwuje zasady dostępu oparte na ryzyku w odniesieniu do tożsamości maszyn, dzięki czemu organizacje mogą rozszerzać nadzór, zabezpieczać dane i spełniać wymagania dotyczące zgodności.

Saviynt jest kompatybilny ze wszystkimi głównymi dostawcami usług w chmurze, w tym Microsoft Azure, Amazon Web Services (AWS) i Google Cloud Platform (GCP).

Funkcje:

• Zarządzanie cyklem życia tożsamości i dostępu
• Zautomatyzowana aprowizacja w czasie rzeczywistym
• Wymiana kontrolna
• Wzajemny podział obowiązków (SoD)
• Szczegółowa widoczność uprawnień
• Zarządzanie dostępem do danych w oparciu o ryzyko

Przyszłość zarządzania tożsamością w chmurze

Organizacje zwiększają inwestycje w dostawców infrastruktury jako usługi (IaaS), takich jak Microsoft Azure, Amazon Web Services (AWS) i Google Cloud Computing (GCP). Wraz ze wzrostem liczby tożsamości w chmurze w tych infrastrukturach rozszerzają się powierzchnie ataków wewnętrznych i innych firm.

CIEM usprawnia zarządzanie dostępem i tożsamościami w całym środowisku chmury, pomagając organizacjom poprawić stan zabezpieczeń chmury. Zapewniając zespołom ds. bezpieczeństwa scentralizowany wgląd i kontrolę nad uprawnieniami użytkowników, organizacje mogą ograniczyć typowe zagrożenia bezpieczeństwa w chmurze, takie jak wycieki danych, naruszenia danych i inne cyberataki podejmowane przez zagrożenia wewnętrzne. Rozwiązania CIEM dobrze współpracują z innymi technologiami zabezpieczeń w chmurze, takimi jak brokerzy usług dostępu do chmury (CASB) i narzędzia do zarządzania stanem zabezpieczeń w chmurze (CSPM), aby zapewnić bardziej skuteczną ochronę przed zagrożeniami cybernetycznymi.

Aby zapewnić kompleksowe bezpieczeństwo w chmurze, organizacje muszą identyfikować takie zagrożenia cybernetyczne w czasie rzeczywistym, aby je zaradzić, zanim dojdzie do poważnego incydentu bezpieczeństwa. Organizacje mogą jeszcze bardziej wzmocnić swoje strategie ochrony w chmurze, łącząc funkcjonalność rozwiązania CIEM z rozwiązaniem do zarządzania powierzchnią ataku, takim jak UpGuard BreachSight.