Bilfinger

Desafío

Tras un año y medio de esta gran migración, en Bilfinger se dieron cuenta de que necesitaban mejorar la seguridad en cuanto a las identidades y los derechos.Said Pfau, “Our cloud infrastructure was getting more and more complex — we wanted to understand our identities better. Por limitaciones de tiempo, estábamos otorgando permisos de más y no siempre los revocábamos más tarde; sabíamos que teníamos cuentas con privilegios de más, algunos ocultos".The organization also sought to better secure its growing number of Azure subscriptions, avoid manual hours spent on certain cloud risk detection processes and achieve transparency into its global multi-cloud operation.

A key goal was to automate least privilege access; compliance requirements — GDPR in particular — were another concern. A nivel estratégico, Bilfinger quería una visión del riesgo de carácter independiente, a modo de complemento para sus evaluaciones de riesgo internas.

Thomas Lützel, Service Owner of Identity & Authentication Services at Bilfinger, recalls, “I learned of [the solution] and told Andreas we should do a PoC.” Added Pfau: “Security was top of mind for our IAM team — they felt the could secure IAM more successfully with a tool like Ermetic [now Tenable Cloud Security].”

Pfau continued: “Our team evaluated several vendors. We found an array of marketing material, and it was obvious some vendors don’t know what CIEM means, and how it should be done. Además, evaluar y comparar soluciones de CIEM es difícil, porque se trata de una nueva tecnología y una nueva mentalidad.All competing products, including cloud provider native tools, are using the same raw data — this levels the playing field. [Tenable] showed it gets more out of the raw data than the others can — the platform is very, very good at analyzing, at giving insights. Para mí, esa fue la clave".

Solución

Actualmente, tres equipos diferentes de Bilfinger están usando Tenable Cloud Security de manera cotidiana:

• IAM team (manages identities and access, including cloud)
• Cloud Center of Excellence (handles cloud services operationally and architecturally, and lends cloud expertise to the business units)
• IT Security (responsible for cloud security posture and compliance overall)

Explained Pfau, “From my perspective, these three Bilfinger teams reflect the three pillars of cloud security that the platform is providing: IAM security, cloud expertise as a main asset, and overall cloud posture security and compliance. [Tenable Cloud Security] is an independent tool giving us overall transparency and deep, unified insight into our cloud architecture across both Azure and AWS, into the accounts of multiple tenants, subscriptions and whatever is in their identities.

"[Tenable Cloud Security] ve toda nuestra infraestructura en la nube y genera un inventario de todos nuestros activos en la nube", afirmó Pfau."También detectamos que la plataforma está mucho más avanzada que los productos comparables en cuanto a desarrollo y utilidad.El motor de análisis de riesgo de [Tenable Cloud Security] no solo recopila datos, sino que los analiza y nos da información útil.

[Tenable Cloud Security] está brindando una visión muy clara y sencilla del uso del acceso, no solo al nivel de los permisos sino al nivel del uso real.Con [la solución] podemos ver fácilmente cuando un permiso es 'exagerado': quizás en su momento estuvimos en lo cierto al pensar que determinado grupo o cuenta lo necesitaba, pero [Tenable Cloud Security] muestra que no se necesita porque, por ejemplo, el permiso no se ha empleado en seis meses".

Así usan Tenable en Bilfinger: casos de uso

• Multi-cloud asset management and visibility
• Información de riesgo de identidades y permisos, incluyendo de terceros.
• Corrección de excesos de privilegios.
• Proceso de gobierno de nubes para identidades en la nube.
• Monitoreo constante de la seguridad de redes, la exposición a Internet y los errores de configuración.
• Informes y auditorías de cumplimiento regulatorio.
• Aplicación del privilegio mínimo para Zero Trust (en breve).
• Detección de amenazas (en breve).

Infraestructura en la nube de Bilfinger

• Microsoft Azure (cientos de suscripciones), para servicios y aplicaciones de negocios principales, con Azure Active Directory como IdP.
• AWS para cargas de trabajo de CAD virtual y otros.
• Auditorías de seguridad de equipos internos y proveedores externos.
• Equipo interno que realiza auditorías de cumplimiento y aborda los hallazgos o las brechas de seguridad.
• SIEM
• ServiceNow

ROI y próximos pasos

"[Tenable Cloud Security] es importante porque nos da una perspectiva diferente, una visión de afuera hacia adentro, como la de un asesor independiente que analiza lo que hacemos", dijo Pfau."La plataforma se adapta todo el tiempo, por lo cual nos enseña sobre situaciones actuales en la nube, casos de uso y amenazas.Al comienzo nos enfocábamos en satisfacer nuestras necesidades relativas a las identidades en la nube y el gobierno de las identidades, pero la gestión de la postura de seguridad en la nube de [la solución] es un agregado que se acomoda bien a nuestra estrategia para el futuro.

Nuestra meta inmediata es estandarizar el uso de [Tenable Cloud Security] para el escaneo de la seguridad y para aprovechar más los hallazgos.Integraremos [Tenable Cloud Security] mucho más en nuestros procesos operativos cotidianos.Específicamente, integraremos sus recomendaciones de corrección de políticas a través de más emisión de tickets, a fin de que [la solución] sea una plataforma para el cambio.Deseamos enviar tickets a diferentes equipos, SOC y otros, para que cada uno gestione la seguridad en su propia área.

También queremos implementar la información que brinda [la solución] en un circuito de planificación, realización, verificación y acción, a fin de lograr la optimización constante, que ahora es un requisito de la norma ISO 27001:2013.Es decir, usaremos [Tenable Cloud Security] para reducir los privilegios, asignar menos privilegios exagerados y luego verificar que esto se cumpla realmente.Al cerrar una cuenta privilegiada o incluso dividir roles porque un rol tiene demasiados privilegios, se produce un cambio. Vamos a establecer la cadena PDCA completa y usaremos [Tenable Cloud Security] para ejecutarla".

Consideraciones finales

"Mi consejo", resumió Pfau, "es no asustarse cuando [Tenable Cloud Security] encuentra errores o nos dice que algo no se está haciendo bien o representa un gran riesgo.Una herramienta como esta puede ayudar a acelerar las correcciones, para aprender más rápido y tener una perspectiva diferente.In the fast-changing cloud platform world you need feedback loops that are internal and external – mirrors reflecting what you’re doing. [Tenable Cloud Security] provides an external feedback loop with fast insight that you can use to accelerate remediation and make incremental security improvements.

Al final de cuentas, [Tenable Cloud Security] nos está dando un panorama claro de nuestra infraestructura en la nube, de los riesgos para nuestros recursos y de lo que podemos hacer al respecto.Estamos a apenas dos clics de ver lo que sucede en realidad y corregirlo, y eso es de mucho valor para nosotros".

Acerca de Tenable Cloud Security

Tenable Cloud Security es la plataforma de seguridad en la nube (CNAPP) procesable, que permite exponer y cerrar rápidamente las brechas de seguridad prioritarias que generan errores de configuración, derechos riesgosos y vulnerabilidades. Estas debilidades son el epicentro del riesgo de la nube. Tenable es líder mundial en aislamiento y erradicación de estas exposiciones a escala a lo largo de infraestructuras, cargas de trabajo, identidades, datos y servicios de IA.