Bilfinger

Bilfinger gains visibility into resource risk and what to do about it using Tenable Cloud Security

O desafio

Bilfinger understood that securing its rapid growth Azure and AWS environments required an approach different from the on-prem security it was familiar with. According to Bilfinger Tribe Lead Business Solutions Andreas Pfau, they wanted to “...avoid the same mistakes as 10 years ago. Queríamos desenvolver uma segurança da nuvem unificada desde o primeiro dia, fazendo o certo desde o início."

Cerca de um ano e meio após a grande migração, a Bilfinger percebeu que precisava melhorar a segurança de identidades e direitos.Andreas disse: "Nossa infraestrutura da nuvem estava ficando cada vez mais complexa; queríamos entender melhor nossas identidades.Graças aos cronogramas apertados, estávamos provisionando excesso de permissões e nem sempre as revogávamos depois; sabíamos que tínhamos contas com excesso de privilégios, alguns ocultos."A organização também buscava proteger melhor sua quantidade crescente de assinaturas do Azure, evitar horas manuais gastas em determinados processos de detecção de riscos na nuvem e obter transparência na operação multinuvem global.

Um objetivo importante era automatizar o acesso com privilégios mínimos; os requisitos de conformidade, em especial o GDPR, eram outra preocupação.Em nível estratégico, a Bilfinger queria uma visão independente do risco para complementar suas iniciativas internas de avaliação de risco.

Thomas Lützel, Service Owner of Identity & Authentication Services at Bilfinger [whose LinkedIn motto states: “Identity securely holds the cloud together”], recalls: “I learned of [the solution] and told Andreas we should do a PoC.” Added Pfau: “Security was top of mind for our IAM team - they felt the could secure IAM more successfully with a tool like Ermetic [now Tenable Cloud Security].”

Pfau continued: “Our team evaluated several vendors. Encontramos um leque completo de materiais de marketing e ficou claro que alguns fornecedores não sabiam o significado de CIEM e como deveria ser feito.Além disso, avaliar e comparar uma solução de CIEM é difícil, porque é uma tecnologia nova, uma forma nova de pensar.All competing products, including cloud provider native tools, are using the same raw data from the API. On the other hand, this levels the playing field native tools, are using the same raw data from the API. [Tenable] showed it gets more out of the raw data than the others can – the platform is very, very good at analyzing, at giving insights. Para mim, isso era fundamental."

A solução

Hoje, três equipes diferentes da Bilfinger usam o Tenable Cloud Security diariamente:

• IAM team (manages identities and access, including cloud)
• Cloud Center of Excellence (handles cloud services operationally and architecturally, and lends cloud expertise to the business units)
• IT Security (responsible for cloud security posture and compliance overall)

Explained Pfau, “From my perspective, these three Bilfinger teams reflect the three pillars of cloud security that the platform is providing: IAM security, cloud expertise as a main asset, and overall cloud posture security and compliance. [Tenable Cloud Security] is an independent tool giving us overall transparency and deep, unified insight into our cloud architecture across both Azure and AWS, into the accounts of multiple tenants, subscriptions and whatever is in their identities.

[O Tenable Cloud Security] vê toda a nossa infraestrutura da nuvem e gera um inventário de todos os nossos ativos da nuvem", diz Andreas."Também percebemos que a plataforma está muito mais avançada em desenvolvimento e utilidade do que produtos comparáveis.O mecanismo de análise de risco do [Tenable Cloud Security] não só coleta dados; ele analisa os dados e nos fornece informações que nos permitem agir.

"[O Tenable Cloud Security] fornece uma visão muito clara e direta do uso do acesso, não apenas no nível de permissão, mas no uso real.Com a solução, podemos ver facilmente quando uma permissão "passou do ponto". Talvez estivéssemos corretos quando achamos que uma determinada conta ou grupo precisava dela, mas [o Tenable Cloud Security] mostra que ela não é necessária porque, por exemplo, não é usada há seis meses."

Como a Bilfinger usa a Tenable — Casos de uso

• Gerenciamento e visibilidade de ativos multinuvem;
• Perspectivas de risco sobre identidades e permissões, incluindo terceiros;
• Correção de excesso de privilégios;
• Processo de governança da nuvem para identidades da nuvem;
• Monitoramento contínuo da segurança da rede, exposição à Internet, configurações incorretas;
• Relatórios e auditoria de conformidade;
• Aplicação de privilégios mínimos para Zero Trust (em breve);
• Detecção de ameaças (em breve).

Infraestrutura da nuvem da Bilfinger

• Microsoft Azure (centenas de assinaturas) para as principais aplicações e serviços de negócios, com o Azure Active Directory como IdP;
• AWS para cargas de trabalho CAD virtuais e outras;
• Auditoria de segurança por equipe interna e fornecedor terceirizado;
• Equipe interna faz auditorias de conformidade e aborda descobertas/lacunas de segurança;
• SIEM;
• ServiceNow

ROI e próximos passos

"[O Tenable Cloud Security] é importante para nos dar um ângulo diferente, uma visão de fora para dentro, atuando como um consultor independente que nos mostra perspectivas sobre o que estamos fazendo", diz Andreas."A plataforma está se adaptando o tempo todo, então nos mostra situações atuais na nuvem, casos de uso e ameaças.Embora inicialmente estivéssemos focados em resolver as identidades da nuvem e as necessidades de governança de identidade, o gerenciamento da postura de segurança na nuvem [da solução] é um bônus e se encaixa bem na nossa estratégia para o futuro."

"Nosso objetivo imediato é padronizar [o Tenable Cloud Security] para verificação de segurança e para agir mais de acordo com suas descobertas.Nós integraremos [o Tenable Cloud Security] muito mais nos nossos processos operacionais do dia a dia.Especificamente, integraremos as recomendações de correção de políticas através de mais emissão de tíquetes a fim de impulsionar [a solução] como uma plataforma para a mudança.Queremos emitir tíquetes para diferentes equipes, SOC etc., para que cada uma gerencie a segurança em sua própria área.

"Também procuramos implementar as perspectivas [da solução] em um circuito PDCA (melhoria contínua Plan-Do-Check-Act [Planejar-Fazer-Verificar-Agir], um requisito atual da ISO 27001:2013).Ou seja, usaremos o [Tenable Cloud Security] para reduzir privilégios, controlar o provisionamento com excesso de privilégios e depois verificar se isso foi feito.Quando fechamos uma conta privilegiada ou mesmo dividimos funções porque uma função tem excesso de privilégios, efetuamos a mudança; colocaremos essa cadeia PDCA completa em prática e usaremos [o Tenable Cloud Security] para executá-la."

Para concluir

"Meu conselho", resume Andreas, "é não ter medo quando [o Tenable Cloud Security] encontra erros ou diz que algo não foi bem feito ou é de alto risco.Uma ferramenta como [esta] pode ajudar a acelerar as iterações para que você aprenda mais rápido e obtenha uma perspectiva diferente.In the fast-changing cloud platform world you need feedback loops that are internal and external – mirrors reflecting what you’re doing. [Tenable Cloud Security] provides an external feedback loop with fast insight that you can use to accelerate remediation and make incremental security improvements.

"No final das contas, [o Tenable Cloud Security] nos proporciona uma transparência que fundamenta nossa infraestrutura da nuvem e os riscos dos nossos recursos, e o que fazer a respeito.Estamos a apenas dois cliques de ver e tomar medidas relacionadas ao que realmente está acontecendo, e isso está gerando muito valor para nós."