Užitečný audit infrastruktury odpovídá na čtyři otázky: co provozujeme, kdo k tomu může přistupovat nebo to měnit, jaké důkazy potvrzují funkčnost kontrol a co máme opravit nejdříve? PaaS, IaaS, sítě, firewally a operační systémy považujte za propojený celek. Začněte písemným oprávněním, dohodnutým rozsahem, určenými vlastníky, časovým oknem a nouzovým kontaktem. Kde je to možné, používejte přístup jen pro čtení a netestujte systémy bez povolení.
Před testováním zmapujte prostředí: cloudové účty a předplatná, regiony, projekty, produkční a testovací prostředí, veřejné koncové body, úlohy, úložiště dat, identity a externí dodavatele. Zachyťte datové toky a hranice důvěry. U každého prostředku evidujte vlastníka, účel, citlivost dat, vystavení, závislosti a důležitost obnovy. Porovnejte inventář s fakturací, DNS, exporty cloudové konzole, správou koncových zařízení a Infrastructure as Code, abyste našli zapomenuté prostředky a ruční změny.
Nejprve vymezte sdílenou odpovědnost. U IaaS poskytovatel obvykle spravuje fyzické prostředí a základní službu, váš tým pak hostované operační systémy, konfiguraci úloh, identity, síťová pravidla a data. U PaaS spravuje poskytovatel větší část běhového prostředí, tým však stále odpovídá za aplikační kód, přístupy, data, tajné údaje a nastavení služby. Ověřte podmínky každé služby: označení „spravovaná“ neznamená, že poskytovatel zajišťuje všechny bezpečnostní kontroly.
U IaaS prověřte hranice účtů a projektů, role správců, MFA, identity úloh, servisní účty, ukládání klíčů a tajných údajů, veřejné IP, vystavení úložiště, zálohy, šifrování, opravy a odchylky konfigurace. Upřednostněte krátkodobá, úzce omezená pověření a privátní cesty správy. U PaaS prověřte izolaci tenantů, autentizaci a autorizaci, privátní konektivitu, povolené původy, oprávnění k nasazení, proměnné prostředí, odkazy na tajné údaje, uchovávání a auditní protokoly. Ověřte, že diagnostické protokoly jsou zapnuté, uchovávané, chráněné a užitečné při incidentu.
V počítačové síti ověřte skutečné cesty mezi uživateli, vstupem z internetu, load balancery, aplikačními vrstvami, databázemi, správními rozhraními a cíli odchozího provozu. Zkontrolujte podsítě a trasy, segmentaci, DNS, VPN nebo privátní přístup, vzdálenou správu, omezení odchozího provozu a odolnost. Porovnejte síťový diagram s flow logy a exporty konfigurace. Prověřte neočekávané cesty, ploché sítě, přímo vystavené databáze, nepoužívaná rozhraní a provoz obcházející kontroly. Schválený skener pomůže zjistit dostupné služby; dohodněte čas a rychlost a výsledky ověřte, protože sken není úplný audit sítě.
Pravidla cloudových security groups, síťových ACL, hostitelských firewallů a dedikovaných zařízení kontrolujte společně. U každého pravidla určete vlastníka, účel, zdroj, cíl, protokol, port, směr, prostředí a datum ukončení nebo revize. Hledejte neomezené internetové zdroje, široké rozsahy portů, pravidla any-to-any, duplicity, zastaralý dočasný přístup a veřejné správní porty. Ověřte výchozí zamítnutí a logování. Změny testujte bezpečně; pravidlo odstraňte až po potvrzení závislostí a přípravě návratu.
U každého spravovaného operačního systému ověřte podporovanou verzi a opravy, bezpečnou základní konfiguraci, místní a adresářové účty, privilegované skupiny, MFA pro správu, vystavení SSH nebo vzdálené plochy, autentizaci, hostitelský firewall, ochranu koncových zařízení, šifrování disku, případný Secure Boot, synchronizaci času, služby a úlohy při spuštění. Prověřte centrální předávání protokolů, upozornění, zálohování a obnovu i správu konfigurace. Nastavení porovnejte s aktuálním návodem dodavatele nebo příslušným CIS Benchmarkem a zdůvodněné výjimky zdokumentujte. U PaaS kontrolujte pouze zpřístupněné hostitelské kontroly a zaměřte se na aplikaci a službu.
Uchovávejte reprodukovatelné důkazy: prostředek a účet, čas, nástroj nebo pohled konzole, snímek konfigurace, očekávaný a zjištěný stav, auditora a omezení. Chraňte exporty a snímky obrazovky, mohou obsahovat identifikátory, topologii nebo tajné údaje; citlivé hodnoty začerněte a omezte přístup. Zjištění klasifikujte podle dopadu, pravděpodobnosti, dotčených prostředků, vystavení, zneužitelnosti a kompenzačních kontrol. Oddělte potvrzené slabiny od pozorování vyžadujících další důkazy a určete technického i obchodního vlastníka.
Převeďte zjištění do sledovaného nápravného plánu s prioritou, vlastníkem, termínem, záznamem změny, návratem a ověřením. Nejprve řešte vystavený administrátorský přístup a nadměrná oprávnění, poté nedostatky segmentace, zranitelné či nepodporované systémy, mezery v protokolech a slabé zálohy. Po změně kontrolu znovu otestujte a uchovejte důkazy před a po. Zbytkové riziko předejte osobě oprávněné je přijmout. Audit končí, když vlastníci riziku rozumějí a ověřená opatření je snížila.
Zavedené metodiky používejte jako základ, nikoli náhradu kontextu: NIST SP 800-115 popisuje plánování a provádění technických bezpečnostních hodnocení; CIS Benchmarks nabízejí doporučení konfigurace pro cloudové platformy, síťová zařízení a operační systémy. Vyberte benchmark pro konkrétního poskytovatele a verzi, přizpůsobte jej zdokumentovanými rozhodnutími o riziku a použijte pouze metody povolené pravidly auditu. Zdroje: https://csrc.nist.gov/pubs/sp/800/115/final a https://www.cisecurity.org/cis-benchmarks-overview
Dejte příštímu produktu někoho, kdo zůstane.
Chcete začít? Napište mi – mohu začít hned a zůstat. Dlouhodobé retainery, ne dvoutýdenní předání. Proberme váš projekt, požadavky a nejlepší cestu vpřed.