Implementando Gerenciamento de Postura de Vulnerabilidade na Nuvem

Visão Geral

O Gerenciamento de Postura de Segurança na Nuvem (CSPM) monitora continuamente a infraestrutura em nuvem em busca de configurações incorretas, violações de conformidade e riscos de segurança. Diferente da varredura tradicional de vulnerabilidades, o CSPM foca em riscos nativos da nuvem: superpermissões de IAM, buckets de armazenamento expostos, dados não criptografados, controles de rede ausentes e configurações incorretas de serviços. Esta habilidade abrange CSPM multi-nuvem usando AWS Security Hub, Azure Defender for Cloud e ferramentas de código aberto como Prowler e ScoutSuite.

Quando Usar

• Ao implantar ou configurar capacidades de gerenciamento de postura de vulnerabilidade na nuvem em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• AWS CLI configurado com a política IAM SecurityAudit
• Azure CLI com a função Security Reader
• Python 3.9+ com boto3, azure-identity, azure-mgmt-security
• Prowler (https://github.com/prowler-cloud/prowler)
• ScoutSuite (https://github.com/nccgroup/ScoutSuite)

AWS Security Hub

Habilitar Security Hub

# Enable AWS Security Hub with default standards
aws securityhub enable-security-hub \
  --enable-default-standards \
  --region us-east-1

# Enable specific standards
aws securityhub batch-enable-standards \
  --standards-subscription-requests \
    '{"StandardsArn":"arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0"}' \
    '{"StandardsArn":"arn:aws:securityhub:us-east-1::standards/cis-aws-foundations-benchmark/v/1.4.0"}'

# Get findings summary
aws securityhub get-findings \
  --filters '{"SeverityLabel":[{"Value":"CRITICAL","Comparison":"EQUALS"}],"RecordState":[{"Value":"ACTIVE","Comparison":"EQUALS"}]}' \
  --max-items 10

Padrões do Security Hub

Azure Defender for Cloud

Habilitar Defender CSPM

# Enable Defender for Cloud free tier
az security pricing create \
  --name CloudPosture \
  --tier standard

# Check secure score
az security secure-score list \
  --query "[].{Name:displayName,Score:current,Max:max}" \
  --output table

# Get security recommendations
az security assessment list \
  --query "[?status.code=='Unhealthy'].{Name:displayName,Severity:metadata.severity,Resource:resourceDetails.id}" \
  --output table

# Get alerts
az security alert list \
  --query "[?status=='Active'].{Name:alertDisplayName,Severity:severity,Time:timeGeneratedUtc}" \
  --output table

Código Aberto: Prowler

Instalação e Execução

# Install Prowler
pip install prowler

# Run full AWS scan
prowler aws --output-formats json-ocsf,csv,html

# Run specific checks
prowler aws --checks s3_bucket_public_access iam_root_mfa_enabled ec2_sg_open_to_internet

# Run against specific AWS profile and region
prowler aws --profile production --region us-east-1 --output-formats json-ocsf

# Run CIS Benchmark compliance check
prowler aws --compliance cis_1.5_aws

# Run PCI DSS compliance
prowler aws --compliance pci_3.2.1_aws

# Scan Azure environment
prowler azure --subscription-ids "sub-id-here"

# Scan GCP environment
prowler gcp --project-ids "project-id-here"

Categorias de Verificação do Prowler

Código Aberto: ScoutSuite

# Install ScoutSuite
pip install scoutsuite

# Run AWS assessment
scout aws --profile production

# Run Azure assessment
scout azure --cli

# Run GCP assessment
scout gcp --project-id my-project

# Results available as interactive HTML report
# Open scout-report/report.html in browser

Agregação Multi-Nuvem

import json
import subprocess

…