Authorize Security Center to check the security of cloud service configurations based on KSPM, CIEM, security risks, and compliance risks - Security Center

La gestion de la posture de sécurité cloud (CSPM) propose une fonctionnalité de vérification de la configuration des services cloud. Elle détecte les problèmes de configuration et les risques de sécurité en s'appuyant sur des règles de contrôle issues de la gestion de la posture de sécurité IA (AI-SPM), de la gestion de la posture de sécurité Kubernetes (KSPM), de la gestion des droits d'accès à l'infrastructure cloud (CIEM), ainsi que des meilleures pratiques de sécurité des fournisseurs cloud et des normes de conformité. Cette fonction évalue les risques et affiche des statistiques par niveau de risque afin de fournir une vue d'ensemble des risques de configuration pour les services cloud.

Limites

Les utilisateurs gratuits et payants de Security Center peuvent utiliser cette fonctionnalité.

Facturation

Security Center propose certains éléments de vérification gratuitement. Pour les éléments de vérification payants, les frais sont calculés en fonction de l'utilisation du quota pour chaque instance, ce qui inclut le nombre d'analyses, de vérifications et de corrections. Pour plus d'informations, consultez la rubrique Facturation CSPM.

Procédure

Autorisez Security Center à accéder à vos ressources et activez CSPM pour utiliser l'intégralité des éléments de vérification lors de la vérification de la configuration.

Remarque
Pour utiliser uniquement les éléments de vérification gratuits de Security Center, effectuez l'autorisation.
Ajoutez des actifs multicloud nécessitant des vérifications de configuration à Security Center.

Security Center synchronise automatiquement les services cloud associés au même compte Alibaba Cloud. Aucune intervention manuelle n'est requise.
Configurez les politiques de vérification afin d'évaluer les risques de configuration dans des services cloud spécifiques, d'effectuer des vérifications périodiques ou d'ajouter certains éléments de vérification à la liste blanche d'une instance pour les ignorer.
Effectuez manuellement une analyse complète ou une analyse basée sur une politique. Security Center effectue également des analyses automatiques selon le cycle et l'heure spécifiés dans les politiques d'analyse.
Consultez les détails des éléments de vérification ayant échoué, y compris les descriptions, les actifs à risque et les solutions recommandées.
Corrigez la configuration des actifs à risque en suivant les solutions proposées, puis vérifiez que l'élément de vérification ayant précédemment échoué est désormais validé après la correction.

Descriptions des fonctionnalités

Règles de vérification

La vérification de la configuration prend en charge les règles de vérification pour AI-SPM, KSPM, CIEM, les risques de sécurité et les risques de conformité. Consultez le tableau ci-dessous pour connaître les éléments de vérification prédéfinis spécifiques fournis par Security Center. Vous pouvez également ajouter des éléments de vérification personnalisés dans ces scénarios.

Important

Pour connaître les éléments de vérification prédéfinis spécifiques pris en charge, consultez la page Risk Governance > CSPM dans la console Security Center.

Scénario	Catégorie d'élément de vérification	Description
AI-SPM	Meilleures pratiques de sécurité IA d'Alibaba Cloud : Platform for AI (PAI)	Alibaba Cloud applique des normes de sécurité IA strictes couvrant la protection des données, le contrôle d'accès et les vérifications de sécurité des LLM afin de garantir la sécurité et la conformité des applications IA tout au long de leur cycle de vie. Cela permet d'atténuer efficacement les risques potentiels et de protéger la confidentialité des données des utilisateurs. Security Center prend en charge les vérifications des risques de configuration pour les actifs IA tels que PAI et Function Compute, notamment des contrôles relatifs au moindre privilège, à la protection opérationnelle et à la liste blanche publique, vous aidant ainsi à gérer et réduire efficacement les risques de configuration tout en garantissant la sécurité des données et la stabilité des services.
	Meilleures pratiques de sécurité IA Azure : services IA et apprentissage automatique
	Meilleures pratiques de sécurité IA AWS : apprentissage automatique
KSPM	Meilleures pratiques de sécurité K8s : sécurité des conteneurs, politiques de sécurité, RBAC et politiques de stockage.	KSPM garantit que les configurations des clusters Kubernetes (K8s) sont conformes aux meilleures pratiques de sécurité afin d'identifier les risques potentiels. Security Center vérifie les namespaces partagés des conteneurs, les autorisations de démarrage privilégié et les configurations de champs sensibles en se basant sur les meilleures pratiques K8s, ce qui permet d'identifier et de résoudre rapidement les problèmes de déploiement et de configuration afin d'assurer la sécurité et la conformité des déploiements K8s.
CIEM	AWS Identity and Access Management (IAM) : authentification des identités IAM et gestion des autorisations IAM.	CIEM combine les technologies de vérification de la sécurité cloud et la gestion des autorisations pour gérer les droits d'accès sur les plateformes cloud. Security Center utilise CIEM pour gérer les identités et les autorisations, en vérifiant les problèmes tels que les autorisations excessives et l'expiration des mots de passe. Cela permet d'identifier et de résoudre rapidement les problèmes de gestion des autorisations, améliorant ainsi la sécurité et la fiabilité des plateformes cloud.
	Tencent Cloud Access Management (CAM) : authentification des identités CAM et gestion des autorisations CAM.
	Gestion des identités et des autorisations Alibaba Cloud : authentification des identités RAM, IDAAS et gestion des autorisations RAM.
Risques de sécurité	Meilleures pratiques de sécurité Alibaba Cloud : sécurité, base de données NoSQL, stockage, calcul élastique, base de données relationnelle, entrepôt de données, conteneur et middleware, réseau, big data, DevOps et maintenance, et outils de gestion de base de données.	Les meilleures pratiques de sécurité sont des mesures développées par les fournisseurs de services cloud pour renforcer la sécurité des données et des activités. Security Center vérifie les configurations de sécurité, les vulnérabilités du code et les paramètres de journalisation des systèmes métier, en identifiant les erreurs de configuration potentielles sur la base de ces pratiques. Cela garantit une protection optimale de vos données et de vos activités.
	Meilleures pratiques de sécurité AWS : calcul, base de données, analytique, stockage, mise en réseau et diffusion de contenu, et conteneur.
	Meilleures pratiques de sécurité Azure : réseau, calcul, conteneur, stockage, base de données, sécurité et surveillance.
	Meilleures pratiques de sécurité Tencent Cloud : réseau, base de données relationnelle, base de données NoSQL, stockage, conteneur et middleware, big data, sécurité et calcul.
	Huawei Cloud : gestion et surveillance.
Risques de conformité	Meilleures pratiques de sécurité internationalement reconnues : ligne de base de la plateforme Alibaba Cloud et ligne de base de la plateforme AWS.	Les meilleures pratiques de sécurité internationalement reconnues, établies par le Center for Internet Security, définissent les normes pour la défense des systèmes informatiques et des données contre les cyberattaques. Security Center vérifie et gère de manière exhaustive les risques de conformité sur les plateformes cloud, en identifiant les configurations qui ne respectent pas ces normes de sécurité. Cela permet de remédier rapidement aux vulnérabilités, maximisant ainsi la sécurité de vos données et de vos activités.
	Norme PCI Data Security Standard : Alibaba Cloud PCI DSS.	La norme PCI Data Security Standard (PCI DSS) comprend des mesures de sécurité visant à renforcer la sécurité des informations des titulaires de carte et à promouvoir l'adoption mondiale des pratiques de sécurité des données. Elle couvre divers aspects, notamment les systèmes de management de la sécurité de l'information, la sécurité du réseau, la sécurité physique et le chiffrement des données, établissant ainsi des exigences de référence complètes en matière de sécurité. Security Center propose une gamme de services de détection de sécurité basés sur la norme PCI DSS pour évaluer et gérer les configurations de sécurité réseau, les vulnérabilités potentielles, les contrôles d'accès, les audits de journaux, les transmissions chiffrées et la protection contre les logiciels malveillants sur les plateformes cloud. Cela aide les entreprises à respecter les exigences de la norme PCI DSS et à protéger leurs informations de cartes de paiement.
	Norme de protection classifiée 2,0 : Alibaba Cloud Multi-Level Protection Scheme (MLPS) Niveau 3.	Depuis le 1er décembre 2019, la norme « Technologie de l'information - Ligne de base pour la protection classifiée de la cybersécurité » (GB/T 22239-2019) est officiellement en vigueur. L'adoption du système de protection classifiée de la cybersécurité est une obligation fondamentale pour toutes les entreprises et organisations. Security Center propose une fonctionnalité de vérification de la conformité MLPS afin de garantir que la plateforme cloud respecte les exigences de base. Cette fonctionnalité prend en charge des vérifications de sécurité complètes, notamment les configurations de sécurité réseau, la gestion des vulnérabilités des hôtes et la gestion de la sécurité des données. Elle facilite la mise en œuvre efficace et continue du système de protection classifiée de la cybersécurité, renforçant ainsi les capacités de sécurité des activités hébergées sur le cloud.
	Norme internationale ISO : Alibaba Cloud ISO 27001.	ISO 27001 est une norme internationale pour la gestion de la sécurité de l'information. La certification indique qu'une entreprise peut fournir des services d'information sûrs et fiables, reconnus par l'Organisation internationale de normalisation (ISO). La vérification de la conformité ISO 27001 de Security Center évalue si les systèmes d'actifs de l'entreprise répondent aux exigences de certification, notamment la gestion des actifs, le contrôle d'accès, la cryptographie et la sécurité opérationnelle. Cela facilite les vérifications complètes des risques, identifie les menaces et vulnérabilités potentielles et propose des suggestions d'atténuation des risques pour aider les entreprises à obtenir la certification ISO 27001.

Niveaux de risque

CSPM évalue les risques principalement en fonction de la gravité et des scénarios d'application.

Niveau de risque

Description

Suggestion de correction

Élevé

Éléments qui augmentent considérablement le risque d'intrusion ou d'exposition, tels que l'exposition des ports de gestion, le contournement du serveur d'origine, la fuite d'identifiants, l'accès non autorisé, le contournement de l'authentification et les comptes privilégiés non désactivés.

Corrigez immédiatement.

Moyen

Éléments importants dont la prise en compte permet de réduire les vulnérabilités de configuration et d'améliorer la sécurité des données.

Traitez-les en temps utile selon votre situation.

Faible

Éléments non critiques, tels que les rappels d'audit des journaux et les notifications de gouvernance de la sécurité.

Ignorez-les ou corrigez-les si nécessaire pour la conformité.

Correction des risques

Security Center propose des suggestions d'optimisation et des solutions pour chaque élément de risque afin de vous aider à gérer les ressources cloud et à garantir la sécurité de vos activités.

Correction individuelle : évaluez l'impact du risque sur les services cloud en fonction des résultats de la vérification, puis effectuez les corrections.
Correction par lot : Security Center propose une fonctionnalité de correction en un clic pour plus de 100 éléments de vérification, vous permettant de corriger les configurations des instances directement dans la console Security Center.

Vous pouvez consulter les éléments de risque éligibles à la correction en un clic dans la console.

Chaque correction réussie d'un élément de risque consomme un quota CSPM.

Services cloud pris en charge

Security Center permet d'ajouter des services Alibaba Cloud, des services cloud tiers (Tencent Cloud, Huawei Cloud, Azure et AWS) ainsi que des clusters K8s autogérés, et de vérifier les configurations des services cloud en se basant sur des règles de vérification. Vous pouvez consulter la liste des services cloud pris en charge dans la console Security Center.