Bewährte Vorgehensweisen für Workload Protection

Lesen Sie die folgenden Best Practices, damit Sie das Beste aus IBM Cloud® Security and Compliance Center Workload Protection herausholen können.

Cloud Security Posture Management (CSPM)

Das Cloud Security Posture Management (CSPM) unterstützt Sie dabei, Ihre Cloud-Sicherheitslage kontinuierlich zu bewerten und zu verbessern, indem es Compliance-Verstöße in Ihrem „ IBM Cloud “-Konto und Ihren Ressourcen identifiziert. Weitere Informationen finden Sie unter „ Cloud-Compliance sicherstellen “.

KSPM aktivieren

Mit CSPM erhalten Sie einen Einblick in Ihre Cloud-Sicherheitslage für alle Ihre IBM Cloud Ressourcen. CSPM erkennt und bewertet Ihre Cloud-Ressourcen automatisch anhand bewährter Sicherheitspraktiken und Compliance-Rahmenbedingungen.

Standardmäßig wird CSPM aktiviert, wenn Sie eine neue Workload Protection Instanz erstellen. Lassen Sie CSPM aktiviert, um Ihr IBM Cloud Konto und Ihre Ressourcen automatisch auf Konformität zu prüfen. Wenn Sie CSPM vor der Erstellung der Instanz deaktivieren, können Sie die Verbindung später manuell einrichten.

Integrierte Rahmenwerke für die Einhaltung von Vorschriften verwenden

Workload Protection bietet integrierte Compliance-Frameworks wie IBM Cloud Framework for Financial Services, DORA, CIS IBM Cloud Foundations Benchmark und PCI-Standards. Mithilfe dieser Rahmenwerke können Sie Ihre Konformität mit den Branchenstandards bewerten, Lücken in Ihren Sicherheitskontrollen erkennen, Konformitätsberichte für Audits erstellen und den Fortschritt bei der Behebung von Mängeln im Laufe der Zeit verfolgen.

Beginnen Sie mit vordefinierten Richtlinien und wenden Sie diese auf die entsprechenden Zonen an. Diese Richtlinien werden regelmäßig mit neuen Parametern und Kontrollen aktualisiert. Wenn vordefinierte Richtlinien Ihren Anforderungen nicht genügen, erstellen Sie benutzerdefinierte Richtlinien auf der Grundlage vorhandener oder angepasster Kontrollen. Behalten Sie beim Entwerfen und Konfigurieren von Richtlinien den Entwurfsstatus bei, um laufende Compliance-Scans nicht zu beeinträchtigen. Richtlinien werden erst dann in Ihrer Umgebung ausgeführt, wenn sie veröffentlicht wurden.

Überprüfung und Priorisierung von Abhilfemaßnahmen

Überprüfen Sie nach Abschluss des ersten Scans die Ergebnisse zur Compliance unter „Attack Surface“ > „Compliance Findings “. Nicht alle Compliance-Verstöße sind mit dem gleichen Risiko verbunden. Konzentrieren Sie Ihre Abhilfemaßnahmen nach Schweregrad, so dass kritische und besonders schwerwiegende Feststellungen zuerst behandelt werden. Weitere Informationen finden Sie unter Befunde.

Verwenden Sie die Bestandsaufnahme, um alle verknüpften Ressourcen von IBM Cloud zu überprüfen, und verwenden Sie Funktionsfilter, um die am häufigsten vorkommenden und gefährdeten Ressourcen einzugrenzen.

Berichte anzeigen und planen

In Workload Protection ist eine hoch skalierbare und leistungsstarke Berichtsplattform integriert. Damit können Sie Berichte mit großen Datenmengen zu Prüfzwecken erstellen und planen. Weitere Informationen finden Sie unter Berichterstattung.

Arbeit mit Agenten

Agenten sammeln Sicherheits- und Compliance-Daten aus Ihren Workloads. Befolgen Sie diese Best Practices, um eine optimale Bereitstellung und Verwaltung von Agenten zu gewährleisten.

Strategisch Agenten hinzufügen

Stellen Sie Agenten in allen Umgebungen bereit, in denen Sie Sicherheitstransparenz und Compliance-Überwachung benötigen:

Kubernetes sowie die Cluster „ OpenShift “
Stellen Sie Agenten mithilfe von Helm Diagrammen bereit, um die Verwaltung und Aktualisierung zu erleichtern. Helm 3.6 oder später ist erforderlich. Erstellen Sie einen eigenen Namensraum (z. B. ibm-observe), um Agenten von Anwendungs-Workloads zu isolieren.
Virtuelle Server
Installieren Sie Agenten auf Linux und virtuellen Windows-Servern, um die Sicherheit auf Host-Ebene zu überwachen.
IBM Cloud Satellite Standorte
Bereitstellung von Agenten in der von Satellite verwalteten Infrastruktur für konsistente Sicherheit in hybriden Umgebungen.
Stromversorgungssysteme
Installieren Sie Agenten auf AIX und Linux on Power, um die Sicherheitsüberwachung auf diese Plattformen auszuweiten.

Sie können die Konsole verwenden, um einen bestehenden Red Hat OpenShift oder Kubernetes Cluster mit Ihrer Instanz von Workload Protection zu verbinden. Gehen Sie in der Konsole IBM Cloud zu Containers > Clusters, um auf den vorhandenen Cluster zuzugreifen. Klicken Sie dann im Widget Workload Protection auf Verbinden, um Ihren Cluster mit Workload Protection zu verbinden.

Wählen Sie eine der folgenden Optionen, um einen Agenten programmgesteuert hinzuzufügen:

Agenten entsprechend konfigurieren

Passen Sie die Konfiguration des Agenten an Ihre Umgebung und Anforderungen an:

eBPF Fahrer
Konfigurieren Sie den Universaltreiber eBPF, wenn er unterstützt wird. Der Universaltreiber eBPF erfordert die Kernelversion 5.8 oder eine neuere. Wenn Sie eine ältere Version haben, benötigen Sie BPF-Ringpuffer-Unterstützung und einen Kernel, der BTF (BPF Type Format) unterstützt. Wenn bei der Installation des Agenten Probleme auftreten, versuchen Sie, die Konfiguration von eBPF zu entfernen, oder wenden Sie sich an den Support.
Private Endpunkte
Wenn Ihre Sicherheitsanforderungen vorschreiben, dass Daten nicht über das öffentliche Internet übertragen werden dürfen, konfigurieren Sie Agenten so, dass sie private Endpunkte verwenden. Stellen Sie sicher, dass „Virtual Routing and Forwarding“ (VRF) für Ihr Konto aktiviert ist.
Ressourcenzuordnung
Legen Sie angemessene CPU- und Speicherlimits für Agenten fest, um Ressourcenkonflikte mit Anwendungs-Workloads zu vermeiden. Überwachen Sie die CPU- und Speichernutzung von Agenten, um sicherzustellen, dass sie die Anwendungsleistung nicht beeinträchtigen.
Zugriffsschlüssel
Schutz der von Agenten verwendeten Zugangsschlüssel. Drehen Sie die Schlüssel regelmäßig und deaktivieren Sie nicht verwendete Schlüssel sofort, um unbefugten Zugriff zu verhindern.

Agenten auf dem Laufenden halten

Aktualisieren Sie Agenten regelmäßig auf die neueste Version, um von neuen Funktionen, Fehlerkorrekturen und Sicherheitspatches zu profitieren. Überprüfen Sie die Versionshinweise des Agenten auf Aktualisierungen.

Einen Agenten teilen mit Monitoring

Wenn Sie sowohl Workload Protection als auch IBM Cloud Monitoring verwenden, stellen Sie einen einzigen Agenten bereit, der für beide Produkte funktioniert. Sie können sie verbinden, wenn Sie eine Instanz eines der beiden Dienste erstellen, um die Bereitstellung doppelter Agenten zu vermeiden und die Kosten zu optimieren.

Zonen und Politiken

Zonen und Richtlinien sind von grundlegender Bedeutung für die Organisation Ihrer Compliance-Überwachung und die Anwendung der richtigen Sicherheitskontrollen auf Ihre Ressourcen.

Organisieren von Ressourcen mit Zonen

Standardmäßig erstellt Workload Protection eine Zone mit dem Namen " Gesamte Infrastruktur" für alle angeschlossenen Ressourcen. Erstellen Sie benutzerdefinierte Zonen, um Ressourcen für Compliance-Bewertungen auf der Grundlage von Geschäftseinheiten, geografischen Standorten, Compliance-Anforderungen und mehr logisch zu organisieren.

Umgang mit kontextbezogenen Einschränkungen

Wenn kontextbezogene Beschränkungen für Ressourcen aktiviert sind, können Konfigurationsdaten nur gesammelt werden, wenn der Zugriff gewährt wird. Erstellen Sie entsprechende Netzwerkzonen und verweisen Sie auf App Configuration als Referenzdienst, um sicherzustellen, dass Workload Protection Ihre Ressourcen scannen kann. Weitere Informationen finden Sie unter Erstellen kontextbezogener Einschränkungen.

Konten für Unternehmen

Wenn Sie ein IBM Cloud Unternehmenskonto haben, befolgen Sie diese bewährten Verfahren, um ein umfassendes Posture Management für alle untergeordneten Konten in Ihrem Unternehmen zu ermöglichen.

Vertrauenswürdige Profilvorlagen einrichten

Unternehmenskonten müssen eine vertrauenswürdige Profilvorlage einrichten, damit Workload Protection untergeordnete Konten auf Konformität prüfen kann. Dies ist eine wichtige Voraussetzung für das unternehmensweite Compliance-Management mit CSPM. Weitere Informationen finden Sie unter Einrichten von App Configuration, um Konfigurationsdaten von allen untergeordneten Konten zu sammeln.

Erstellen Sie Zonen auf der Grundlage von untergeordneten Konto-IDs, um die Compliance-Berichterstattung für verschiedene Bereiche Ihres Unternehmens zu organisieren und zu verwalten.

IAM für Unternehmenskonten aktivieren

Unternehmenskonten müssen IAM-aktiviert sein, um vertrauenswürdige Profilvorlagen und kontoübergreifendes Scannen zu unterstützen. Vergewissern Sie sich, dass für Ihr Unternehmenskonto IAM aktiviert ist, bevor Sie versuchen, CSPM für untergeordnete Konten einzurichten.

Verwalten des Zugriffs im gesamten Unternehmen

Setzen Sie in Ihrem Unternehmen das Prinzip der geringsten Privilegien um:

  • Verwenden Sie IAM-Zugriffsgruppen, um Benutzer mit ähnlichen Zugriffsanforderungen zu organisieren.
  • Gewähren Sie den Benutzern nur die für die Ausführung ihrer Aufgaben erforderlichen Mindestberechtigungen.
  • Trennen Sie Plattform- und Servicerollen angemessen voneinander.
  • Überprüfen Sie den Zugriff regelmäßig, um sicherzustellen, dass die Berechtigungen bei einem Rollenwechsel angemessen bleiben.