Cloud Security Assessment
Beoordeling van je cloudbeveiliging en configuraties
De beveiliging van uw cloudprovider is niet uw beveiliging
Microsoft, Amazon en Google beschikken over een van de best beveiligde infrastructuren ter wereld. Dit zegt echter niets over de manier waarop uw organisatie deze infrastructuur heeft geconfigureerd.
In het model van gedeelde verantwoordelijkheid zorgt de aanbieder voor de beveiliging van het platform. Alles wat u daarop bouwt, inclusief identiteiten en machtigingen, netwerkontwerp, blootstelling van opslag, omgang met vertrouwelijke gegevens en configuratie van workloads, is uw verantwoordelijkheid. Dat is ook waar vrijwel elk cloudincident zijn oorsprong vindt: niet in een kwetsbaarheid in het platform, maar in een configuratie die op zichzelf logisch leek, maar in combinatie met drie andere elementen een aanvalsroute vormde.
Bij een beveiligingsbeoordeling van de cloud wordt gekeken naar het deel waarvoor u verantwoordelijk bent.
De platforms die wij beoordelen
De meeste organisaties maken geen gebruik van slechts één cloud. Wij beoordelen hyperscale-, Europese en private omgevingen, evenals de verbindingen daartussen.
Microsoft Azure
Abonnementen, configuratie van resources, netwerkontwerp, opslag, sleutelbeheer en beveiliging van workloads.
Microsoft 365
Configuratie van de tenant, instellingen voor Exchange Online, SharePoint en OneDrive met betrekking tot toegankelijkheid, delen en samenwerking.
Entra ID
Identiteits- en toegangsbeheer, roltoewijzingen, voorwaardelijke toegang, authenticatiemethoden en bevoorrechte toegang.
Amazon Web Services
Gebruikersaccounts en organisaties, IAM, opslag, netwerksegmentatie en serviceconfiguratie.
Google Cloud Platform
Projecten en organisatiebeleid, IAM, beveiligingsmaatregelen voor opslag en netwerken.
StackIT
Europese cloudinfrastructuur, die even grondig wordt beoordeeld als die van de hyperscalers.
Containers en Kubernetes
Clusterconfiguratie, isolatie van werklasten, RBAC, register en toeleveringsketen, en ontsnappingsroutes van de container naar de host of het besturingsvlak.
Privé- en hybride cloud
Met inbegrip van de verbindingen tussen uw lokale omgeving en uw cloudtenants.
StackIT en de Europese cloud. Organisaties die hun workloads om redenen van gegevenssoevereiniteit naar Europese aanbieders verplaatsen, zouden daarvoor geen lagere norm voor beveiligingsgaranties moeten hoeven accepteren. Wij beoordelen StackIT-omgevingen even grondig als Azure- of AWS-omgevingen.
Drie vakgebieden in één beoordeling
Een cloudomgeving kan niet vanuit één enkel perspectief worden begrepen. Bij een configuratiecontrole worden ontwerpfouten over het hoofd gezien. Bij een architectuurbeoordeling wordt voorbijgegaan aan wat er daadwerkelijk is geïmplementeerd. Een penetratietest zonder deze twee aspecten leidt tot tijdverspilling doordat de omgeving opnieuw in kaart moet worden gebracht. Wij combineren deze drie elementen in één enkel project, waarbij elk onderdeel de andere twee aanvult.
- 01
Configuratieanalyse
Wij toetsen de huidige stand van zaken in uw omgeving aan erkende benchmarks en de door elke cloudleverancier gepubliceerde beveiligingsrichtlijnen: identiteits- en machtigingsstructuren, netwerk- en segmentatiemaatregelen, blootstelling van opslag, de reikwijdte van logboekregistratie en monitoring, versleuteling en sleutelbeheer, en de configuratie van workloads. Zo wordt vastgesteld wat er is geïmplementeerd en waar dit afwijkt van de aanbevolen werkwijze.
- 02
Architectuurbeoordeling
De configuratie geeft aan wat er bestaat. De architectuur geeft aan of dat zo hoort te zijn. Wij beoordelen hoe uw omgeving is ontworpen: de tenant- en accountstructuur, vertrouwensrelaties, segmentatie tussen omgevingen, de verbindingen tussen de cloud en on-premises, en waar uw kroonjuwelen zich bevinden ten opzichte van alles wat er toegang toe kan krijgen. Ontwerpfouten komen niet tot uiting als verkeerde configuraties, en juist deze fouten zijn later duur om te verhelpen.
- 03
Penetratietests op authenticatie- en applicatieniveau
Vervolgens voeren wij tests uit. Onze testers voeren praktische tests uit op de authenticatielaag en de applicatielaag binnen uw cloudomgeving. Zij onderzoeken authenticatie- en autorisatiemechanismen, proberen bevoegdheden te escaleren via machtigings- en rolstructuren en koppelen bevindingen aan aanvalspaden die afzonderlijke kwetsbaarheden op zichzelf niet blootleggen. Op dit punt houdt de beoordeling op met het beschrijven van uw omgeving en begint zij aan te tonen wat iemand daarbinnen zou kunnen doen.
Het resultaat bestaat niet uit drie rapporten. Het is één totaalbeeld: wat er verkeerd is geconfigureerd, waarom het ontwerp dit toestaat en hoe ver iemand zou kunnen komen.
In de cloud breken aanvallers niet in. Ze melden zich aan.
Cloudinbreuken beginnen zelden met het misbruik van een kwetsbaarheid. Ze beginnen met een identiteit: een serviceprincipaal met meer rechten dan iemand zich kan herinneren te hebben toegekend, een beleid voor voorwaardelijke toegang met een uitzondering die bedoeld was als tijdelijke maatregel, verouderde authenticatie die nog steeds is ingeschakeld op één protocol, een toestemmingsvergunning die door niemand is gecontroleerd, of een reeks roltoewijzingen die onopgemerkt leidt tot de rol van globale beheerder.
Bij elke CREDS-cloudbeoordeling wordt bijzondere aandacht besteed aan identiteitsbeheer. Wij brengen de machtigingsstructuren in Entra ID, AWS, IAM en GCP, IAM in kaart, zoeken naar escalatiepaden via combinaties van rollen en beleidsregels, en testen of uw authenticatiemaatregelen in de praktijk standhouden en niet alleen op papier.
Onze testers voeren dit werk dagelijks uit in red team-opdrachten, waarbij identiteit doorgaans de weg naar het doel vormt. Dezelfde expertise is hier van toepassing.
Wat uw cloudbeveiligingstools u niet zullen vertellen
De meeste organisaties beschikken al over een zekere mate van inzicht: Microsoft Defender for Cloud, AWS Security Hub, Google Security Command Center of een CSPM-product. Deze zijn nuttig, en wij zullen niet dupliceren wat zij al doen.
Wat zij echter niet doen, is de gevolgen in kaart brengen. Zij beoordelen middelen aan de hand van regels, één voor één. Zij brengen een serviceaccount met iets te ruime bevoegdheden niet in verband met een niet-gesegmenteerd netwerk en een onbeveiligde opslagcontainer om u te laten zien dat deze drie elementen samen een route vormen naar uw productiegegevens.
Dat is het verschil tussen een lijst met bevindingen en een aanpakplan. Een scanner geeft aan wat er mis is. Een beoordeling geeft aan wat het de moeite waard is om als eerste te verhelpen, en waarom.
Tools voor cloudbeveiliging
Een CREDS-beoordeling
Beoordeelt middelen aan de hand van regels
Onderzoekt wat deze middelen in combinatie kunnen bewerkstelligen
Bevindingen ingedeeld naar ernst
Bevindingen gerangschikt op basis van aangetoonde aanvalsroute
Continu, geautomatiseerd, op regels gebaseerd
Testen met menselijke proefpersonen in uw specifieke architectuur
Geeft aan wat er verkeerd is geconfigureerd
Geeft aan wat iemand zou kunnen bereiken
De criteria waaraan wij onze beoordeling toetsen
Testen zijn alleen vergelijkbaar als de maatstaf daarvoor is vastgesteld. Wij beoordelen aan de hand van gepubliceerde benchmarks, de beveiligingsrichtlijnen van elke cloudleverancier en uw eigen risicoprofiel.
CIS-benchmarks. Platformspecifieke benchmarks voor beveiligingsversterking voor Azure, AWS, GCP en Microsoft 365.
Beveiligingsrichtlijnen voor cloudproviders. Met inbegrip van de Microsoft Cloud Security Benchmark, de AWS Well-Architected-beveiligingspijler en de beveiligingsgrondbeginselen van Google Cloud.
NIST-richtlijnen. Voor zover dit van belang is voor identiteitsbeheer, sleutelbeheer en logboekregistratie.
Uw eigen risicoprofiel. De beoordeling is vooral gericht op de omgevingen en gegevens die voor uw bedrijf van belang zijn, en wordt niet gelijkmatig over alle aspecten verdeeld.
CREDS-controlelijsten. Ontwikkeld op basis van onze eigen praktijkervaringen, waarbij aandacht wordt besteed aan kwesties die in de praktijk steeds weer terugkeren, maar die nog niet in enige gepubliceerde benchmark zijn opgenomen.
Een cloudomgeving verandert elke week. Uw beoordeling moet hiermee gelijke tred houden.
Een momentopname van de cloudomgeving is nauwkeurig op de dag dat deze wordt geleverd, maar is tegen het einde van de maand alweer achterhaald. Er worden nieuwe resources geïmplementeerd, er worden machtigingen verleend om iemand toegang te verlenen, er wordt een uitzondering op het beleid toegevoegd die nooit meer wordt verwijderd. De omgeving die u hebt beoordeeld, is niet meer dezelfde omgeving die u momenteel gebruikt.
Wij beschouwen de beoordeling dan ook als een uitgangspunt, niet als een conclusie.
De nulmeting
Het volledige traject: configuratieanalyse, architectuurbeoordeling en praktische penetratietests in al uw cloudomgevingen. Hiermee wordt vastgesteld wat uw daadwerkelijke situatie is en wordt een stappenplan voor het verhelpen van de bevindingen opgesteld.
Maandelijkse overzichten, met ondersteuning van ART
Na de basislijn voert ons ART-platform maandelijkse controles uit van uw cloudomgevingen; deze zijn inbegrepen bij de beoordeling. Dit betekent dat u tussen de volledige beoordelingen door configuratieafwijkingen direct opmerkt zodra deze zich voordoen, in plaats van deze pas bij de volgende jaarlijkse controle te ontdekken; nieuwe en gewijzigde resources worden beoordeeld zodra ze verschijnen; en wordt gecontroleerd of de correcties ten opzichte van de basislijn daadwerkelijk zijn doorgevoerd, in plaats van dat hiervan alleen wordt aangenomen.
De uitgangssituatie geeft aan waar u zich bevindt. Uit de maandelijkse evaluaties blijkt of u zich nog steeds op die plek bevindt.
De maandelijkse evaluaties zijn inbegrepen bij de beoordeling; het betreft geen afzonderlijk abonnement.
U wacht niet in het donker
Dagelijkse meldingen bij het starten en stoppen
U ontvangt elke dag een melding wanneer de testactiviteiten beginnen en eindigen, zodat uw team altijd weet of het verkeer naar uw omgeving afkomstig is van ons of van iemand anders.
Bevindingen met een hoog risico worden onmiddellijk doorgegeven
Mocht er iets ernstigs in uw omgeving worden vastgesteld, dan wordt u hiervan op de hoogte gesteld zodra wij dit hebben bevestigd, en niet via het rapport.
Samen met u stellen wij de beoordeling opnieuw vast
Een beoordeling is een project met een vastgestelde tijdsduur, dus er is altijd een keuze te maken over waar de resterende uren aan worden besteed. Naarmate er bevindingen naar voren komen, bespreken wij met uw team waarop wij ons vervolgens moeten richten. Een machtigingsstructuur die in één abonnement interessant lijkt, maakt het vaak de moeite waard om een ander gebied nader te onderzoeken dan in het oorspronkelijke plan was voorzien.
Wat u ontvangt
Een ontwerpverslag, dat wordt besproken voordat het definitief wordt. Zodat een misverstand over uw omgeving wordt rechtgezet zolang er nog ruimte is om dit te corrigeren.
Het volledige rapport. Elke bevinding, de gevolgen ervan, hoe deze kan worden gereproduceerd en specifieke aanbevelingen voor het verhelpen van de situatie.
Analyse van het aanvalstraject. De trajecten die door uw omgeving lopen en die door de combinatie van afzonderlijke bevindingen ontstaan; dit is doorgaans het onderdeel dat bepalend is voor de prioriteiten bij de sanering.
Een architectuuroverzicht. Hierbij wordt ingegaan op de problemen op ontwerpniveau die bij een configuratiecontrole niet aan het licht komen.
Een samenvatting voor uw belanghebbenden. Een toegankelijk verslag voor degenen die het werk goedkeuren, in plaats van voor degenen die het uitvoeren.
Een op prioriteit gebaseerd stappenplan voor herstelmaatregelen. Gerangschikt op basis van wat het risico daadwerkelijk vermindert.
Uw bevindingen, allemaal op één plek
De bevindingen worden gepubliceerd op het CREDS-klantenportaal, waar uw team er direct mee aan de slag kan gaan in plaats van ze uit een document over te typen. De bevindingen worden vergezeld van informatie over de impact en aanbevelingen voor herstelmaatregelen; zodra de oplossingen zijn geïmplementeerd, kunnen hercontroles worden aangevraagd, en de bevindingen worden geïntegreerd in de tools die uw technici al gebruiken, waaronder Jira en ServiceNow.
Wanneer er maandelijkse ART-evaluaties plaatsvinden, worden de resultaten daarvan in hetzelfde portaal weergegeven, zodat de uitgangssituatie en alle daaropvolgende gegevens in één tijdlijn worden weergegeven.
Vragen over beveiligingsbeoordelingen in de cloud
Welke cloudplatforms beoordeelt u?
Gaat het hier om een configuratiebeoordeling of om een penetratietest?
Wij maken al gebruik van Defender for Cloud of Security Hub. Wat biedt dit extra?
Zal de beoordeling onze productieomgeving verstoren?
Beoordeelt u Microsoft 365 op dezelfde manier als Azure?
Hoe vaak moeten wij de situatie opnieuw beoordelen?
Hoe lang duurt een beoordeling?
Kunt u de verbinding tussen onze cloud en onze lokale omgeving testen?
Ontdek wat er daadwerkelijk bereikbaar is in uw cloud
Laat ons weten welke platforms u gebruikt en hoe uw omgeving is opgezet, dan stellen wij een beoordeling op die bij uw situatie past.