Örnek sorular
Cse Cspm MisconfigurationZorluk 1
Bir Cloud Security Posture Management (CSPM) aracının temel amacı nedir?
- aDağıtımdan önce uygulama kaynak kodunu injection açıkları için taramak.
- bBulut yapılandırmalarını yanlış yapılandırmalar için sürekli kontrol etmek.✓
- cBulut sağlayıcısının fatura panosunu bir maliyet optimizasyon görünümüyle değiştirmek.
- dBulut iş yüklerinin performans testi için sentetik yük üretmek.
Açıklama:CSPM araçları bulut kaynaklarını sürekli envanterler ve yapılandırmalarını bilinen-iyi taban çizgilerle (CIS benchmark'ları, sağlayıcı en iyi uygulamaları) karşılaştırarak açık depolama veya aşırı geniş kurallar gibi yanlış yapılandırmaları ortaya çıkarır.
Cse Cspm MisconfigurationZorluk 2
Bir CSPM taraması, erişim kontrolü "herhangi bir kimliği doğrulanmış kullanıcıya" ya da genel internete izin veren ve kaynağı kısıtlayan bir bucket politikası bulunmayan bir depolama bucket'ını işaretliyor. Bu neden yüksek önemde bir bulgu?
- aBucket adını bulan herkes yetkilendirme olmadan içeriği okuyabilir veya listeleyebilir.✓
- bBu, bucket'ın gigabayt başına daha pahalı, eski bir depolama sınıfı kullandığı anlamına gelir.
- cYalnızca faturayı etkiler çünkü genel bucket'lar daha yüksek egress ücretiyle faturalanır.
- dBu, erişim riski taşımayan, sadece lint araçlarının işaretlediği bir isimlendirme kuralı sorunudur.
Açıklama:Genel okuma/listeleme erişimi, bucket URL'sini veya adını bulan herkesin kimlik kontrolü olmadan içeriğe ulaşabileceği anlamına gelir; bu tam olarak CSPM'in yakalamak için tasarlandığı açık-depolama yanlış yapılandırma sınıfıdır.
Cse Cspm MisconfigurationZorluk 2
Bir CSPM raporu, "herkese açık" (herhangi bir bulut hesabıyla paylaşılabilir) olarak işaretlenmiş bir veritabanı snapshot'ı gösteriyor. Bu yapılandırmanın somut riski nedir?
- aHerkese açık snapshot'lar 24 saat sonra otomatik olarak silinir, bu da veri kaybına yol açar.
- bHerkese açık paylaşım bölgeler arası replikasyonu zorunlu kıldığı için snapshot'ın depolama maliyeti artar.
- cHerkese açık snapshot'lar hiçbir şekilde geri yüklenemez, dolayısıyla bulgu sadece kozmetik bir uyarıdır.
- dSağlayıcıdaki herhangi bir hesap snapshot'ı kopyalayıp geri yükleyerek veriyi elde edebilir.✓
Açıklama:Bir snapshot'ı herkese açık işaretlemek, platformdaki başka herhangi bir hesabın onu keşfedip kopyalayabileceği ve ardından tam bir veritabanı örneği geri yükleyebileceği anlamına gelir — bu da içerdiği tüm verinin fiilen sızdırılması demektir.
Cse Cspm MisconfigurationZorluk 1
CSPM araçları neden sıklıkla bir bulut hesabının "default VPC"sinde bırakılan kaynakları işaretler?
- aDefault VPC'ler özel VPC'lere kıyasla her zaman daha yüksek bir ücretle faturalandırılır.
- bDefault VPC'ler genellikle geniş varsayılan yönlendirme ve izin verici temel kurallarla gelir, bu yüzden oraya yerleştirilen kaynaklar amaçlanandan daha fazla ağ maruziyeti kazanabilir.✓
- cDefault VPC'ler içinde ne çalışıyor olursa olsun her 90 günde bir otomatik olarak silinir.
- dDefault VPC'ler hiçbir compute kaynağını barındıramaz, dolayısıyla bulgu yalnızca kaynağın boşta olduğu anlamına gelir.
Açıklama:Bulut sağlayıcıları onboarding'i kolaylaştırmak için izin verici varsayılanlarla (genel alt ağlar, geniş varsayılan security group) bir default VPC oluşturur; orada bırakılan üretim kaynakları, biri bilinçli olarak kısıtlamadıkça bu izin vericiliği devralır.
Cse Cspm MisconfigurationZorluk 2
Bir CSPM bulgusu, kaynağı 0.0.0.0/0 olan TCP 22 (SSH) portuna izin veren bir inbound kurala sahip bir security group listeliyor. Bu kural gerçekte neye izin verir?
- aİnternetteki herhangi bir host, o security group'a SSH bağlantısı denemesi yapabilir.✓
- bYalnızca aynı VPC içindeki örnekler SSH üzerinden bağlanmayı deneyebilir.
- cYalnızca bulut sağlayıcısının kendi yönetim düzleminden gelen trafik 22 portuna ulaşabilir.
- dEşleşen bir outbound kural da tanımlanmadıkça kuralın hiçbir etkisi yoktur.
Açıklama:0.0.0.0/0 tüm IPv4 adres uzayını temsil eder, dolayısıyla bu kaynaktan 22 portuna gelen bir inbound kural internetteki herhangi bir host'un SSH bağlantısı denemesine izin verir — örneğin gerçek maruziyeti artık ağ filtrelemesine değil yalnızca kimlik doğrulamaya bağlıdır.
Cse Cspm MisconfigurationZorluk 1
CSPM bağlamında bir "CIS benchmark" ne sağlar?
- aServise göre ayrıştırılmış, güncel bulut harcamasının canlı bir panosu.
- bTest sırasında bulunan hataları düzeltmek için otomatik olarak uygulama kodu yazan bir araç.
- cBulut sağlayıcısından hiçbir yanlış yapılandırmanın asla oluşamayacağına dair bir garanti.
- dBelirli bir platform için satıcıdan bağımsız sertleştirme önerileri kümesi.✓
Açıklama:CIS (Center for Internet Security) benchmark'ları, belirli bir platform (örneğin belirli bir bulut sağlayıcısı) için mutabakatla oluşturulmuş yapılandırma kılavuzlarıdır; CSPM araçları bunları kaynakları karşı karşılaştırdığı kural setlerinden biri olarak kullanır.