Cosa si intende per Infrastructure Entitlement Management (CIEM)?

Why Are CIEM Solutions Necessary?

Modern organizations continue to migrate more of their core operations to the cloud, extending processes and associated workloads, applications, and data across platforms from cloud service providers such as Amazon Web Services (AWS), Microsoft Azure, and Google Cloud Platform (GCP). Some multicloud environments can include all of these and more.

A single organization’s cloud ecosystem can have millions of individual permissions granted to people, systems, and cloud services, including non-federated accounts, default and misconfigured permissions, and even unused permissions. Left unchecked, these massively widen your attack surface, making it easier for attackers to infiltrate cloud deployments. According to Gartner projections, by 2023, 75% of cloud security failures will result from inadequate management of identity, access, and privileges.

Widely used legacy security solutions such as privileged access management (PAM) don’t fully address modern entitlement issues—they either can’t keep up with the ephemeral, flexible nature of the cloud, or they focus on cloud configuration without offering visibility into enterprise entitlements. CIEM addresses these issues by providing deep visibility into cloud entitlements alongside automated remediation to help your organization maintain least-privileged access.

Components of CIEM

There are various CIEM solutions in the market, and no two are made entirely from the same parts or share all the same functions. However, they all share some components at a basic level, such as:

• Identity governance: Rules that determine which human and nonhuman entities are subject to which policies
• Security policies: Rules that determine the who, what, when, where, and why of cloud and workload access
• Centralized management: A dashboard that lets your team manage your entire multicloud ecosystem from one place

The Role of CIEM in Modern Cloud Security

For a typical modern organization, managing cloud access risk is more than just knowing who has access to what. In fact, in many cases, there’s no “who” to manage at all. More than half of today’s cloud entitlements are granted to applications, machines, and service accounts. OT (e.g., factory floor servers and robots) and IoT devices (e.g., card readers, shipping trackers, printers) connect to applications and databases that also interconnect and constantly exchange information.

Entitlements need to be finely delineated to prevent inappropriate data sharing. However, with potentially thousands of users and services, tens of thousands of resources, and tens of millions of individual entitlements to manage, a human team simply can’t act quickly or accurately enough to keep up as requirements change. In today’s environments, only CIEM and the power of automation can do that.

The Challenges of Entitlement Management

Let’s look quickly at the specific challenges you can address with CIEM. An effective CIEM solution encompasses general identity and access management (IAM) configuration as well as privileged access management, providing automated governance to help you:

• Overcome roadblocks to fast, agile DevOps so developers can continue to deploy code quickly and securely
• Manage complex monitoring and governance in dynamic multicloud environments that can span the globe
• Rein in excessive permissions to prevent misuse or abuse by human and nonhuman accounts, including privileged accounts
• Maintain visibility and ensure compliance across multiple cloud infrastructures with different security frameworks, governance requirements, etc.

I vantaggi della CIEM

Una soluzione di CIEM efficace consente di visualizzare i diritti tra gli utenti dell'organizzazione, le identità non umane e le risorse cloud, analizzare il panorama dei diritti per esporre i rischi, rilevare le minacce e rispettare il principio dell'accesso a privilegi minimi. Ma vediamo queste caratteristiche più nel dettaglio.

Velocità e agilità per i processi di DevOps

Il team di DevOps gestisce la configurazione degli accessi per l'infrastruttura cloud, ma sono l'innovazione e la velocità a guidare il team, non la sicurezza. Il rilascio granulare e manuale di autorizzazioni, necessario per rispettare il principio dell'accesso a privilegi minimi, è troppo complicato per i processi di DevOps, quindi è comune che i team di DevOps concedano delle autorizzazioni eccessive, per accelerare l'implementazione o erogare servizi in modo più efficiente.

Gli strumenti di CIEM correggono automaticamente le autorizzazioni eccessive, senza interrompere le applicazioni o i processi di DevOps, il che consente agli sviluppatori di dedicarsi a ciò che sanno fare meglio.

Visibilità da un unico pannello di controllo

La CIEM fornisce una panoramica centralizzata delle autorizzazioni su più piattaforme cloud, in modo da poter governare più facilmente "chi vede cosa" nel cloud. Questo spaccato di alto livello sui diritti aiuta il team a valutare il rischio e a sviluppare delle strategie di mitigazione.

La CIEM consente inoltre al team di sicurezza di stabilire quali utenti umani e non possono accedere a quali risorse attraverso più cloud, servizi, utenti ed entità, con il supporto di una reportistica completa e automatizzata.

Un profilo di sicurezza complessivamente più solido

Una soluzione di CIEM ben progettata riduce la superficie di attacco e abbatte i rischi correlati al cloud pubblico, consentendo di:

• Creare e mantenere un inventario accurato di tutti i diritti esistenti
• Identificare e correggere in automatico i diritti configurati in modo errato, inutilizzati, contrari alle policy o in qualche modo problematici
• Rilevare le transazioni anomale sul cloud che possono costituire minacce interne o esterne, quali attività ostili, errori umani o deviazioni dalle policy di sicurezza
• Individuare i problemi ad alta priorità e presentare piani di correzione fruibili per supportare la risoluzione
• Applicare il principio dei privilegi minimi, un componente chiave dello zero trust
• Implementare limitazioni uniformi su più ambienti cloud, ciascuna con le proprie impostazioni di sicurezza e la propria terminologia

CSPM e CIEM a confronto

Gli errori di configurazione e le autorizzazioni eccessive sono le principali problematiche correlate al cloud pubblico che le organizzazioni si trovano oggi a dover affrontare. Esistono due diversi tipi di strumenti concepiti per aiutare ad superare queste sfide e a ridurre i rischi, quando si sfrutta il cloud pubblico: CSPM (Cloud Security Posture Management) e CIEM.

Facciamo un confronto tra questi due strumenti.

Gli strumenti di CSPM riducono gli errori di configurazione

I tre grandi fornitori di servizi cloud, Azure, AWS e Google Cloud, offrono centinaia di servizi diversi, ciascuno con opzioni di configurazione che influiscono sulla sicurezza e sui rischi. Anche quando sia adotta una buona strategia multicloud, è comunque possibile trovarsi con migliaia di configurazioni delle funzionalità che devono essere monitorate. Gli strumenti di CSPM gestiscono i problemi correlati agli errori di configurazione in questi popolari servizi di cloud pubblico, aiutando a:

• Monitorare i problemi di configurazione del cloud pubblico
• Tracciare l'inventario digitale e calcolare il profilo di sicurezza
• Assegnare la priorità ai problemi in base al profilo di rischio e correggerli in automatico.
• Applicare limitazioni delle policy per mantenere la sicurezza e la conformità

Gli strumenti di CIEM gestiscono le autorizzazioni eccessive

Se da un lato la CSPM si concentra sugli errori di configurazione, gli strumenti di CIEM affrontano un'altra lacuna nella sicurezza, molto diffusa nelle distribuzioni di cloud pubblico: il controllo inadeguato su identità e privilegi. Con centinaia di utenti del cloud, si avranno decine di migliaia di risorse e decine di milioni di diritti individuali da gestire: una quantità eccessiva per un team che deve occuparsene manualmente. Gli strumenti di CIEM aiutano a:

• Rilevare chi ha l'accesso a cosa negli ambienti cloud
• Conoscere le autorizzazioni tra identità umane e non
• Costruire e applicare un modello di accesso a privilegi minimi che sia semplice e trasparente
• Implementare una policy di sicurezza multicloud per i diritti

Di cosa c'è bisogno: CSPM o CIEM?

Pertanto, considerando ciò che gli strumenti di CSPM e CIEM fanno rispettivamente per ridurre il rischio correlato al cloud, quale dei due è necessario implementare nel proprio ambiente? La risposta è entrambi. Gli errori di configurazione e le autorizzazioni eccessive sono entrambe fonti rilevanti di rischio per la sicurezza sul cloud pubblico e, abbinando CSPM e CIEM, è possibile ridurre al minimo la maggior parte dei problemi di sicurezza che affliggono i cloud pubblici.

Cosa può fare Zscaler

Le policy di CIEM e CSPM sono integrate in modo nativo in Zscaler Posture Control, una piattaforma completa di protezione delle applicazioni native del cloud (CNAPP), che protegge l'infrastruttura cloud, i dati sensibili e le distribuzioni delle applicazioni native negli ambienti multicloud.

Le potenti funzioni di CIEM di Posture Control permettono di trarre vantaggio da:

Visibilità completa del profilo di rischio IAM

L'analisi con IA e ML aiuta a gestire l'elevato volume di dati sulle autorizzazioni. Una visione basata sui rischi delle identità umane e non consente di identificare facilmente le autorizzazioni eccessive ad alto rischio e di ispezionare le configurazioni delle identità cloud.

Assegnazione delle priorità in base al rischio

La maggior parte delle piattaforme di sicurezza genera troppi avvisi, e le informazioni che questi forniscono non possono essere utilizzate a beneficio dell'azienda. Posture Control assegna la priorità ai rischi per la sicurezza dell'organizzazione in base al relativo profilo, massimizzando la riduzione dei rischi con il minimo sforzo.

Riorganizzazione delle autorizzazioni

Posture Control utilizza il machine learning, l'analisi di coorte e molto altro per individuare le autorizzazioni nascoste, inutilizzate o configurate erroneamente e i percorsi di accesso rischiosi alle risorse sensibili di ciascuna piattaforma cloud; questi percorsi possono essere rimossi per ridurre al minimo la superficie di attacco e ottenere un accesso a privilegi minimi.

Processi DevOps sicuri

Una gestione efficace dei diritti nei processi di DevOps elimina la necessità di scendere a compromessi in termini di sicurezza o innovazione.

Configurazione IAM uniforme e conforme

Applicando policy uniformi e limitazioni automatizzate negli ambienti multicloud, e assicurando la conformità dell'IAM in base a normative come CIS, GDPR, SOC2, NIST, PCI DSS, ISO e altro, si ottiene un efficace controllo granulare sull'accesso alle risorse più preziose.