Einzeln erlaubt, zusammen kritisch
Der Schweregrad einer Cloud-Fehlkonfiguration steht im Katalog. Nur kennt der Katalog die Ressource nicht, auf der die Prüfung anschlägt. Wie wir das aufgelöst haben, und warum ein einzelner Risikofaktor dabei nichts anhebt.
Ein Bericht über Cloud-Fehlkonfigurationen ist zuerst eine sortierte Liste. Oben steht, was kritisch ist, unten das Übrige. Die Sortierung entscheidet, woran am Montag gearbeitet wird, und sie ist damit das Wichtigste am ganzen Bericht.
Nur: Woher kommt der Schweregrad? Aus dem Prüfkatalog. Dort steht bei jeder Prüfung, wie schwer ein Verstoß wiegt. Der Katalog kennt allerdings die Ressource nicht, auf der die Prüfung anschlägt.
Dieselbe Prüfung, zwei Situationen
Ein unverschlüsselter Speicher in einem abgeschotteten Testprojekt ist ein Mangel. Man sollte ihn beheben, aber niemand muss deswegen den Abend verlängern.
Derselbe unverschlüsselte Speicher, öffentlich erreichbar, ist etwas anderes. Die Prüfung ist dieselbe, der Katalogeintrag ist derselbe, der Sachverhalt ist es nicht.
Der Schweregrad ist also keine Eigenschaft der Prüfung. Er ist eine Eigenschaft der Ressource, auf der sie anschlägt.
Vier Faktoren, und keiner zählt für sich
Wir führen deshalb an jeder erfassten Ressource vier Kontextfaktoren mit: internet-exponiert, privilegiert, sensible Daten, unverschlüsselt. Sie stammen aus der Bestandsaufnahme, nicht aus einer Pflege von Hand.
Der Punkt, der beim Bauen am längsten diskutiert wurde: Ein einzelner Faktor hebt nichts an. Eine internet-exponierte Ressource ist nicht per se ein schwererer Fall, sonst wäre jeder Webserver ein Dauerproblem. Angehoben wird nur, wenn zwei Faktoren zusammenkommen. Ab Werk sind drei Paare hinterlegt, alle drei mit der Exposition als einem der beiden Teile: exponiert und unverschlüsselt, exponiert und privilegiert, exponiert mit sensiblen Daten.
Und die Anhebung geht um genau eine Stufe, nicht direkt auf kritisch. Das ist eine bewusste Entscheidung gegen die naheliegende Alternative. Wer bei jeder gefährlichen Kombination auf die Höchststufe springt, hat nach zwei Wochen eine Liste, auf der alles kritisch ist. Dann ist die Sortierung wieder wertlos, und der Bericht ist genau da, wo er ohne Kontext auch gewesen wäre.
Eine stille Anhebung wäre schlimmer als keine
Ein Schweregrad, der sich unterwegs ändert, ohne dass man es nachvollziehen kann, ist kein Fortschritt. Deshalb steht am Befund beides: der Schweregrad aus dem Katalog und der wirksame nach Kontext. Dazu die Regel, die angehoben hat, im Klartext.
Man liest an einem Befund also nicht nur „hoch", sondern: Der Katalog sagt mittel, hier ist es hoch, weil diese Ressource exponiert und unverschlüsselt ist. Das ist der Unterschied zwischen einer Bewertung, der man widersprechen kann, und einer Zahl, die man hinnehmen muss.
Aus demselben Grund sind die Regeln keine einprogrammierte Logik, sondern Daten. Es gibt einen Editor dafür. Was in Ihrer Umgebung eine gefährliche Kombination ist, wissen Sie besser als wir.
Was das im Betrieb ändert
Die Liste wird nicht länger und nicht kürzer. Sie wird anders sortiert. Oben stehen die Fälle, bei denen mehreres zusammenkommt, und diese Fälle tragen die Begründung gleich mit.
Mehr dazu auf der Modulseite zu CSPM.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.