Le 5 best practice per gestire al meglio le patch di sicurezza dei workload cloud

Il cloud continua a profilarsi come croce e delizia per chi deve gestire la sicurezza aziendale. È ormai fondamentale per l’operatività delle aziende, tanto che oggi l'81% delle aziende ha una strategia multicloud già definita o in fase di creazione e si stima che l'82% dei carichi di lavoro aziendali risieda nel cloud.

Tuttavia, con il passaggio delle aziende al cloud, aumentano anche le minacce informatiche. Con le aziende che sfruttano sempre più un mix di tecnologie informatiche on premise e di cloud pubblici e privati, la superficie di attacco si è ampliata in modo esponenziale, rendendo più difficile la protezione da parte dei team della sicurezza.

Per garantire una solida sicurezza negli odierni ambienti IT ibridi e multicloud, le aziende hanno bisogno di soluzioni integrate di gestione delle patch che siano compatibili e forniscano visibilità non solo sulle tecnologie on premise, ma anche su tutti i tipi di metodi e risorse di distribuzione dei carichi di lavoro nel cloud, dai database ai container, ai microservizi, alle macchine virtuali e altro ancora.

Cosa sono i carichi di lavoro cloud?

Un carico di lavoro cloud è un qualsiasi tipo di risorsa, servizio, capacità o quantità specifica di lavoro in esecuzione nel cloud. Può includere container, applicazioni, macchine virtuali e infrastrutture come servizio (IaaS). Oltre il 68% delle aziende utilizza oggi servizi di infrastruttura cloud gestita e, secondo Gartner, il mercato mondiale IaaS è cresciuto del 40,7% nel 2020 per un totale di 64,3 miliardi di dollari, rispetto ai 45,7 miliardi di dollari del 2019.

La maggior parte degli ambienti cloud aziendali si basa sul sistema operativo open source Linux. Purtroppo, i sistemi Linux sono spesso trascurati quando si tratta di sicurezza informatica e non vengono configurati e gestiti correttamente. Alcuni analisti della sicurezza possono ritenere che i sistemi Linux siano sicuri intrinsecamente, ma non è così e, con la diffusione del cloud computing, crescono anche gli attacchi contro i sistemi Linux.

Minacce alla sicurezza dei carichi di lavoro cloud

I criminali informatici prendono sempre più di mira le infrastrutture di cloud pubblico e i sistemi Linux con campagne di ransomware e cryptojacking. Sanno che sfruttando le comuni configurazioni errate e le vulnerabilità di cloud pubblici ampiamente utilizzati, come AWS e Azure, possono diffondere ulteriormente le loro campagne ransomware o fare affidamento sull’energia e sulla potenza di elaborazione di altre aziende per eseguire le loro operazioni di cryptomining.

Quando si tratta di utilizzare i cloud pubblici, la sicurezza è una responsabilità condivisa. Il fornitore di servizi cloud ha determinate responsabilità per quanto riguarda la sicurezza dell'infrastruttura cloud alla base, ma ogni azienda o cliente (in particolare con IaaS) è responsabile delle patch e della sicurezza dei propri sistemi operativi, applicazioni e carichi di lavoro in esecuzione su tale soluzione cloud condivisa. In definitiva, questo vale per tutti i dati archiviati e/o elaborati nel cloud pubblico, indipendentemente dal modello di servizio. Ecco perché la gestione proattiva e continua delle patch per Linux e i carichi di lavoro cloud non deve essere trascurata e deve essere una priorità per la sicurezza aziendale.

Sia che utilizzino cloud pubblici o privati, o un mix di entrambi, le aziende con più distribuzioni di carichi di lavoro e risorse cloud (container, applicazioni, macchine virtuali, ecc.) devono mantenerli tutti aggiornati con le patch e protetti da vulnerabilità e minacce zero-day. Le aziende che non adottano processi di gestione delle patch rigorosi e proattivi si espongono agli attacchi.

Le 5 best practice per la gestione delle patch dei carichi di lavoro nel cloud

Sebbene non esista un approccio unico alla gestione delle patch per i carichi di lavoro nel cloud, ci sono alcune procedure che ogni azienda dovrebbe seguire:

• Valutare costantemente l’infrastruttura nel suo complesso - Le aziende devono essere in grado di valutare costantemente l'intera infrastruttura, dalle tecnologie on premise ai servizi e all'infrastruttura in esecuzione nel cloud, per identificare i controlli di sicurezza presenti e quelli mancanti. Devono perciò esaminare l'intera infrastruttura per identificare le vulnerabilità e le configurazioni errate e comprendere quanto possa essere esposta la propria infrastruttura.
• Considerare i servizi gestiti - L'ambiente aziendale è in continua evoluzione e nuove vulnerabilità o configurazioni errate possono emergere in qualsiasi momento. È necessario prendere in considerazione la possibilità di abbonarsi a un servizio gestito che possa aiutare a identificare le vulnerabilità della propria infrastruttura che potrebbero non essere collegate a una minaccia specifica e nota, ma che possono comunque essere corrette con delle patch per rendere il proprio ambiente più resiliente dal punto di vista della sicurezza.
• Associare la gestione delle patch alla gestione dei rischi e della conformità - Molte aziende si affidano a un solido programma di gestione dei rischi per mantenere la conformità con i requisiti normativi. Nell'ambito di questo programma, eseguono una gestione continua delle vulnerabilità per garantire che tutti i sistemi siano protetti e che non vi siano vulnerabilità che rappresentino un rischio per l'azienda. In definitiva, la gestione delle patch è una risposta alla gestione delle vulnerabilità, che consente alle aziende di affrontare correttamente i rischi. La capacità di mappare la gestione delle patch con i processi di gestione delle vulnerabilità e dei rischi è essenziale non solo per rafforzare la sicurezza informatica, ma anche per dimostrare la conformità.
• Integrare la gestione delle patch con le tecnologie di rilevamento e risposta alle minacce - La gestione delle patch è più efficace quando è integrata con una piattaforma completa di protezione dei carichi di lavoro nel cloud (CWPP) che combina la gestione delle patch con le funzionalità di rilevamento e risposta alle minacce. In caso di minacce zero-day, non è disponibile alcuna patch esistente, ma con una soluzione integrata i team della sicurezza possono utilizzare gli elementi delle loro funzionalità EDR (Endpoint Detection and Response) per neutralizzare la vulnerabilità e individuare meglio e in modo proattivo vulnerabilità simili in futuro.
• Consolidare le tecnologie - La gestione delle patch non è mai semplice, non è sufficiente identificare la necessità di una patch e distribuirla all'intero sistema. Si tratta di un processo complesso che prevede diverse fasi, tra cui staging, test, gestione della configurazione e altro ancora. Affidarsi a più tecnologie diverse per la valutazione delle vulnerabilità, la gestione delle patch e la correzione è un dispendio di tempo e risorse. Per semplificare e automatizzare i processi di sicurezza, le aziende dovrebbero invece puntare su un'unica soluzione completa che offra visibilità e controllo sull'intera infrastruttura, compresi tutti i sistemi di distribuzione dei carichi di lavoro cloud.

Conclusione

Il mondo diventa sempre più digitalizzato e le aziende continueranno a rivolgersi al cloud computing per accelerare l'innovazione e migliorare la loro efficienza e agilità. Di conseguenza, i criminali informatici rivolgeranno sempre più la loro attenzione alle infrastrutture cloud e ai sistemi Linux su cui operano. Oggi, molti team DevOps sanno che dovrebbero proteggere meglio i loro sistemi Linux e cloud, ma il compromesso tra la protezione delle vulnerabilità e il compromettere le prestazioni è così alto che decidono di accettare semplicemente il rischio. Non deve essere necessariamente così.

Bitdefender offre funzionalità integrate di gestione delle patch con visibilità completa sui sistemi on premise, sugli ambienti Linux e su tutti i tipi di metodi e risorse di distribuzione dei carichi di lavoro cloud. Queste soluzioni sono ottimizzate per qualsiasi infrastruttura, che si tratti di un dispositivo fisico, di una parte di un datacenter, di un carico di lavoro cloud o persino in un cloud pubblico, in modo che le aziende possano ottimizzare l'intero processo di protezione delle risorse, dei dati e dei carichi di lavoro cloud senza compromettere le prestazioni.

Stefano Rossi è Territory Account Manager di Bitdefender