Muitas vezes, é da natureza do trabalho que as equipes de segurança em nuvem trabalhem com visibilidade apenas parcial ao tentar identificar e avaliar riscos cibernéticos. Mesmo quando um problema é identificado, atribuir a responsabilidade pela remediação necessária é um possível obstáculo adicional.
O resultado é uma velocidade de correção abaixo do excellent – e o processo de atribuição da responsabilidade pela correção permanece confuso. No entanto, uma solução da Tenable e da OX poderia resolver esses problemas combinando CNAPP (proteção de aplicativos nativos da nuvem) com contextos de segurança dos aplicativos.
A abordagem da dupla vincula as exposições da nuvem ao código subjacente e, portanto, aos desenvolvedores ou equipes responsáveis. Ele usa um gráfico de ativos que rastreia o risco por meio de serviços, pipelines e linhas de código. Também valida se alguma vulnerabilidade pode ser alcançada e explorada em sistemas de produção.
Reunir detecção de riscos, informações de vulnerabilidade e análise de código em um único fluxo de trabalho faz sentido operacionalmente. Permissões concedidas em excesso e vulnerabilidades emergentes podem ser mapeadas até sua origem no código-fonte, traçando um caminho claro para um desenvolvedor ou equipe específica. Se cabe aos desenvolvedores originais testar e aplicar um patch depende da organização.
As verificações de segurança começam desde o início por meio da integração com pipelines de infra-como-código e CI/CD existentes, para que problemas provenientes de repositórios desatualizados possam ser sinalizados antecipadamente. OX adiciona testes de segurança estáticos e dinâmicos (SAST e DAST, respectivamente), gerenciamento de identidade e recursos de análise.
Há uma ênfase sensata sobre se os problemas, uma vez encontrados, podem ser explorados ativamente nas condições de produção. É claro que é útil descobrir problemas em qualquer estágio do pipeline, mas quando sistemas ativos usam código comprometido que a Web em geral percebe repentinamente, a velocidade é essencial. Dado que todas as organizações implementam pacotes de terceiros que podem apresentar vulnerabilidades inerentemente, aqueles que supervisionam a cadeia de fornecimento de software program irão olhar primeiro para os sistemas de produção afetados.
O recurso de priorização de riscos da solução combina a análise no nível da infraestrutura com o contexto do aplicativo. A Tenable fornece às equipes linhas de base de risco para trabalhar, e o OX avalia o risco (de acordo com a suscetibilidade das bibliotecas afetadas, and so on.) e a capacidade de exploração de qualquer falha. Isto, dizem as empresas, pode restringir o foco das equipes às exposições que podem realmente ser usadas em um ataque, em vez de uma torrente de ícones vermelhos sem contexto quanto ao risco potencial para o negócio.
A correção pode seguir, vinculada ao proprietário relevante com detalhes, código citado, localização do repositório e histórico de commits.
O Tenable Cloud Safety (parte da plataforma Tenable One) é uma solução sem agente que abrange ambientes de nuvem múltipla e híbrida. Ele pode resolver problemas baseados em permissões, protegendo dados confidenciais ao localizar e classificar ativos automaticamente. Ele pode priorizar e categorizar informações de identificação pessoal, modelar dados de treinamento e pontos de extremidade de inferência e assim por diante, de acordo com seu valor para a organização.
A Tenable diz que as organizações que implantam a combinação de seus sistemas e do OX relatam uma ambiguidade reduzida ao atribuir propriedade aos problemas (pense nisso como uma ‘apontação de dedo’ mais útil, porém automatizada) e um tempo mais curto para remediação. “Ao conectar o risco da nuvem ao código exato e ao desenvolvedor responsável, esta parceria elimina a confusão de propriedade e interrompe ameaças críticas antes que cheguem à produção”, disse Tenable. disse em uma postagem no weblog.
(Fonte da imagem: “Clouds” da arripay está licenciado sob CC BY-SA 2.0. Para visualizar uma cópia desta licença, visite https://creativecommons.org/licenses/by-sa/2.0/?)
Quer aprender mais sobre Cloud Computing com os líderes do setor? Confira Segurança cibernética e exposição de nuvem acontecendo em Amsterdã, Califórnia e Londres. O evento abrangente faz parte TechEx e co-localizado com outros eventos de tecnologia líderes. Clique aqui para mais informações.
CloudTech Information é desenvolvido por Mídia TechForge. Discover outros eventos e webinars de tecnologia empresarial futuros aqui.