Abilitare CSPM

Abilitate il CSPM per ottenere visibilità sulla postura di sicurezza del cloud in tutte le risorse di IBM Cloud. CSPM scopre e valuta automaticamente le risorse cloud in base alle best practice di sicurezza e ai framework di conformità.

Per impostazione predefinita, CSPM è attivato quando si crea una nuova istanza di Workload Protection. Mantenete abilitato CSPM per analizzare automaticamente la conformità dell'account e delle risorse di IBM Cloud. Se si disattiva CSPM prima di creare l'istanza, è possibile impostare la connessione manualmente in un secondo momento.

Utilizzare i framework di conformità integrati

Workload Protection fornisce framework di conformità integrati come IBM Cloud Framework for Financial Services, DORA, CIS IBM Cloud Foundations Benchmark e gli standard PCI. Utilizzate questi framework per valutare la vostra posizione di conformità rispetto agli standard di settore, identificare le lacune nei controlli di sicurezza, generare report di conformità per gli audit e monitorare i progressi della correzione nel tempo.

Iniziate con i criteri predefiniti e applicateli alle zone appropriate. Queste politiche vengono regolarmente aggiornate con nuovi parametri e controlli. Se i criteri predefiniti non soddisfano le vostre esigenze, create criteri personalizzati basati su controlli esistenti o personalizzati. Mantenere le politiche in stato di bozza durante la progettazione e la configurazione per evitare di influenzare le scansioni di conformità in corso. Le politiche non vengono eseguite nell'ambiente finché non vengono pubblicate.

Esaminare e dare priorità alla riparazione

Una volta completata la prima scansione, esamina i risultati relativi alla postura nella sezione “Attack Surface > Compliance Findings ”. Non tutte le violazioni della conformità comportano lo stesso rischio. Concentrate gli sforzi di correzione in base alla gravità, in modo che i risultati critici e ad alta gravità vengano affrontati per primi. Per ulteriori informazioni, vedere Risultati.

Utilizzate l'Inventario per esaminare tutte le risorse IBM Cloud collegate e utilizzate i filtri delle funzioni per restringere il campo alle risorse più diffuse e a rischio.

Aggiungere agenti in modo strategico

Distribuite gli agenti in tutti gli ambienti in cui è necessario monitorare la visibilità della sicurezza e la conformità:

Kubernetes e OpenShift cluster

Distribuite gli agenti utilizzando i grafici di Helm per semplificare la gestione e gli aggiornamenti. Helm 3.6 o successivo è necessario. Creare uno spazio dei nomi dedicato (ad esempio, ibm-observe) per isolare gli agenti dai carichi di lavoro delle applicazioni.

Server virtuali

Installate gli agenti sui server virtuali Linux e Windows per monitorare la sicurezza a livello di host.

Ubicazioni IBM Cloud Satellite

Distribuite gli agenti nell'infrastruttura gestita da Satellite per una sicurezza coerente in tutti gli ambienti ibridi.

Le offerte Power Systems

Installare gli agenti su AIX e Linux on Power per estendere il monitoraggio della sicurezza a queste piattaforme.

Si può usare la console per collegare un cluster Red Hat OpenShift o Kubernetes esistente alla propria istanza di Workload Protection. Nella console IBM Cloud, andare su Containers > Cluster per accedere al cluster esistente. Quindi, fare clic su Connect nel widget Workload Protection per collegare il cluster a Workload Protection.

Scegliere una delle seguenti opzioni per aggiungere un agente in modo programmatico:

• Distribuzione di un agente su un cluster Kubernetes
• Distribuzione di un agente su un cluster OpenShift
• Distribuzione di un agente su Satellite
• Distribuzione di un agente sugli host Linux su Power Virtual Server
• Distribuzione di un agente sugli host AIX su Power Virtual Server
• Distribuzione di un agente su un cluster esterno Kubernetes o Red Hat OpenShift
• Distribuzione di un agente su Windows
• Distribuzione di un agente su un host Linux

Configurare gli agenti in modo appropriato

Personalizzate la configurazione dell'agente in base all'ambiente e ai requisiti:

eBPF autista

Configurare il driver universale eBPF, se supportato. Il driver universale eBPF richiede la versione del kernel 5.8 o più recente. Se si dispone di una versione precedente, è necessario il supporto del buffer ad anello BPF e un kernel che esponga il formato BTF (BPF Type Format). Se si verificano problemi durante l'installazione dell'agente, provare a rimuovere la configurazione di eBPF o contattare l'assistenza.

Endpoint privati

Se i requisiti di sicurezza richiedono che i dati non attraversino la rete Internet pubblica, configurare gli agenti per utilizzare endpoint privati. Assicurati che la funzione di instradamento e inoltro virtuale (VRF) sia abilitata per il tuo account.

Assegnazione delle risorse

Impostare i limiti di CPU e memoria appropriati per gli agenti per evitare la contesa delle risorse con i carichi di lavoro delle applicazioni. Monitorare l'utilizzo della CPU e della memoria degli agenti per garantire che non abbiano un impatto sulle prestazioni dell'applicazione.

Chiavi di accesso

Proteggere le chiavi di accesso utilizzate dagli agenti. Ruotare periodicamente le chiavi e disattivare immediatamente quelle non utilizzate per evitare accessi non autorizzati.

Tenere aggiornati gli agenti

Aggiornare regolarmente gli agenti alla versione più recente per beneficiare di nuove funzionalità, correzioni di bug e patch di sicurezza. Monitorare il sito Note di rilascio dell'agente per gli aggiornamenti.

Condividere un agente con Monitoring

Se si utilizzano sia Workload Protection che IBM Cloud Monitoring, distribuire un singolo agente che funzioni per entrambi i prodotti. È possibile collegarli quando si crea un'istanza di uno dei due servizi per evitare di distribuire agenti duplicati e ottimizzare i costi.

Organizzare le risorse con le zone

Per impostazione predefinita, Workload Protection crea una zona denominata Intera infrastruttura per tutte le risorse collegate. Create zone personalizzate per organizzare le risorse in modo logico per le valutazioni di conformità in base alla business unit, alla posizione geografica, ai requisiti di conformità e altro ancora.

Gestire le restrizioni basate sul contesto

Quando le restrizioni basate sul contesto sono abilitate per le risorse, i dati di configurazione non possono essere raccolti se non viene fornito l'accesso. Creare zone di rete appropriate e fare riferimento a App Configuration come servizio di riferimento per garantire che Workload Protection possa eseguire la scansione delle risorse. Per ulteriori informazioni, vedere Creazione di restrizioni basate sul contesto.

Impostazione di modelli di profilo affidabili

Gli account aziendali devono impostare un modello di profilo attendibile per consentire a Workload Protection di eseguire la scansione degli account figlio per verificarne la conformità. Si tratta di un requisito fondamentale per la gestione della conformità a livello aziendale con CSPM. Per ulteriori informazioni, vedere Impostare App Configuration per raccogliere i dati di configurazione da tutti gli account figlio.

Creare zone basate su ID account figlio per organizzare e gestire i rapporti di conformità per le diverse parti dell'azienda.

Abilitare IAM per gli account aziendali

Gli account aziendali devono essere abilitati allo IAM per supportare i modelli di profilo affidabili e la scansione incrociata degli account. Verificare che l'account aziendale abbia IAM abilitato prima di tentare di impostare CSPM per gli account figlio.

Gestire l'accesso in tutta l'azienda

Implementate il principio del minor privilegio in tutta l'azienda:

• Utilizzate i gruppi di accesso IAM per organizzare gli utenti con esigenze di accesso simili.
• Concedete agli utenti solo le autorizzazioni minime necessarie per svolgere i loro compiti.
• Separare adeguatamente i ruoli di piattaforma e di servizio.
• Rivedere regolarmente l'accesso per garantire che le autorizzazioni rimangano appropriate al variare dei ruoli.