Escanejos al núvol
Cyberwatch ofereix un assistent dedicat que simplifica la configuració dels escanejos en infraestructures al núvol com ara Amazon Web Services, Google Cloud Platform, Microsoft 365, Microsoft Azure i Active Directory. En particular, els benchmarks CIS d’aquestes plataformes s’admeten parcialment per al control de conformitat.
L’objectiu d’aquests escanejos és garantir que la configuració respecti determinades bones pràctiques, per exemple assegurant que no hi hagi accessos públics a recursos sensibles.
Requisits previs
Conformitat AWS
Configurar accessos a AWS mitjançant CloudFormation (recomanat)
Per crear accessos remots a AWS, es recomana utilitzar l’assistent de creació al núvol i triar el desplegament mitjançant CloudFormation. De fet, utilitzar CloudFormation per al desplegament permet:
- Desplegar els accessos més ràpidament i de manera més automàtica.
- Accedir amb les mateixes credencials a tots els comptes d’AWS de l’organització, o a una part.
- Gestionar automàticament i dinàmicament l’addició de comptes d’AWS nous.
Per fer un desplegament amb CloudFormation:
- Trieu el tipus de desplegament: compte d’AWS o bé organització d’AWS.
- Si heu seleccionat organització d’AWS, trieu en quina part de l’organització voleu desplegar els accessos. Es recomana desplegar els accessos a tota l’organització indicant l’arrel (root).
- Si heu de configurar diversos accessos als mateixos comptes, indiqueu un sufix; altrament, el desplegament de CloudFormation fallarà.
- Feu clic al botó Inicia CloudFormation, que redirigeix a la consola d’AWS. Cal iniciar la sessió al compte de gestió o a un compte d’administrador delegat per desplegar CloudFormation en el cas d’un desplegament de tipus organització. Per a un desplegament en un únic compte, cal iniciar la sessió al compte on s’ha de fer el desplegament.
- Un cop a AWS, verifiqueu la informació que ja està emplenada, marqueu la casella I acknowledge that AWS CloudFormation might create IAM resources with custom names i, finalment, creeu la pila de CloudFormation.
- Quan acabi l’execució de la pila de CloudFormation a AWS, aneu als resultats de la pila i copieu a Cyberwatch la sortida que hi apareix.
- Finalment, acabeu d’omplir el formulari i deseu-lo.
Nota
La clau d’accés que apareix a la sortida de CloudFormation és temporal i se sobreescriurà en desar les credencials a Cyberwatch.
Configuració manual de l’accés a AWS
Per accedir a la vostra informació d’AWS, Cyberwatch necessita una clau d’accés. Es pot crear manualment des de la consola d’AWS fent clic al nom d’usuari de la part superior dreta i, després, a «My security credentials». Vegeu també la documentació detallada d’AWS per obtenir més informació: https://docs.aws.amazon.com/general/latest/gr/aws-sec-cred-types.html#access-keys-and-secret-access-keys.
Es recomana crear un usuari dedicat a Cyberwatch amb els rols següents:
- SecurityAudit
- ViewOnlyAccess
Un cop creada la clau d’accés, l’haureu de desar des del menú «Credencials desades» de la barra lateral, fent clic al botó Afegeix. Al formulari, seleccioneu Amazon Web Services i introduïu l’ID de la vostra clau d’accés i la clau d’accés secreta.
Conformitat EKS
| Atribut | Permís |
|---|---|
| Usuari d’AWS amb la política | eks:ListClusters |
| Usuari d’AWS amb la política | eks:DescribeCluster |
A cada clúster EKS, cal definir una entrada d’accés d’IAM per a l’usuari, amb la política AmazonEKSAdminViewPolicy.
Les regles de conformitat CIS de la secció 3.2 requereixen crear un ClusterRole RBAC de Kubernetes que permeti l’accés de lectura (get) a la ruta de l’API de Kubernetes api/v1/nodes/{node}/proxy/configz. També cal crear un ClusterRoleBinding per associar aquest ClusterRole a l’usuari que utilitza Cyberwatch. Aquesta configuració s’ha de fer a cada clúster EKS.
Conformitat Google Cloud Platform
| Atribut | Permís |
|---|---|
| Rol | Security Reviewer |
| Rol | Viewer |
| API API Keys | activada a cada projecte |
| API BigQuery | activada a cada projecte |
| API Cloud DNS | activada a cada projecte |
| API Cloud Logging | activada a cada projecte |
| API Cloud Monitoring | activada a cada projecte |
| API Cloud Resource Manager | activada a cada projecte |
| API Cloud SQL Admin | activada a cada projecte |
| API Cloud Storage | activada a cada projecte |
| API Compute Engine | activada a cada projecte |
| API Essential Contacts | activada a cada projecte |
| API Identity and Access Management (IAM) | activada a cada projecte |
| API Service Usage | activada a cada projecte |
Conformitat Azure
Configuració d’una aplicació d’Entra amb un script de PowerShell (recomanat)
Per crear accessos remots a Azure, es recomana utilitzar l’assistent de creació al núvol i triar el desplegament mitjançant l’script de PowerShell. Aquest mètode permet:
- Desplegar els accessos més ràpidament i de manera automatitzada.
- Accedir a totes les subscripcions de l’inquilí, o a una part, amb un sol joc de credencials.
- Gestionar dinàmicament l’addició de subscripcions noves.
Per poder executar l’script, cal tenir un dels rols següents:
- a l’àmbit triat a Azure: Owner o User Access Administrator
- a Microsoft 365: Global Administrator, Privileged Role Administrator, Application Administrator o Cloud Application Administrator
Per fer un desplegament mitjançant l’script de PowerShell:
- Trieu l’àmbit de l’aplicació d’Entra: Grup d’administració arrel de l’inquilí (recomanat), Grup d’administració o Subscripció.
- Indiqueu l’ID de l’àmbit triat.
- Opcional - Trieu el nom de l’aplicació d’Entra; el nom per defecte és Cyberwatch.
- Feu clic al botó Obtén la línia d’ordres.
Des del portal d’Azure, inicieu la sessió a l’inquilí i, després:
- Executeu la línia d’ordres obtinguda a Cloud Shell en mode PowerShell.
- Quan acabi l’execució de l’script, copieu a Cyberwatch el JSON retornat.
- Acabeu d’omplir el formulari i deseu-lo.
Configuració manual d’una aplicació d’Entra
Per configurar manualment els accessos, creeu una aplicació d’Entra i assigneu-li els permisos següents:
| Atribut | Permís |
|---|---|
| Rol | Virtual Machine Contributor |
| Rol | Managed Application Contributor |
| Rol | Reader |
| Rol | Key Vault Reader |
| Rol | Storage Account Contributor |
| Rol | Website Contributor |
| Permís d’aplicació a Microsoft Graph | Policy.Read.All |
Conformitat AKS
L’aplicació d’Entra creada a la secció Conformitat Azure ja disposa dels permisos necessaris. En cas de configuració manual, l’aplicació d’Entra també ha de disposar dels permisos següents:
| Atribut | Permís |
|---|---|
| Rol | Azure Kubernetes Service RBAC Reader |
Les regles de conformitat CIS de la secció 3.2 requereixen crear un ClusterRole RBAC de Kubernetes que permeti l’accés de lectura (get) a la ruta de l’API de Kubernetes api/v1/nodes/{node}/proxy/configz. També cal crear un ClusterRoleBinding per associar aquest ClusterRole a l’usuari que utilitza Cyberwatch. Aquesta configuració s’ha de fer a cada clúster AKS.
Les regles de conformitat CIS de la secció 4.1 requereixen crear un rol personalitzat que contingui els permisos de tipus dataAction següents:
- Microsoft.ContainerService/managedClusters/rbac.authorization.k8s.io/clusterroles/read
- Microsoft.ContainerService/managedClusters/rbac.authorization.k8s.io/clusterrolebindings/read
- Microsoft.ContainerService/managedClusters/rbac.authorization.k8s.io/roles/read
- Microsoft.ContainerService/managedClusters/rbac.authorization.k8s.io/rolebindings/read
Conformitat Microsoft 365
L’aplicació d’Entra creada a la secció Conformitat Azure ja disposa dels permisos necessaris. També es pot fer el desplegament de l’script de PowerShell des de l’assistent de creació al núvol per a Microsoft 365 seguint el mateix procediment que es descriu a la secció Configuració d’una aplicació d’Entra amb un script de PowerShell. En cas de configuració manual, l’aplicació d’Entra també ha de disposar dels permisos següents:
| Atribut | Permís |
|---|---|
| Permís d’aplicació de Microsoft Graph | AccessReview.Read.All |
| Permís d’aplicació de Microsoft Graph | AuditLog.Read.All |
| Permís d’aplicació de Microsoft Graph | DeviceManagementConfiguration.Read.All |
| Permís d’aplicació de Microsoft Graph | DeviceManagementManagedDevices.Read.All |
| Permís d’aplicació de Microsoft Graph | DeviceManagementServiceConfig.Read.All |
| Permís d’aplicació de Microsoft Graph | Domain.Read.All |
| Permís d’aplicació de Microsoft Graph | OnPremDirectorySynchronization.Read.All |
| Permís d’aplicació de Microsoft Graph | OrgSettings-AppsAndServices.Read.All |
| Permís d’aplicació de Microsoft Graph | OrgSettings-Forms.Read.All |
| Permís d’aplicació de Microsoft Graph | Policy.Read.All |
| Permís d’aplicació de Microsoft Graph | RoleManagement.Read.All |
| Permís d’aplicació de Microsoft Graph | SharePointTenantSettings.Read.All |
| Permís d’aplicació de Microsoft Graph | User.ReadBasic.All |
| Permís d’aplicació d’Office 365 Exchange Online | Exchange.ManageAsApp |
| Permís d’aplicació de SharePoint | Sites.FullControl.All |
| Rol de Microsoft Entra | Global Reader |
Algunes regles de conformitat de Microsoft 365 de la secció SharePoint requereixen un joc de credencials amb autenticació per certificat.
Conformitat Active Directory
| Atribut | Permís |
|---|---|
| Permís | només lectura |
Conformitat Oracle Cloud
Es recomana crear un usuari dedicat a Cyberwatch, amb una clau d’API, i afegir-lo a un grup (anomenat, per exemple, Cyberwatch) per al qual s’hagi definit, al compartiment arrel, una política amb les instruccions següents:
Allow group Cyberwatch to read all-resources in tenancy
Afegir un projecte
- Aneu al menú Gestió d’actius > Núvol
- Feu clic a Afegeix
- Trieu una plataforma: AWS, GCP, Azure, Microsoft 365 o Active Directory
- Introduïu una clau d’accés o credencial d’API directament al formulari o seleccioneu una credencial ja desada i feu clic a Navega
- Definiu el nom i seleccioneu una d’aquestes opcions, o totes dues, segons les vostres necessitats:
- Desa el descobriment:
Es crearà un descobriment amb el nom triat que recollirà la llista de les màquines descobertes. Aquest descobriment estarà disponible a la pàgina dels descobriments.
- Verifica la conformitat del projecte:
Aquesta opció afegirà un actiu al núvol amb el nom triat, que mostrarà el resultat de l’escaneig de conformitat.
- Feu clic a «Desa» per iniciar la configuració automàtica dels elements seleccionats
Després podreu consultar els resultats de l’anàlisi de conformitat des de l’inventari de conformitat o fent clic al nom de l’actiu des del menú Gestió d’actius > Núvol, i els resultats del descobriment a la pàgina Descobriments.