Acoperirea poate include planuri de control, identități, sarcini de lucru, containere, orchestrare, rețele, stocare, acces la date și aplicații software-as-a-service, dar implementările variază larg.
CDR corelează apeluri administrative de API, evenimente de autentificare, modificări de configurație, activitate de runtime, observații de rețea și alerte de furnizor. Analiștii folosesc relațiile între resursele cloud și contextul de identitate pentru a reconstrui evenimente și a selecta răspunsuri precum revocarea unei sesiuni, dezactivarea unei chei, restricționarea unei sarcini, păstrarea dovezilor sau reconstruirea unei resurse.
Puncte esențiale
Acoperirea detecțieiMapați tehnicile de atac cloud la evenimentele, activele, identitățile, conturile și serviciile disponibile. Validați că jurnalizarea este activată, în timp util, corect parsată, păstrată și protejată.
InvestigarePăstrați dovezile de furnizor și sarcină, corelați identitățile cu resursele efemere, distingeți automatizarea de abuz și determinați datele și dependențele afectate.
Răspuns controlatPre-autorizați acțiuni cu risc scăzut acolo unde este potrivit, cereți aprobare pentru modificări perturbatoare, folosiți identități de răspuns cu privilegii minime și testați izolarea, revenirea, recuperarea și escaladarea la furnizor.
Limitare importantăCDR nu are o acoperire minimă standardizată și nu poate detecta ce serviciile, identitățile, sarcinile sau evenimentele nu expun. Jurnalele lipsă, resursele de scurtă durată, activitatea criptată, întreruperile, detecțiile slabe și automatizarea nesigură pot cauza ratări sau prejudicii; o alertă este o dovadă, nu o dovadă de compromitere.