Cloud Computing
Il cloud computing, che comporta il trasferimento o lo sviluppo di applicazioni o intere parti del sistema informativo aziendale in ambienti remoti gestiti da fornitori esterni, rappresenta una delle evoluzioni tecnologiche più rilevanti degli ultimi anni. Sebbene i servizi cloud offrano benefici in termini di flessibilità, scalabilità, riduzione dei costi e facilità di gestione, richiedono una particolare attenzione.
La natura distribuita di queste infrastrutture introduce maggiori livelli di complessità e coinvolge nuovi intermediari nella catena di gestione e controllo.
Penetration Test e Vulnerability Assessment Cloud
In aggiunta alle vulnerabilità interne, che possono essere gestite attraverso analisi appropriate, il Cloud espone a potenziali cybercriminali ulteriori punti di accesso.
Gli attacchi informatici possono provenire sia dall’esterno che dall’interno del cloud. Le minacce possono arrivare da aggressori esterni, come hacker o cybercriminali, o da interni, ad esempio dipendenti o consulenti disonesti all’interno della struttura del provider, o da altri utenti che condividono lo stesso ambiente cloud. Quest’ultimo rischio, noto come minaccia da parte di altri utenti del cloud, è particolarmente pericoloso in quanto dipende da elementi al di fuori del controllo dell’azienda. Pertanto, eseguire un Vulnerability Assessment e un Penetration Test specifico per il Cloud è fondamentale, anche per affrontare minacce che trascendono le buone pratiche implementate.
I rischi di sicurezza nel Cloud si applicano a qualsiasi tipologia di servizio, che sia Software as a Service (SaaS), Platform as a Service (PaaS) o Infrastructure as a Service (IaaS).
Cloud security service di Safecore
Safecore ha una grande esperienza nell’implementazione e nella sicurezza cloud. Copriamo tutti gli aspetti di sicurezza di piattaforme basate sui maggiori cloud provider (AWS, Azure, GCP, Alibaba), così come quella di infrastrutture basate su cloud privati (Private Cloud) o ibridi (Hybrid Cloud). Il nostro know-how ci permette di valutare efficacemente un’infrastruttura cloud così come è implementata, fino ad arrivare agli aspetti più complessi e generali inerenti la sicurezza dell’architettura ed il contenimento e la mitigazione degli scenari di rischio tipici di questo paradigma.
Come funzionano Pt e Va per il Cloud?
Safecore effettua il proprio esaustivo pacchetto di Vulnerability Assessment e Penetration Test dedicati su tutte le componenti della struttura cloud: front- end, servizi REST, servizi accessori, network e rete di management, analisi di specifiche istanze e template, fino alla revisione delle configurazioni dei singoli tenant.
I nostri specialisti, quindi, rivolgono la propria attenzione al “contenitore” Cloud, per verificare che le impostazioni a livello di monitoring, logging, IAM, network o altro ancora siano in linea con le best practices di hardening. Questo Cloud Assessment completo permette di identificare tutte le potenziali minacce, sia derivanti da rischi di sicurezza interni, come scarsa applicazione delle buone pratiche, sia derivanti dal debolezze nel servizio di Cloud, intrinseche o causate, per esempio, da altre realtà che condividono lo stesso servizio.
Come avvengono Pt e Va per il Cloud?
Come per ogni altro servizio di analisi proposto da Safecore, gli esperti concordano con il cliente i test di sicurezza da effettuare, sia sulla base delle esigenze specifiche dell’azienda, sia sulla base di una analisi preliminare. I nostri servizi di analisi e verifica coprono tutte le potenziali falle di debolezza dei servizi in Cloud.
I parametri per simulare un potenziale pericolo
Si possono utilizzare vari parametri per simulare diverse condizioni di rischio potenziale. Tra i principali:
- Origine degli attacchi: è fattibile replicare e analizzare attacchi provenienti da outsider, insider e tenant sospetti.
- Modalità operative basate sulle informazioni o risorse disponibili. Si parte dalla modalità black-box, senza alcuna conoscenza preliminare dell’infrastruttura da testare, passando per la modalità gray-box, con informazioni parziali come le credenziali degli utenti, fino alla modalità white-box, con piena conoscenza dei dettagli implementativi, degli schemi architetturali, ecc.
Questo tipo di valutazione della sicurezza nel cloud permette di individuare potenziali punti di attacco e vulnerabilità nell’infrastruttura. Dopo questa fase iniziale di analisi, gli specialisti di Safecore forniranno al cliente le strategie di rimedio necessarie per garantire la sicurezza del Cloud aziendale e prevenire future vulnerabilità.
Scopo e architettura del servizio
SCOPO
Le valutazioni della sicurezza del cloud interrogano il tuo ambiente cloud per identificare errori di configurazione e vulnerabilità della sicurezza che espongono la tua organizzazione a rischi indebiti.
Le configurazioni errate comuni includono accessi e autorizzazioni eccessivi concessi a ruoli e utenti, archiviazione cloud accessibile pubblicamente e mancanza di registrazione e monitoraggio.
Safecore sfrutta i nostri esperti di sicurezza AWS interni per dare un’occhiata pratica ai tuoi account AWS per convalidare l’aderenza alle best practice di sicurezza AWS.
ARCHITETTURA
Una architettura ed infrastruttura sicura delle applicazioni cloud sono imprescindibili per la protezione dei dati. La sicurezza va implementata già nella fase di design e sviluppo per essere efficace e quindi ri-verificata ad intervalli regolari man mano che l’architettura cresce, si adatta e matura. Questa efficacia è anche economica dato che integrare la sicurezza in un’architettura cloud troppo tardi è costoso ed impegnativo in termini di tempo. Ogni membro del nostro team ha una vasta esperienza sia nell’ingegneria del software che nella sicurezza cloud ed è proprio grazie a questa conoscenza che effettuiamo un security assessment di qualità e specifico rispetto le tecnologie utilizzate dal cliente.
Output
Il risultato consegnato al cliente consisterà in un rapporto dettagliato e chiaro che illustra le conclusioni raggiunte dal team, riassumendo i risultati dell’analisi condotta. In particolare, il rapporto è strutturato in tre sezioni tematiche principali:
Sintesi non tecnica dell’analisi effettuata e della situazione attuale della sicurezza nell’infrastruttura cloud. Questo documento è pensato per il Management.
Sezione destinata al Security Manager: si concentra sugli aspetti specifici dell’analisi. In questa parte, vengono esposte in modo dettagliato le vulnerabilità rilevate all’interno dell’infrastruttura cloud, assieme alla loro potenziale influenza sull’applicazione.
Sezione tecnica rivolta ai System Administrator, che include indicazioni dettagliate su come affrontare e risolvere le problematiche e le vulnerabilità individuate nell’infrastruttura cloud.
Chi ne può beneficiare?
Penetration Test e Vulnerability Assessment per il Cloud sono a disposizione di qualsiasi azienda e organizzazione che utilizzi provider di infrastrutture e piattaforme cloud pubbliche e i relativi servizi (basati su OpenStack, Azure, Google Cloud o AWS) per tenere sotto controllo i rischi associati e seguire le best practice di settore, per esempio quelli suggeriti dalla Cloud Security Alliance.
