Qual è la differenza tra la Prova gratuita e i piani a livelli graduali?

Il piano di prova gratuito consente di accedere gratuitamente a tutte le funzionalità di Workload Protection per 30 giorni. Dopo 30 giorni, è possibile passare al piano Graduated Tier, che è il piano a pagamento. Per ulteriori informazioni, visitate la sezione Prezzi.

Come vengono calcolati i prezzi per Workload Protection?

I prezzi dipendono dall'utilizzo di Workload Protection:

• Gestione dello stato di sicurezza nel cloud (CSPM) per la conformità al cloud: il prezzo è calcolato per ogni istanza di elaborazione sottoposta a scansione. Per un elenco delle istanze di calcolo soggette a addebito, consultare la sezione " Risorse fatturabili ". Le altre risorse cloud sottoposte a scansione nell'ambito del CSPM non comportano alcun costo.
• Kubernetes Protezione tramite agenti installati sui cluster: tariffa calcolata per ora per nodo di lavoro.
• Protezione degli host con agenti installati sulle macchine virtuali: il prezzo è calcolato per ora-nodo di macchina virtuale ( VM ).

La tariffazione è calcolata mensilmente o su base oraria in base al consumo. Con l'aumento dell'utilizzo, è possibile beneficiare di sconti per volume tra i vari livelli di prezzo. Per ulteriori informazioni, visitate la sezione Prezzi.

Posso usare Terraform per automatizzare il provisioning di un Workload Protection?

Sì. Il modulo " Workload Protection " fornisce una configurazione Terraform ottimizzata per il provisioning e la gestione delle istanze di IBM Cloud Security and Compliance Center Workload Protection, tramite codice. È possibile utilizzarlo per automatizzare la configurazione delle istanze in modo coerente tra diversi account o ambienti. Per una panoramica dei moduli Terraform disponibili per l' IBM Cloud, consultare la sezione " Informazioni sui moduli Terraform per l' IBM ".

Ho bisogno di agenti separati se utilizzo sia Workload Protection che Monitoring sullo stesso cluster?

Num. Un singolo agente può raccogliere dati sia per Workload Protection (sicurezza) che per Monitoring (monitoraggio) se si collegano le istanze durante la creazione dell'istanza. Per ulteriori informazioni, consultare le domande frequenti su IBM Cloud Monitoring.

Quali sistemi operativi e piattaforme supporta l'agente Workload Protection?

L'agente supporta i cluster Kubernetes ( Kubernetes Service, ROKS), i cluster Red Hat OpenShift, i cluster Satellite, gli host Linux ( Debian, Ubuntu, CentOS, RHEL, Fedora, Amazon Linux ), i server Windows, gli host AIX su Power Virtual Server e gli host Linux su Power Virtual Server.

È inoltre possibile distribuire l'agente su Kubernetes o su cluster Red Hat OpenShift che vengono eseguiti al di fuori di IBM Cloud, anche su altri provider cloud o on-premises. Per le istruzioni di distribuzione, vedere Gestione dell'agente.

Quali porte di rete richiede l'agente Workload Protection?

L'agente richiede il traffico TCP in uscita verso l'endpoint del collettore sulla porta 6443 e verso l'endpoint API sulla porta 443. Entrambe le porte devono essere aperte per il traffico in uscita dal cluster o dall'host verso gli endpoint del servizio Workload Protection. Questo vale per le connessioni endpoint sia pubbliche che private, comprese le connessioni tramite Virtual Private Endpoint (VPE). Per un elenco degli endpoint, consultare la sezione Endpoint.

Quale versione di Helm è necessaria per distribuire l'agente Workload Protection?

Helm 3.6 o successivo è necessario per distribuire l'agente Workload Protection con un grafico Helm su cluster Kubernetes, Red Hat OpenShift, o Satellite.

Quali funzioni sono disponibili per i diversi container e host?

Workload Protection fornisce le seguenti funzionalità di sicurezza in base al luogo di distribuzione dell'agente:

Disponibilità delle funzioni in base all'ambiente

Ambiente	Rilevamento e risposta alle minacce	Posture Management	Scansione dell'host
Cluster Kubernetes
Red Hat OpenShift cluster
Satellite cluster
Linux ospiti
Server Windows
Linux host su Power Virtual Server
AIX host su Power Virtual Server

Rilevamento e risposta alle minacce

Identifica le minacce in base alle attività delle applicazioni, della rete e degli host.

Posture Management

Esamina i file di configurazione e le risorse dell'host per verificarne la conformità rispetto ai parametri di riferimento, come ad esempio i parametri di CIS.

Scansione dell'host

Rileva le vulnerabilità e identifica la priorità di risoluzione.

Per le istruzioni di distribuzione, consultare la documentazione sulla distribuzione dell'agente per Kubernetes, Red Hat OpenShift, Satellite, server Windows, host Linux su PowerVS o host AIX su PowerVS.

Come si distribuiscono gli agenti per proteggere i carichi di lavoro?

Il processo di distribuzione varia a seconda dell'ambiente in cui vengono eseguiti i carichi di lavoro:

Chi è responsabile dell'aggiornamento dell'agente Workload Protection?

IBM fornisce aggiornamenti regolari all'immagine dell'agente con nuove funzionalità, correzioni di difetti e correzioni di sicurezza e documenta le modifiche nelle note di rilascio dell'agente. L'utente è responsabile dell'aggiornamento dell'agente nel proprio ambiente per mantenerlo aggiornato quando vengono rese disponibili nuove versioni. È possibile seguire le nuove funzionalità e i miglioramenti con queste note di rilascio.

Quali servizi di IBM Cloud posso analizzare per individuare problemi di conformità?

È possibile eseguire la scansione di un'ampia gamma di servizi IBM Cloud alla ricerca di problemi di conformità, tra cui IBM Cloud Object Storage, Kubernetes Service, Red Hat OpenShift, risorse Virtual Private Cloud (VPC), Secrets Manager, database come Databases for Elasticsearch, Key Protect, Container Registry, Code Engine, Event Streams, Direct Link, Transit Gateway, Schematics, Monitoring, Hyper Protect Crypto Services, App ID, e altro ancora. Per l'elenco completo, visitare il sito IBM Cloud Security Posture Management(CSPM).

Come fa Workload Protection a raccogliere le configurazioni delle mie risorse IBM Cloud per la scansione di conformità?

Workload Protection utilizza la funzione di aggregazione di App Configuration per raccogliere i dettagli di configurazione delle risorse per la scansione di conformità. La funzione di aggregatore è gratuita e inclusa nel piano Basic di App Configuration. L'integrazione utilizza i profili di fiducia di IBM Cloud Identity and Access Management per gestire le autorizzazioni. Per ulteriori informazioni, consultare Implementazione del CSPM per IBM Cloud.

Quanto tempo occorre per visualizzare i risultati della scansione di conformità dopo aver collegato il mio account IBM Cloud a Workload Protection?

I risultati vengono generalmente visualizzati 5-10 minuti dopo la creazione della connessione, a seconda del numero di risorse presenti nell'account.

Posso utilizzare Workload Protection per analizzare la conformità della mia azienda IBM Cloud?

Sì. È possibile integrare l'account aziendale IBM Cloud per eseguire scansioni di conformità su tutti gli account dell'organizzazione. Per ulteriori informazioni, consultare Implementazione di CSPM per IBM Cloud e Impostazione di Workload Protection per la scansione di un'azienda ai fini della conformità.

Come si configura l'account aziendale per lavorare con Workload Protection?

Per consentire a Workload Protection di eseguire la scansione di tutti gli account figlio nell'azienda, è necessario impostare modelli di profilo attendibili e profili attendibili nell'account aziendale. Senza questa configurazione, App Configuration non può eseguire la scansione degli account figlio e i dati di conformità vengono raccolti solo dall'account aziendale.

Completa i seguenti passi:

1. Creare un modello di profilo attendibile con i seguenti criteri di accesso: Viewer e ConfigReader per tutti i servizi di Gestione account e Reader, Viewer e ConfigReader per tutti i servizi di Identità e accesso.
2. Assegnare il modello di profilo attendibile agli account figlio e ai gruppi di account dell'azienda.
3. Creare un profilo attendibile per concedere a App Configuration l'accesso alla lettura del modello di profilo attendibile con i seguenti criteri di accesso: ruolo Viewer per il servizio Enterprise e ruoli Template Administrator, Assignment Administrator e Viewer per tutti i servizi IAM Account Management.
4. Configurare l'aggregatore di configurazione nell'istanza App Configuration con l'ID aziendale, l'ID del modello di profilo attendibile e l'ID del profilo attendibile.

Per istruzioni dettagliate passo dopo passo, consultare la sezione Impostazione di Workload Protection per la scansione di un'azienda ai fini della conformità. Per le migliori pratiche, consultare le Migliori pratiche per gli account aziendali.

La raccolta dei dati CSPM è influenzata se si abilitano le restrizioni basate sul contesto sulle risorse di IBM Cloud?

Sì. Quando le restrizioni basate sul contesto sono abilitate per qualsiasi risorsa dell'account IBM Cloud, i dati di configurazione non possono essere raccolti a meno che non venga fornito esplicitamente l'accesso a tale risorsa. Per fornire l'accesso, è necessario creare una regola. Quando viene richiesto di aggiungere un contesto, creare una zona di rete e selezionare App Configuration come servizio di riferimento. Per ulteriori informazioni, consultare Implementazione del CSPM per IBM Cloud.

Con quale frequenza Workload Protection analizza le risorse di IBM Cloud per verificarne la conformità?

Workload Protection scansiona automaticamente tutti gli account IBM Cloud collegati ogni 24 ore in base ai criteri di conformità applicati. L'orario di 24 ore inizia quando si collega un account per la prima volta. È inoltre possibile effettuare scansioni su richiesta senza alcun costo aggiuntivo.

Le violazioni della conformità vengono visualizzate nella pagina Conformità dell'interfaccia utente Workload Protection. Un'istantanea di conformità è disponibile anche da Sicurezza > Panoramica nella console IBM Cloud.

Posso accettare un rischio di conformità senza porvi rimedio?

Sì. Per qualsiasi controllo non funzionante, è possibile accettare il rischio in modo temporaneo (con una data di scadenza) o permanente. È possibile accettare il rischio a livello di singola risorsa o a livello globale per tutte le risorse associate a un controllo specifico. I rischi accettati sono monitorati e visibili nella panoramica della conformità. Per ulteriori informazioni, visitate la sezione Analisi delle posizioni di conformità dal rilevamento alla correzione.

È possibile creare criteri e controlli di postura personalizzati?

Sì. È possibile creare criteri di postura personalizzati da zero o partendo da un criterio predefinito esistente come modello. È inoltre possibile creare controlli personalizzati e personalizzare i parametri di controllo per adattare la valutazione della conformità ai requisiti specifici dell'organizzazione. Per ulteriori informazioni, consulta la sezione " Come funziona la gestione dello stato di conformità ".

Chi è responsabile della gestione delle regole e dei criteri di rilevamento delle minacce personalizzati?

L'utente è responsabile dell'aggiornamento dei criteri personalizzati e del monitoraggio delle modifiche attraverso il proprio processo di gestione delle modifiche. IBM aggiorna le regole e i criteri predefiniti in base alle modifiche dei requisiti. Per ulteriori informazioni, consultare la sezione Comprendere le proprie responsabilità.

Di quale accesso hanno bisogno gli utenti per utilizzare Workload Protection?

Gli utenti hanno bisogno di ruoli sia di piattaforma che di servizio per lavorare con Workload Protection:

Ruoli della piattaforma

Controllare l'accesso alla gestione delle istanze in IBM Cloud. Gli utenti devono avere il ruolo di Viewer per visualizzare le istanze e il ruolo di Administrator o Editor per creare o eliminare le istanze.

Ruoli del servizio

Definire le autorizzazioni all'interno dell'interfaccia utente Workload Protection. Il ruolo di Manager fornisce l'accesso completo, compresa la gestione delle chiavi di accesso, dei team e degli agenti. Il ruolo di Writer consente di creare e modificare i contenuti, gestire i criteri e visualizzare i rapporti. Il ruolo di lettore consente l'accesso in sola visualizzazione a eventi, report e criteri.

Un utente con ruolo di piattaforma Amministratore dispone automaticamente delle autorizzazioni del ruolo di servizio Manager. Per informazioni dettagliate su ruoli e autorizzazioni, consultare Controllo dell'accesso tramite IAM.

Quali sono i criteri predefiniti che si possono utilizzare con Workload Protection?

Workload Protection offre diversi tipi di criteri predefiniti per proteggere i carichi di lavoro:

Politiche di catena di approvvigionamento

Convalidare le firme delle immagini dei container e applicare i requisiti di sicurezza prima della distribuzione. Questi criteri aiutano a garantire che nell'ambiente vengano eseguite solo immagini affidabili.

Politiche di rilevamento delle minacce

Rilevare le minacce runtime utilizzando regole basate su Falco che monitorano l'attività delle applicazioni, della rete e degli host. Queste politiche identificano i comportamenti sospetti e gli incidenti di sicurezza nel momento in cui si verificano.

Politiche di gestione delle vulnerabilità

Identificare e dare priorità alle vulnerabilità nelle immagini dei container e negli host. Queste politiche aiutano a capire quali vulnerabilità rappresentano il rischio maggiore e devono essere risolte per prime.

Politiche di postura

Valutare la conformità rispetto ai benchmark di sicurezza e ai quadri normativi, come i benchmark CIS, PCI DSS, NIST e IBM Cloud Framework for Financial Services. Questi criteri analizzano le risorse cloud e le configurazioni dei carichi di lavoro alla ricerca di violazioni della conformità.

È possibile visualizzare e applicare questi criteri da Workload Protection alla voce Criteri. Per ulteriori informazioni sui tipi di criteri e sul loro utilizzo, consultare la sezione Criteri nella documentazione di Sysdig. Per le politiche di postura specifiche di IBM Cloud, andare alla sezione Politiche di postura.

Le restrizioni basate sul contesto influenzano la connettività degli agenti di Workload Protection?

Num. Le restrizioni basate sul contesto non influiscono sulla connettività degli agenti Workload Protection perché gli agenti si autenticano utilizzando le chiavi di accesso piuttosto che i token IBM Cloud® Identity and Access Management. Gli agenti possono connettersi attraverso endpoint di servizio pubblici o privati. Per ulteriori informazioni, consultate Protezione delle risorse con restrizioni basate sul contesto.

Quando le restrizioni basate sul contesto sono abilitate per qualsiasi risorsa dell'account IBM Cloud, i dati di conformità non possono essere raccolti a meno che non venga fornito esplicitamente l'accesso a tale risorsa.

Quali ruoli IAM sono necessari per creare o aggiornare le regole di restrizione basate sul contesto per Workload Protection?

Per creare, aggiornare o eliminare le regole di restrizione basate sul contesto, un utente deve avere il ruolo di amministratore sul servizio Workload Protection. Per creare, aggiornare o eliminare le zone di rete, un utente deve avere il ruolo di Editor o di Amministratore sul servizio Restrizioni contestuali. Un utente con il ruolo Viewer del servizio Restrizioni basate sul contesto può solo aggiungere zone di rete a una regola esistente. Per ulteriori informazioni, consultate Protezione delle risorse con restrizioni basate sul contesto.

Il sito Workload Protection rimane disponibile durante le interruzioni regionali?

Sì. Workload Protection è un servizio regionale multi-tenant distribuito in regioni multizona (MZR). Ogni regione dispone di tre zone di disponibilità (data center) per la ridondanza, con alimentazione, raffreddamento e infrastruttura di rete indipendenti. Se una zona si guasta, il servizio continua a funzionare dalle zone rimanenti. Il servizio è disponibile in nove regioni tra Asia e Pacifico, Europa, Nord America e Sud America. Per ulteriori informazioni, consultare la sezione Alta disponibilità e disaster recovery.

Quali azioni generano eventi di audit in Workload Protection?

Workload Protection genera automaticamente eventi di audit Activity Tracker Event Routing quando si verificano le seguenti azioni:

• Quando le acquisizioni vengono create, lette, elencate, aggiornate o cancellate
• Quando i team vengono creati, letti, elencati, aggiornati o eliminati
• Quando vengono create le chiavi di accesso

Questi eventi sono conformi allo standard CADF (Cloud Auditing Data Federation). Per ulteriori informazioni, consultare la sezione Eventi di audit.

Quali funzioni di sicurezza avanzate offre Workload Protection?

Workload Protection fornisce funzionalità di sicurezza complete per i carichi di lavoro. Le funzioni principali includono:

Posture Management

Organizzate le risorse in zone per la valutazione della conformità, applicate i criteri di postura e monitorate la conformità nell'infrastruttura cloud e nei repository Git.

Sicurezza della catena di approvvigionamento

Convalidare le firme delle immagini, applicare i criteri della supply chain sui cluster Kubernetes e garantire che le immagini dei container soddisfino i requisiti di sicurezza prima della distribuzione.

Protezione runtime

Rilevare continuamente le minacce utilizzando le regole di rilevamento basate su Falco, sintonizzare i criteri di runtime per ridurre i falsi positivi e regolare automaticamente i criteri di sicurezza in base al comportamento osservato delle applicazioni.

Risposta agli Incidenti

Utilizzate Rapid Response per connettervi a shell remote per indagare sugli eventi di sicurezza, eseguire strumenti di sicurezza direttamente dagli avvisi e risolvere i problemi senza accesso separato all'host.

Monitoraggio delle attività

Tracciate i comandi, l'attività di rete, le operazioni sui file e le richieste API di Kubernetes con Activity Audit per le indagini forensi.

Integrazione

Inoltrare gli eventi di sicurezza a piattaforme SIEM di terze parti come Splunk, Elastic Stack, QRadar e ArcSight per un'analisi centralizzata della sicurezza.

Per la configurazione e l'utilizzo dettagliato di queste funzioni, consultare il sito Sysdig Documentazione sicura. Per la configurazione e l'integrazione specifiche di IBM Cloud, consultare il sito Workload Protection documentazione.