Auditoria de Nuvem com Benchmarks CIS

Quando Usar

• Ao realizar auditorias de segurança iniciais de ambientes de nuvem contra benchmarks padrão da indústria
• Ao se preparar para auditorias SOC 2, ISO 27001 ou regulatórias que referenciam controles CIS
• Ao estabelecer uma linha de base de segurança mensurável para novas contas ou assinaturas de nuvem
• Ao rastrear a melhoria da conformidade ao longo do tempo com reavaliações periódicas
• Ao avaliar a postura de segurança de ambientes de nuvem adquiridos ou herdados

Não use para detecção de ameaças em tempo de execução (veja detecting-cloud-threats-with-guardduty), para testes de segurança em nível de aplicativo (veja conducting-cloud-penetration-testing), ou para frameworks de conformidade não baseados em CIS (consulte arquivos de habilidade regulatórios específicos).

Pré-requisitos

• Acesso somente leitura às contas de nuvem de destino (política AWS SecurityAudit, função Azure Reader, função GCP Viewer)
• Prowler, ScoutSuite ou ferramentas CSPM nativas da nuvem instaladas e configuradas
• Compreensão da estrutura do benchmark CIS: seções, controles, perfis (Nível 1 e Nível 2)
• Acesso de remediação para implementar correções (separado das credenciais de auditoria)

Fluxo de Trabalho

Etapa 1: Selecionar a Versão Apropriada do Benchmark CIS

Escolha a versão correta do benchmark para cada provedor de nuvem. As versões atuais em 2025 incluem CIS AWS Foundations Benchmark v5.0, CIS Azure Foundations Benchmark v4.0 e CIS GCP Foundations Benchmark v4.0.

CIS Benchmark Coverage Areas:
+-------------------+-------------------------+------------------------+
| Section           | AWS v5.0                | Azure v4.0             |
+-------------------+-------------------------+------------------------+
| Identity & Access | IAM policies, MFA, root | Azure AD, RBAC, PIM    |
| Logging           | CloudTrail, Config      | Activity Log, Diag     |
| Monitoring        | CloudWatch alarms       | Defender, Sentinel     |
| Networking        | VPC, SG, NACLs         | NSG, ASG, Firewall     |
| Storage           | S3 encryption, access   | Storage encryption     |
| Database          | RDS encryption          | SQL TDE, auditing      |
+-------------------+-------------------------+------------------------+

CIS Profile Levels:
  Level 1: Practical security settings that can be implemented without significant
           performance impact or reduced functionality
  Level 2: Defense-in-depth settings that may reduce functionality or require
           additional planning for implementation

Etapa 2: Executar Avaliação Automatizada com Prowler

Execute varreduras abrangentes do benchmark CIS usando Prowler para avaliação automatizada de controles em AWS, Azure e GCP.

# AWS CIS v5.0 assessment
prowler aws \
  --compliance cis_5.0_aws \
  --profile audit-account \
  --output-formats json-ocsf,html,csv \
  --output-directory ./cis-audit-$(date +%Y%m%d)

# Azure CIS v4.0 assessment
prowler azure \
  --compliance cis_4.0_azure \
  --subscription-ids "sub-id-1,sub-id-2" \
  --output-formats json-ocsf,html,csv \
  --output-directory ./cis-audit-azure-$(date +%Y%m%d)

# GCP CIS v4.0 assessment
prowler gcp \
  --compliance cis_4.0_gcp \
  --project-ids "project-1,project-2" \
  --output-formats json-ocsf,html,csv \
  --output-directory ./cis-audit-gcp-$(date +%Y%m%d)

# Multi-account AWS scan using ScoutSuite
scout suite aws \
  --profile audit-account \
  --report-dir ./scout-report \
  --ruleset cis-5.0 \
  --force

Etapa 3: Interpretar Resultados e Priorizar Remediação

Analise os resultados da auditoria por seção e gravidade. Priorize os controles de Nível 1 primeiro, pois eles representam higiene de segurança fundamental, e depois aborde os controles de Nível 2 para defesa em profundidade.

# Parse Prowler results for failed controls
cat ./cis-audit-*/prowler-output-*.json | \
  jq '[.[] | select(.StatusExtended == "FAIL")] | group_by(.CheckID) |
  map({control: .[0].CheckID, description: .[0].CheckTitle,
  failed_resources: length, severity: .[0].Severity}) |
  sort_by(-.failed_resources)'

# Generate compliance score by section
cat ./cis-audit-*/prowler-output-*.json | \
  jq 'group_by(.Section) | map({
    section: .[0].Section,
    total: length,
    passed: [.[] | select(.StatusExtended == "PASS")] | length,
    failed: [.[] | select(.StatusExtended == "FAIL")] | length,
    score: (([.[] | select(.StatusExtended == "PASS")] | length) / length * 100 | round)
  })'

Etapa 4: Remediar Controles Críticos e de Alta Prioridade

…