Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Search Resource - BlogResource - WebinarResource - ReportResource - Eventicons_066 icons_067icons_068icons_069icons_070

Blog da Tenable

Inscrever-se

Como escolher uma ferramenta de CSPM moderna para reduzir o risco de sua infraestrutura em nuvem

Como escolher uma ferramenta de CSPM moderna para reduzir o risco de sua infraestrutura em nuvem

As soluções de gerenciamento da postura de segurança na nuvem tornaram-se obrigatórias para detectar e corrigir configurações incorretas em nuvens públicas, do código ao tempo de execução.

À medida que as organizações adotam avidamente serviços em nuvem pública para transformar digitalmente os processos de negócios, elas encontram vulnerabilidades críticas baseadas em nuvem que suas ferramentas legadas não conseguem resolver. Para encontrar e corrigir essas falhas de software, configurações incorretas e comprometimentos de identidade, as organizações precisam de uma solução de gerenciamento da postura de segurança em nuvem (CSPM).

Introduzidas há alguns anos, as ofertas de CSPM passaram por vários ciclos de inovação e agora têm status de mainstream no mercado de segurança em nuvem. No entanto, como costuma acontecer com tecnologias sob demanda, os líderes de segurança podem ter dificuldade ao separar o joio do trigo enquanto avaliam as opções em um mercado atribulado.

Não se preocupe, nós podemos ajudar.

Nesta postagem do blog, explicaremos o que é CSPM, quais recursos você deve procurar e quais perguntas deve fazer para escolher a solução certa para suas necessidades de segurança em nuvem.

O básico sobre CSPM 

Durante anos, as organizações foram aumentando o uso da infraestrutura em nuvem pública, mas a adoção foi exagerada durante a pandemia, à medida que os departamentos de TI lutavam para se adaptar ao aumento do trabalho remoto.

Essa tendência acelerou a adoção de softwares de segurança na nuvem, incluindo CSPM, que automatiza a detecção e a resolução de problemas de segurança e conformidade, como configurações incorretas, em aplicações e serviços desenvolvidos e implantados em infraestruturas em nuvem pública.

A princípio, o CSPM concentrou-se em estabelecer uma linha de base de configuração segura em ambientes de tempo de execução e monitorá-los quanto a desvios. Essa abordagem era suficiente quando a infraestrutura em nuvem era definida e gerenciada no tempo de execução.

No entanto, uma parte significativa da infraestrutura em nuvem agora é definida e gerenciada como código durante o estágio de desenvolvimento, uma tendência que deve se intensificar. Isso significa que configurações incorretas também são introduzidas durante o desenvolvimento.

Assim, à medida que a popularidade da infraestrutura como código (IaC) cresce, as soluções de CSPM devem ser capazes de “fazer um teste antecipado (shift left)” para detectar e resolver configurações incorretas também durante o desenvolvimento, não apenas no tempo de execução.

Os três princípios do CSPM moderno

Ao avaliar as ofertas de CSPM, elas devem oferecem recursos nestas três áreas principais:

Proteger a IaC 

A solução de CSPM deve verificar a IaC durante o desenvolvimento, quando o código está sendo escrito, para detectar e resolver configurações incorretas e estabelecer uma linha de base segura. Isso garante que a infraestrutura em nuvem não seja provisionada com riscos e seja concebida desde o início com segurança.

Perguntas importantes a serem feitas:

  • Quais tipos de IaC e quais padrões de conformidade e segurança são compatíveis?
  • Quantas políticas predefinidas estão disponíveis?
  • Como as vias de violação são identificadas e os problemas priorizados para resolução?
  • O código é gerado automaticamente para resolver configurações incorretas e criar solicitações pull?
  • Com quais ferramentas de CI/CD a solução se integra?

Monitorar as configurações da infraestrutura no tempo de execução

Como os usuários alterarão as configurações no tempo de execução, causando desvios, a oferta de CSPM deverá monitorar continuamente as configurações no tempo de execução em relação à linha de base da IaC para manter um ambiente seguro.

Perguntas importantes a serem feitas:

  • Quais ambientes de tempo de execução são compatíveis?
  • A solução identifica a criação ou o encerramento de recursos em relação a uma linha de base segura definida por meio de IaC?
  • A solução identifica alterações na configuração de um recurso a partir de sua definição na linha de base da IaC?
  • A solução aplica o mesmo conjunto de políticas no tempo de execução que foram usadas para avaliar a IaC?
  • Como a solução identifica possíveis vias de violação em tempo de execução e prioriza problemas para correção?

Correção da IaC

O CSPM deve sempre se referir à IaC como a única fonte de informação. Portanto, se uma alteração apresentar risco, a instância da nuvem será reimplantada considerando a linha de base segura da IaC. Caso contrário, a IaC é atualizada para refletir a mudança e estabelecer uma nova linha de base.

Perguntas importantes a serem feitas:

  • Quando uma alteração é feita no tempo de execução, a solução gera automaticamente o código para resolver o problema?
  • A solução cria solicitações pull ou merge sistematicamente com o código para atualizar a IaC e corrigir o desvio criado no tempo de execução?

Quer insights de CSPM mais aprofundados?

Esperamos que essas informações sejam úteis em seus esforços para selecionar a melhor solução de CSPM para sua organização. Se você quiser se aprofundar neste tópico, baixe nosso ebook Gerenciamento de vulnerabilidades do código à nuvem: seu guia para CSPMs modernos”, que abrange detalhes muito mais profundos sobre o que procurar em um CSPM de última geração.

Faça download do ebook hoje mesmo!

Artigos relacionados

Você está vulnerável às últimas explorações?

Insira seu e-mail para receber os alertas de cyber exposure mais recentes em sua caixa de entrada.

tenable.io

GRÁTIS POR 30 DIAS


Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes.

tenable.io COMPRAR

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

65 ativos

Escolha sua opção de assinatura:

Compre já

Teste gratuitamente o Nessus Professional

GRÁTIS POR 7 DIAS

O Nessus® é o verificador de vulnerabilidades mais abrangente do mercado atualmente. O Nessus Professional ajudará a automatizar o processo de verificação de vulnerabilidades, economizar tempo nos seus ciclos de conformidade e permitirá que você envolva a sua equipe de TI.

Comprar o Nessus Professional

O Nessus® é o verificador de vulnerabilidades mais abrangente do mercado atualmente. O Nessus Professional ajudará a automatizar o processo de verificação de vulnerabilidades, economizar tempo nos seus ciclos de conformidade e permitirá que você envolva a sua equipe de TI.

Compre uma licença para vários anos e economize. Inclua o Suporte avançado para ter acesso ao suporte por telefone, pela comunidade e por bate-papo 24 horas por dia, 365 dias por ano.

Selecione sua licença

Compre uma licença para vários anos e economize.

Adicionar suporte e treinamento

Tenable.io AVALIAÇÃO GRATUITA POR 30 DIAS

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes.

Tenable.io COMPRAR

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

65 ativos

Escolha sua opção de assinatura:

Compre já

Teste o Tenable.io Web Application Scanning

GRÁTIS POR 30 DIAS

Tenha acesso completo à nossa oferta mais recente de verificação de aplicações Web desenvolvida para aplicações modernas como parte da plataforma do Tenable.io. Verifique com segurança por vulnerabilidades em todo o seu portfólio online com um alto grau de precisão sem grandes esforços manuais ou interrupção de aplicações Web críticas. Inscreva-se agora mesmo.

Comprar o Tenable.io Web Application Scanning

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

5 FQDNs

US$ 3.578,00

Compre já

Teste o Tenable.io Container Security

GRÁTIS POR 30 DIAS

Tenha acesso completo à única oferta de segurança de contêiner integrada a uma plataforma de gerenciamento de vulnerabilidades. Monitore imagens de contêiner por vulnerabilidades, malware e violações de segurança. Unifique sistemas de integração contínua e implantação contínua (CI/CD) para dar suporte às práticas de DevOps, reforçar a segurança e ajudar na conformidade com as políticas da empresa.

Comprar o Tenable.io Container Security

O Tenable.io Container Security habilita com perfeição e segurança os processos de DevOps ao fornecer visibilidade da segurança das imagens de contêiner, incluindo vulnerabilidades, malware e violações de segurança através da integração com o processo de compilação.

Avalie o Tenable Lumin

GRÁTIS POR 30 DIAS

Visualize e explore sua Cyber Exposure, monitore a redução do risco ao longo do tempo e faça uma análise comparativa com outras empresas do mesmo setor com o Tenable Lumin.

Compre o Tenable Lumin

Entre em contato com um representante de vendas para ver como o Lumin pode ajudar você a obter informações sobre toda a organização e gerenciar o risco cibernético.

Experimente o Tenable.cs

GRATUITO POR 30 DIAS Aproveite o acesso total para detectar e corrigir configurações incorretas da infraestrutura de nuvem nas fases de projeto, criação e tempo de execução do ciclo de vida de desenvolvimento de software.

Compre o Tenable.cs

Entre em contato com um representante de vendas para saber mais sobre a segurança na nuvem e como você pode proteger cada etapa do código na nuvem.

Teste o Nessus Expert gratuitamente

GRÁTIS POR 7 DIAS

Desenvolvido para a superfície de ataque moderna, o Nessus Expert permite ver mais e proteger sua organização de vulnerabilidades, da TI à nuvem.

Já tem uma licença do Nessus Professional?
Atualize para o Nessus Expert gratuitamente por 7 dias.

Comprar o Nessus Expert

Desenvolvido para a superfície de ataque moderna, o Nessus Expert permite ver mais e proteger sua organização de vulnerabilidades, da TI à nuvem.

Selecione sua licença

Compre uma licença para vários anos e economize.

Adicionar suporte