Wat is Azure Cloud Workload Protection Platform (CWPP)?

Leer meer over Azure Cloud Workload Protection Platform (CWPP) met deze gedetailleerde gids. Ontdek de belangrijkste componenten en best practices en bescherm uw Azure-cloudomgeving.

Bedrijven hebben hun operationele efficiëntie zien toenemen na de overstap naar de cloud, wat kleine bedrijven heeft geïnspireerd om ook cloudoplossingen te gaan gebruiken. Met dit toegenomen aantal bedrijven dat gebruikmaakt van de cloud, ontstaat er behoefte aan beveiliging van de activa die zich in de cloud bevinden. Cloud Workload Protection Platform (CWPP) biedt beveiligingsfuncties die helpen bij het beschermen van workloads in elke omgeving. Deze cloudomgeving bestaat uit VM's, containers en serverloze functies.

De cloud wordt vaak een broedplaats voor geavanceerde cyberdreigingen, waardoor de noodzaak toeneemt om CWPP veel meer om de kwaliteit van de beveiligings- en nalevingsvereisten van een organisatie te handhaven. Microsoft Azure CWPP is divers van aard, wat een van de belangrijkste redenen is voor de invoering ervan. Momenteel bedraagt het marktaandeel van Azure 24% en dit blijft elk jaar groeien.

Deze blogpost helpt u de architectuur van Azure CWPP en de functies en voordelen ervan voor een organisatie te begrijpen. We zullen ook de rol van Azure CWPP in netwerk- en gegevensbescherming bespreken. Om het meeste uit Azure CWPP te halen, zullen we ook de best practices bespreken die moeten worden gevolgd.

Wat zijn veelvoorkomende zorgen met betrekking tot Azure CWPP?

Voordat we dieper ingaan op Azure CWPP, is het belangrijk om de problemen te bespreken waarmee een organisatie te maken kan krijgen tijdens de implementatie ervan in haar omgeving.

1. Complexiteit: Azure CWPP is complex van aard en moeilijk te implementeren voor organisaties die nog nooit met Azure of cloudbeveiliging hebben gewerkt. CWPP bestaat uit meerdere componenten, die in het begin van de cloudreis vrij moeilijk te begrijpen kunnen zijn.
2. Configuratiebeheer: Beveiligingsinbreuken komen zeer vaak voor en u hoort er waarschijnlijk ook vaak over. Tot op heden is een van de belangrijkste oorzaken van een beveiligingsinbreuk de verkeerde configuratie van beveiligingssystemen. Om dit probleem te voorkomen, moeten beheerders die met de cloud werken, worden opgeleid.
3. Kostenoverwegingen: Cloud Workload Protection Platform biedt veel beveiligingsfuncties, maar organisaties moeten rekening houden met de kosten van de tool. Het is belangrijk dat organisaties een oplossing vinden die bij hen past, die voldoet aan hun beveiligingsbehoeften en binnen het budget blijft.
4. Gegevensprivacy en naleving: CWPP maakt gebruik van gegevens voor de verwerking ervan. Het verzamelt en controleert de workloadgegevens. Gegevens zijn het meest cruciale en gevoelige onderdeel van elke organisatie. Voordat de CWPP-oplossing wordt gebruikt, moet er dus voor worden gezorgd dat gegevens kunnen worden overgedragen en geanalyseerd zonder dat er wetten op het gebied van gegevensbescherming worden overtreden.
5. Integratie-uitdagingen: Organisaties gebruiken verschillende beveiligingstools in hun infrastructuur, waardoor het moeilijk en duur is om de CWPP-oplossing te integreren met de reeds bestaande tools.
6. Gelijke tred houden met de evolutie van de cloud: De vaardigheden en infrastructuur die nodig zijn om cloud-native beveiligingstools te implementeren, vereisen een intensieve voorbereiding van de kant van de organisatie.

Kernarchitectuur van Azure CWPP

Azure CWPP biedt een organisatie volledige beveiliging op basis van zijn architectuur en functies. Laten we enkele van de belangrijkste componenten van de geavanceerde architectuur bespreken.

Overzicht van de belangrijkste componenten

Azure CWPP heeft meerdere componenten die helpen bij de bescherming van de cloudworkload. Azure Sentinel biedt organisaties SIEM- en SOAR-systemen die beveiligingsanalyses bieden met behulp van machine learning.

Het is belangrijk om het netwerk te beveiligen, omdat het via internet toegankelijk is als het niet goed is geconfigureerd. In dit scenario komt Azure Firewall in beeld, dat helpt bij het beveiligen van Azure Virtual Network-bronnen. Azure DDoS Protection Service beschermt services tegen massale aanvallen en protocolaanvallen. Voor het toegangsbeheer van al deze services kan Azure Key Vault worden gebruikt om cryptografische sleutels, geheimen en certificaten op te slaan.

Integratiepunten en gegevensstroom

Azure CWPP kan naadloos worden geïntegreerd met meerdere Azure-services en beveiligingsoplossingen van derden. Organisaties hebben mogelijk al beveiligingstools geïntegreerd in hun infrastructuur voordat ze Azure CWPP gaan gebruiken. Om de werkzaamheden soepel te laten verlopen, biedt Azure CWPP naadloze integratie met Azure Service en beveiligingsoplossingen van derden. Alle beveiligingsgerelateerde informatie wordt verzameld uit Azure-bronnen, on-premises systemen en andere cloudplatforms.

Deze verzamelde informatie wordt vervolgens verwerkt en genormaliseerd, zodat deze bruikbaar is voor Azure Security Center en Azure Sentinel. Zodra de bedreigingen zijn gedetecteerd, worden ze door het wereldwijde bedreigingsinformatienetwerk van Microsoft geleid. Azure CWPP biedt Restful API's voor integratie met andere beveiligingstools en automatiseringssystemen. Alle beveiligingsgerelateerde informatie wordt opgeslagen in Log Analytics, wat zorgt voor een goede opslag en eenvoudige terugvinding.

Uniform beheer en monitoring

Azure CWPP helpt bij het beheer en de monitoring van resources door een gecentraliseerde console te bieden. Het dashboard van Microsoft Defender for Cloud kan de beveiligingsstatus weergeven die in alle omgevingen is geïmplementeerd.

Het beleidsbeheer is ook gecentraliseerd met behulp van Azure Policy-integratie, wat ook helpt bij het nalevingsbeheer. Het waarschuwingsbeheersysteem biedt gecentraliseerde tools die helpen bij het prioriteren en onderzoeken van beveiligingswaarschuwingen voor een beter incidentresponsplan.

Overwegingen met betrekking tot schaalbaarheid en prestaties

Azure CWPP biedt beveiligingsteams de grootste voordelen dankzij de schaalbaarheid. Het is zo ontworpen dat het mee kan groeien met het bedrijf. Azure CWPP heeft een elastische architectuur en biedt geautomatiseerde schaalbaarheid met bedrijfsgegevens en werklast.

Dit platform is niet locatieafhankelijk en kan overal ter wereld worden geïmplementeerd, wat helpt om snelle toegang tot de gegevens te garanderen, rekening houdend met de gegevenswetgeving van die regio. Het maakt gebruik van gelaagde opslag, waardoor organisaties flexibel kunnen kiezen op basis van hun budget en vereisten. Load balancing kan ook worden geïmplementeerd om ervoor te zorgen dat de werklast gelijkmatig over verschillende servers of knooppunten wordt verdeeld voor betere prestaties van de resources.

Azure Sentinel met SIEM- en SOAR-mogelijkheden

Azure Sentinel is een tool in CWPP die twee belangrijke functies biedt, namelijk beveiligingsinformatie- en gebeurtenissenbeheer (Siem) en de andere is beveiligingsorkestratie, automatisering en respons (SOAR). Deze tool helpt bij beveiligingsanalyses en ondersteunt het beveiligingsteam bij incidentrespons en planning.

1. Strategieën voor gegevensopname en normalisatie

De twee technieken die door Sentinel worden gebruikt, zijn het opnemen van gegevens en het vervolgens normaliseren van de gegevens. Dit is belangrijk omdat de cloud meerdere gegevensbronnen gebruikt voor de verwerking. De tool bevat gegevensconnectoren die helpen bij het soepel verzamelen van gegevens uit verschillende services, zoals Azure-services, Microsoft 365, beveiligingsoplossingen van derden of aangepaste applicaties.

2. Bedreigingen opsporen met Kusto Query Language (KQL)

Threat hunting is gebaseerd op Kusto Query Language, dat organisaties helpt bij het analyseren van loggegevens. Dit analyseproces kan verschillende soorten kwetsbaarheden aan het licht brengen die tot beveiligingsinbreuken kunnen leiden.

3. Incidentbeheer en -onderzoek

De jachtmogelijkheden van het platform worden aangevuld door de integratie met het dreigingsinformatieplatform van Microsoft. Het proces wordt aangestuurd door een correlatie van regels die de telemetrie vergelijken en incidenten genereren.

Elk incident bevat op zijn beurt informatie over het tijdschema van de aanval en de getroffen bronnen. De onderzoeksgrafiek toont de relaties tussen de entiteiten die bij een bepaald incident betrokken zijn. Aan de hand van de grafiek kan het beveiligingsteam zien hoe de bedreiger toegang heeft gekregen tot de getroffen bron.

4. Geautomatiseerde responscoördinatie met playbooks

In Azure Sentinel worden de acties tijdens de incidentrespons bepaald door playbooks, die zijn ontwikkeld op basis van Azure Logic Apps. De playbooks kunnen handmatig worden gestart door de analisten of worden geactiveerd door een specifieke voorwaarde. Ze kunnen eenvoudige acties bevatten, zoals het verzenden van een e-mail of het aanmaken van een ticket, of complexe reeksen acties die kunnen leiden tot het uitschakelen van het account van de getroffen gebruiker of het volledig herstellen van het systeem naar een eerder bekende goede staat.

Netwerk- en gegevensbescherming in Azure CWPP

Azure CWPP biedt een hoog niveau van bescherming voor zowel de communicatie-infrastructuur als de gegevens die worden overgedragen. Dergelijke mogelijkheden werken op een geïntegreerde manier en vormen een aanzienlijk moeilijk te overwinnen obstakel voor een grote verscheidenheid aan bedreigingen.

Netwerkbeveiliging

Netwerkbeveiliging in Azure CWPP maakt gebruik van verschillende geavanceerde technologieën om cloudworkloads te beschermen:

1. Dynamische mapping en visualisatie: De realtime netwerkvisualisatietechnologieën worden ook samen met Azure CWPP geïnstalleerd. Ze geven een zeer gedetailleerd en illustratief overzicht van de cloudnetwerktopologie, waarbij alle resources worden weergegeven. De visuele kaarten worden continu bijgewerkt en tonen de realtime positie van resources die in de huidige cloudomgeving zijn gedupliceerd.
2. Implementatie van Just-In-Time VM Access: Het aanvalsoppervlak wordt verkleind door de implementatie van JIT VM Access door Azure CWPP, omdat dit het inkomende verkeer naar VM's blokkeert, waardoor de kans op een aanval wordt geminimaliseerd.
3. Adaptieve netwerkbeveiligingstechnieken: Adaptieve netwerkbeveiliging maakt gebruik van machine learning voor het analyseren van het verkeerspatroon. Op basis van het analyserapport kan Azure CWPP regels voor de Network Security Group (NSG) voorstellen. Het werkt door het verkeer dat de service of bron binnenkomt en verlaat te monitoren, wat helpt bij het vormen van een gebruikspatroon. Dit helpt op zijn beurt bij het implementeren van het minst bevoorrechte toegangsmodel om het aanvalsoppervlak te verkleinen.
4. DDoS-beveiligingsmechanismen: Azure CWPP helpt bedrijven te beschermen tegen Distributed Denial of Service (DDoS)-aanvallen door Azure DDoS-beveiligingsservice aan te bieden. De service maakt gebruik van de schaalbaarheid en flexibiliteit van het wereldwijde netwerk van Microsoft om bescherming te bieden tegen DDoS-aanvallen.

Gegevensbescherming

Gegevensbescherming in Azure CWPP implementeert een reeks strategieën om gegevens in rust en tijdens het transport te beveiligen:

1. SQL-injectiedetectie en -preventie: Een andere beveiligingsservice die in Azure CWPP is opgenomen, is Advanced Threat Protection, met functies voor het detecteren en voorkomen van webaanvallen zoals SQL-injectieaanvallen. Dit wordt bereikt door realtime monitoring van databaseactiviteiten met behulp van machine learning om afwijkingen te detecteren en door het gebruik van geautomatiseerde reacties op bedreigingen.
2. Best practices voor opslagbeveiliging: Azure CWPP biedt richtlijnen en tools voor het implementeren van opslagbeveiliging en veilig toegangsbeheer. De algemene aanbevelingen met betrekking tot best practices voor opslag omvatten regelmatige beveiligingsbeoordelingen, veilige overdrachtsopties, geavanceerde versleuteling na de implementatie van veilig toegangsbeheer en netwerkisolatie.
3. Versleutelingsstrategieën voor gegevens tijdens verzending en opslag: Het Azure CWPP-platform ondersteunt verschillende versleutelingsopties. De versleuteling van opgeslagen gegevens is een directe actie van Azure CWPP bij het overbrengen van gegevens naar cloudgebaseerde opslag, zoals Azure Storage, Azure SQL Database en Azure Virtual Machines. De overdracht van gegevens moet op zijn beurt worden versleuteld met behulp van de nieuwste TLS-versie (Transport Layer Security).
4. Veilig sleutelbeheer met Azure Key Vault: Veilig sleutelbeheer is een cruciale vereiste voor het functioneren van Azure CWPP en wordt onderhouden door Azure Key Vault. Azure Key Vault is een veilige service voor het opslaan van cryptografische sleutels en andere geheime informatie, waaronder wachtwoorden en certificaten. Key Vault biedt een gestroomlijnd sleutelbeheerproces door het gebruik van een toegangslogboek en de automatische rotatie van sleutels.

Container- en Kubernetes-bescherming in Azure CWPP

Met de toenemende populariteit van containerisatie en Kubernetes, biedt Azure CWPP krachtige beveiligingsservices om ervoor te zorgen dat gecontaineriseerde workloads en Kubernetes-omgevingen beschermd blijven.

• Beeldscannen in Azure Container Registry

Azure Container Registry (ACR) is geïntegreerd met Azure CWPP, waardoor gebruikers kunnen profiteren van de beeldscanservice. Met name de functionaliteit voor het scannen van afbeeldingen op kwetsbaarheden wordt automatisch toegepast wanneer de afbeelding naar de repository wordt gepusht. De tool zoekt naar bekende kwetsbaarheden in de pakketten en applicatieafhankelijkheden van de betreffende besturingssystemen.

De tool maakt gebruik van verschillende kwetsbaarheidsdatabases om een uitgebreide dekking te garanderen. Door gebruik te maken van de databases kan het platform gedetailleerde rapporten genereren wanneer een kwetsbaarheid wordt gedetecteerd. De rapporten bevatten informatie over de ernst van een bepaalde kwetsbaarheid, de getroffen componenten en de aanbevolen stappen om het probleem op te lossen. Dankzij deze benadering van beeldbeveiliging kunnen organisaties potentiële problemen opsporen en oplossen voordat ze containers implementeren. Hierdoor wordt het risico dat gecompromitteerde applicaties in productieomgevingen worden uitgevoerd drastisch verminderd.

• Runtime-beveiliging voor gecontaineriseerde applicaties

De runtime-beveiliging van Azure CWPP voor gecontaineriseerde applicaties breidt de beveiligingsfuncties uit naar actieve containers en biedt realtime bescherming tegen bedreigingen. Het biedt de volgende maatregelen om runtime-beveiliging te garanderen:

1. Gedragsmonitoring: Het platform controleert continu het gedrag van actieve containers en signaleert eventuele afwijkingen van normaal gedrag die kunnen duiden op een inbreuk op de beveiliging of kwaadwillige activiteiten.
2. Netwerksegmentatie: Het systeem helpt organisaties bij het handhaven van netwerkbeleid om communicatie tussen containers te voorkomen wanneer dit niet mogelijk of niet gewenst is, waardoor het aanvalsoppervlak wordt verkleind.
3. Privilege management: Door gebruik te maken van het platform kunnen organisaties de privileges van actieve containers beheren en ervoor zorgen dat het principe van minimale privileges wordt nageleefd.
4. Realtime reactie op bedreigingen: Wanneer een bedreiging wordt gedetecteerd, kan het platform onmiddellijk maatregelen nemen om te reageren, zoals het isoleren van de getroffen container of het informeren van het beveiligingsteam van de organisatie.

Kubernetes-specifieke beveiligingsverbeteringen

Azure CWPP heeft ook verschillende functies die de beveiliging van Kubernetes-omgevingen verbeteren:

1. Kubernetes-bedreigingsdetectie: Het systeem bevat ingebouwde detecties voor bedreigingen die specifiek zijn voor Kubernetes-omgevingen, zoals verdachte API-aanroepen of het aanmaken van een pod in een gevoelige naamruimte.
2. Kubernetes-beveiligingsstatusbeheer: Het platform scant regelmatig de Kubernetes-configuraties van de organisatie om de beveiligingsstatus te beoordelen aan de hand van best practices en nalevingsnormen en aanbevelingen voor verbetering te doen.
3. Toegangscontrole: Door het gebruik van toelatingscontrollers kan het systeem beveiligingsbeleid afdwingen op Kubernetes-configuratieniveau en voorkomen dat niet-conforme resources worden geïmplementeerd.
4. Kubernetes-bewust netwerkbeleid: Het systeem helpt organisaties bij het opstellen en handhaven van netwerkbeleid dat specifiek is voor Kubernetes, zoals het controleren van zowel pod-naar-pod- als pod-naar-externe communicatie.

Best practices voor containerveiligheid in Azure

In dit gedeelte bespreken we verschillende best practices voor containerveiligheid met Azure CWPP:

1. Gebruik minimale basisimages: Organisaties worden aangemoedigd om minimale en officiële basisimages te gebruiken om het potentiële aanvalsoppervlak te verkleinen.
2. Implementeer het principe van minimale rechten: Organisaties moeten hun containers uitvoeren met de minimale rechten die nodig zijn om hun functies uit te voeren.
3. Regelmatige updates en patches: Organisaties moeten ervoor zorgen dat hun containerimages en de systemen waarop ze draaien regelmatig worden bijgewerkt met de nieuwste patches.
4. Netwerksegmentatie: Het wordt aanbevolen om het principe van minimale rechten te volgen en te zorgen voor adequate netwerksegmentatie om de omvang van een mogelijke aanval te beperken.
5. Continue monitoring: Containeractiviteiten moeten continu worden gemonitord en gelogd.
6. Beheer van geheimen: Azure Key Vault moet worden gebruikt om de geheimen te beheren die nodig zijn voor het uitvoeren van gecontaineriseerde applicaties.

Best practices voor Azure CWPP

Hieronder volgen enkele algemene best practices die bedrijven moeten implementeren om Azure CWPP optimaal te benutten:

#1. Richtlijnen voor de eerste installatie en configuratie

De eerste installatie en configuratie van Azure CWPP zijn belangrijk voor een succesvolle implementatie. Organisaties moeten Azure Defender inschakelen voor alle abonnementen en resources. Azure CWPP biedt verschillende tools voor het verzamelen van beveiligingsinformatie uit alle vereiste Azure-services en beveiligingstools van derden die in de omgeving zijn geïntegreerd, ook wel gegevensconnectoren voor Azure Security Center genoemd.

#2. Effectief beheer en triage van waarschuwingen

Beveiligingsteams moeten waarschuwingsmechanismen instellen voor een beter beheer van bedreigingen. Om dit te implementeren, moet een goed plan worden opgesteld, waarin bedreigingen worden getagd op basis van hun ernst en de schade die ze kunnen veroorzaken. In de toekomst moeten oorzaak-gevolgrelaties worden geïdentificeerd om verdachte activiteiten te correleren met behulp van waarschuwingen.

#3. Continue monitoring en verbetering van de beveiligingsstatus

Continu toezicht door beveiligingsteams is nodig om mogelijke kwetsbaarheden op te sporen. Bedrijven moeten de beveiligingsscore in het Azure Security Center controleren, die aanbevelingen geeft en kan worden gebruikt bij het oplossen van bedreigingen.

#4. Planning en uitvoering van incidentrespons

Een incidentresponsplan helpt beveiligingsteams zich voor te bereiden op beveiligingsincidenten of datalekken. Het incidentresponsplan moet de rollen en verantwoordelijkheden van verschillende belanghebbenden bij een beveiligingsincident vermelden.

#5. Technieken voor prestatieoptimalisatie

Prestatieoptimalisatie van de Azure CWPP-implementatie is nodig om te voorkomen dat deze de middelen van de organisatie uitput. Regelmatige prestatiebeoordelingen en het verfijnen van CWPP-instellingen kunnen helpen om een optimale efficiëntie te behouden en tegelijkertijd een uitgebreide beveiligingsdekking te garanderen.

Conclusie

Azure CWPP is een belangrijk onderdeel van cloudbeveiliging. Azure CWPP bestaat uit meerdere beveiligingstools die helpen bij het beschermen van de bedrijfsmiddelen van een organisatie. Sommige tools, zoals Azure Security Center, Azure Sentinel en Azure Defender, helpen bij netwerk- en gegevensbescherming, maar ook bij containerveiligheid.

Azure CWPP is een oplossing van Azure die helpt bij het aanpakken van hedendaagse kwetsbaarheden met een cloudspecifieke oplossing. Het biedt volledig inzicht in de Azure-omgeving en hybride omgevingen. CWPP biedt geavanceerde bescherming tegen bedreigingen en compliancebeheer op elk moment in de organisatie.

FAQs

Wat is CWPP in Azure?

Azure Cloud Workload Protection Platform is niet slechts één tool. Het combineert functies van verschillende tools op één plek en biedt zo een geïntegreerde beveiligingscombinatie. De functies omvatten Azure Security Center, Azure Defender, Azure Sentinel en Azure Firewall, die tegelijkertijd werken om Azure Cloud Workloads te beschermen en de organisatie te behoeden voor verschillende soorten bedreigingen.

Wat zijn de prijzen van Azure CSPM?

Azure Cloud Security Posture Management (CSPM) helpt organisaties bij het kiezen van een model dat het beste bij hen past op basis van hun vereisten door twee prijsplannen aan te bieden. Het eerste abonnement is Foundational CSPM, dat gratis is en wordt gebruikt door organisaties die net zijn begonnen met cloud computing en zich nog in een leerfase bevinden. Het tweede plan is Defender CSPM, een betaalde versie met geavanceerde functies die per resource worden geprijsd en meestal wordt gekozen door organisaties die goed op de hoogte zijn van hun vereisten en vertrouwd zijn met de cloud.