Bu çerçeve, sektör çapında işbirliğini mümkün kılacak ve bulut hizmetlerini güvenli bir şekilde oluşturmak ve uygulama sürecindeki kritik riskleri önlemek için bulut müşterilerine ve bulut uygulama geliştiricilerine gerekli rehberliği sağlayacaktır.
Wiz CEO’su Assaf Rappaport, “Geçen bir buçuk yıl içinde, Wiz araştırmacıları ve bulut güvenliği topluluğunun diğer üyeleri, çeşitli çok kiracılı bulut uygulamalarında çok sayıda kiracılar arası güvenlik açığı keşfetti” dedi.
“Bu sorunlar kapsamlı bir şekilde bildirilmiş ve ilgili satıcılar tarafından uygun bir şekilde ele alınmış olsa da, tüm sektörde bu tür güvenlik açıklarının nasıl azaltılacağına dair çok az kamuoyu tartışması gördük. Güvenlik topluluğunun üyeleri arasındaki işbirliğini güçlendirmek için bir fırsat gördüğümüz yer burasıdır,” diye devam etti Rappaport.
Kuruluşlar için bir kılavuz sunmanın ötesinde, PEACH, güvenlik ekiplerinin bulut tehditlerini hafifletme söz konusu olduğunda standart şeffaflık ve ortak dil oluşturmak üzere birlikte çalışmasını sağlamak için bir başlangıç noktasıdır.
SaaS ve PaaS kiracı yalıtımını modellemek ve iyileştirmek için adım adım bir çerçeve görevi gören PEACH, kullanıcı arabirimleri tarafından açığa çıkan saldırı yüzeyini yönetir ve kiracı yalıtım güvencesinde şeffaflık için açık bir standart sağlar.
Wiz, kiracılar arası artan güvenlik açıklarını, şeffaflık için bir standart eksikliğini ve satıcılar arasındaki ortak dil eksikliğini gidermek için öğrenilen derslere dayalı olarak aşağıdaki parametreleri geliştirdi:
- Privilege güçlendirme – kiracıların ve ana bilgisayarların hizmet ortamında minimum izinlere sahip olmasını sağlayın.
- Eşifreleme sağlamlaştırma – bilgilerin nerede depolandığına bakılmaksızın her bir kiracıya ait verilerin benzersiz bir anahtarla şifrelendiğini onaylayın.
- Akimlik doğrulama sağlamlaştırma – her kiracı ile kontrol düzlemi arasındaki iletişimin, her kiracıya özgü doğrulanmış bir anahtarla kimlik doğrulama kullandığını doğrulayın.
- Cbağlantı sağlamlaştırma – ilgili kiracılar tarafından açıkça onaylanmadıkça tüm ana bilgisayarlar arası bağlantının varsayılan olarak engellendiğini belirleyin.
- Hygiene – ipucu bırakmamak veya kötü niyetli aktörler için hızlı kazanç sağlamaktan kaçınmak için çevreye dağılmış gereksiz sırların, yazılımların ve günlüklerin temizlendiğini doğrulayın.
Güvenlik incelemesi sürecinin ikinci kısmı, kiracılar arası güvenlik açıkları riskini yönetmek ve gerektiğinde yalıtımı iyileştirmek için düzeltme adımlarından oluşur.
Bunlar, bütçe kısıtlamaları, uyumluluk gereksinimleri ve hizmetin beklenen kullanım durumu özellikleri gibi operasyonel bağlamı hesaba katarken, arabirim karmaşıklığının azaltılması, kiracı ayrımının iyileştirilmesi ve arabirim çoğaltmasının artırılmasını içerir.
Bu çerçeve AWS, Google, IBM, Netflix ve Cisco’dan bulut güvenliği sektörü uzmanlarıyla incelendi ve üzerinde işbirliği yapıldı. Yine de PEACH’i ticarileştirmek yerine, Wiz çerçeveyi ücretsiz olarak sunacak.