Architecture Map do Cloud Security

Como o Architecture Map desenha o seu ambiente AWS, Google Cloud e Azure a partir do inventário, com exposição, identidade, dados e findings por cima, e como ler, filtrar e salvar o mapa.

O Architecture Map do Cloud Security desenha o seu ambiente a partir do inventário, com exposição, identidade, dados e findings por cima. Esta página mostra como ele é desenhado e como trabalhar com ele.

Como o ambiente é desenhado

O mapa desenha o seu ambiente do jeito que você desenharia num quadro: cada conta, as suas regiões, as VPCs dentro delas e as subnets públicas e privadas de cada VPC, com cada serviço no lugar onde roda e as identidades e os serviços globais em faixas próprias. Um projeto Google Cloud é desenhado do mesmo jeito: as suas redes VPC, que atravessam todas as regiões, ficam no nível do projeto com as sub-redes embaixo, e cada região guarda os serviços que rodam nela. Uma assinatura Azure é desenhada com as suas redes virtuais e as suas sub-redes, com cada máquina colocada na sub-rede da sua interface de rede.

As linhas dizem como as coisas se ligam, em palavras simples: um registro resolve para uma distribuição, uma distribuição encaminha para a sua origem, um load balancer envia tráfego para os seus alvos, uma role está anexada a uma instância, uma role pode ler um bucket, uma chave criptografa um armazenamento, uma web ACL ou um security group protege um recurso. A internet é um nó próprio na frente de cada ponto de entrada considerado alcançável, e uma linha fica vermelha quando a exposição é confirmada de fora ou quando a ligação faz parte de um caminho de risco.

Selos

Cada recurso traz um selo com os seus findings abertos: vermelho para crítico, laranja para alto, âmbar para médio, verde quando os controles que se aplicam a ele passaram, cinza quando nenhum controle o avalia ainda. Uma caixa traz o pior risco do que ela contém, então um finding numa route table continua aparecendo na sua VPC. Findings não viram nós: ficam no recurso a que se referem.

Modos

O modo muda o que o mapa destaca. Topology mostra como os serviços se ligam. Security acrescenta os security groups e coloca a faixa de risco em cada borda. Exposure mantém só o caminho de entrada a partir da internet, da esquerda para a direita, para você ver por onde o tráfego entra e quais workloads o recebem. A chave Critical paths desenha os caminhos de ataque ativos sobre o mapa, e cada caminho leva à página Attack Paths, que o explica e mostra a menor correção que o quebra.

Contas grandes

Regiões que só têm a rede padrão se juntam num único nó, e muitos recursos de um mesmo tipo viram um grupo só, como "S3 buckets (112)", que mantém os mais arriscados do lado de fora. Dê um duplo clique num grupo ou numa caixa fechada para abri-la e numa caixa aberta para fechá-la; um duplo clique nas subnets públicas ou privadas mostra uma caixa por subnet, agrupadas por availability zone. A busca encontra um recurso por nome, identificador, ARN, endereço IP ou tag e abre o que o contém.

Detalhes do recurso

Clique num recurso para ler os detalhes sem sair do mapa: onde ele roda, se é público e alcançável, a criptografia, a role, os security groups, a classe de dados, os findings e as falhas de compliance, o que chega até ele e o que ele alcança, os caminhos de ataque que passam por ele, a evidência de exposição e as mudanças recentes, cada um com um link para a página que tem a história completa. O mesmo painel destaca as relações, o raio de impacto ou o caminho da internet até ele.

Presets

Os presets acendem o que responde a uma pergunta: exposição à internet, confiança e privilégio de identidades, caminhos até dados sensíveis, a superfície de ataque crítica, recursos públicos, confiança entre contas, os recursos alterados nas últimas 24 horas e só os findings críticos.

Visualizações salvas e exportação

Arraste os nós para organizar o mapa e salve a visualização com o escopo, o modo, as caixas que você abriu e as posições que escolheu; uma visualização salva é compartilhada com a sua organização. Export PNG / SVG baixa o desenho da tela. Ler o mapa exige a permissão de leitura do Cloud Security; exportar exige a permissão de exportação.