Un audit infrastrutturale utile risponde a quattro domande: cosa eseguiamo, chi può raggiungerlo o modificarlo, quali prove dimostrano l’efficacia dei controlli e cosa correggere prima? Considera PaaS, IaaS, reti, firewall e sistemi operativi come un unico sistema connesso. Inizia con autorizzazione scritta, ambito concordato, responsabili, finestra temporale e contatto di emergenza. Usa accessi in sola lettura quando possibile e non testare sistemi senza permesso.
Mappa l’ambiente prima dei test: account e sottoscrizioni cloud, regioni, progetti, ambienti di produzione e test, endpoint pubblici, workload, archivi dati, identità e fornitori esterni. Rappresenta flussi di dati e confini di fiducia. Per ogni asset registra proprietario, finalità, sensibilità dei dati, esposizione, dipendenze e importanza per il ripristino. Confronta l’inventario con fatturazione, DNS, esportazioni della console cloud, gestione degli endpoint e Infrastructure as Code per trovare risorse dimenticate e modifiche manuali.
Definisci innanzitutto il confine della responsabilità condivisa. In IaaS il provider gestisce in genere strutture fisiche e servizio sottostante, mentre il tuo team gestisce sistemi operativi guest, configurazione dei workload, identità, regole di rete e dati. In PaaS il provider gestisce più componenti dell’ambiente di esecuzione, ma il team resta responsabile di codice, accessi, dati, segreti e impostazioni specifiche del servizio. Verifica i termini di ogni servizio: «gestito» non significa che ogni controllo di sicurezza sia a carico del provider.
Per IaaS controlla confini di account e progetto, ruoli amministrativi, MFA, identità dei workload, account di servizio, archiviazione di chiavi e segreti, IP pubblici, esposizione dello storage, backup, cifratura, patch e deviazioni di configurazione. Preferisci credenziali temporanee e limitate e percorsi amministrativi privati. Per PaaS verifica isolamento dei tenant, autenticazione e autorizzazione, connettività privata, origini consentite, permessi di deployment, variabili d’ambiente, riferimenti ai segreti, conservazione e audit log. Assicurati che i log diagnostici siano attivi, conservati, protetti e utili durante un incidente.
Per la rete informatica verifica i percorsi reali tra utenti, ingresso Internet, bilanciatori, livelli applicativi, database, interfacce amministrative e destinazioni in uscita. Esamina subnet e route, segmentazione, DNS, VPN o accesso privato, amministrazione remota, restrizioni in uscita e resilienza. Confronta il diagramma con log di flusso ed esportazioni di configurazione. Indaga percorsi inattesi, reti piatte, database esposti direttamente, interfacce inutilizzate e traffico che aggira i controlli. Uno scanner autorizzato può trovare servizi raggiungibili: concorda tempi e velocità e convalida i risultati, poiché una scansione non è un audit completo.
Esamina insieme le regole di security group cloud, ACL di rete, firewall host e appliance dedicate. Per ogni regola identifica proprietario, scopo, origine, destinazione, protocollo, porta, direzione, ambiente e data di scadenza o revisione. Cerca origini Internet senza restrizioni, intervalli di porte ampi, regole any-to-any, duplicati, accessi temporanei obsoleti e porte amministrative esposte. Verifica deny predefinito e logging. Prova le modifiche in sicurezza; rimuovi una regola solo dopo averne confermato le dipendenze e preparato il rollback.
Per ogni sistema operativo amministrato controlla versione supportata e patch, baseline sicura, account locali e di directory, gruppi privilegiati, MFA per l’amministrazione, esposizione di SSH o desktop remoto, autenticazione, firewall host, protezione endpoint, cifratura disco, Secure Boot se applicabile, sincronizzazione oraria, servizi e attività di avvio. Verifica inoltro centralizzato dei log, avvisi, backup e ripristino e gestione della configurazione. Confronta le impostazioni con la guida aggiornata del fornitore o il CIS Benchmark pertinente e documenta le eccezioni motivate. In PaaS verifica solo i controlli host disponibili e concentrati su applicazione e servizio.
Conserva prove riproducibili: asset e account, orario, strumento o schermata della console, snapshot di configurazione, stato atteso e osservato, auditor e limiti. Proteggi esportazioni e schermate che possono contenere identificativi, topologia o segreti; oscura i valori sensibili e limita l’accesso. Classifica i rilievi per impatto, probabilità, asset coinvolti, esposizione, sfruttabilità e controlli compensativi. Distingui debolezze confermate da osservazioni da approfondire e assegna responsabili tecnici e di business.
Trasforma i rilievi in un piano tracciato con priorità, responsabile, scadenza, registrazione della modifica, rollback e convalida. Correggi prima accesso amministrativo esposto e privilegi eccessivi, poi lacune di segmentazione, sistemi vulnerabili o non supportati, punti ciechi nei log e backup deboli. Ripeti la verifica dopo la modifica e conserva evidenze prima e dopo. Segnala il rischio residuo a chi è autorizzato ad accettarlo. L’audit termina quando i responsabili comprendono il rischio e azioni verificate lo hanno ridotto.
Usa le guide consolidate come base, non come sostituto del contesto: NIST SP 800-115 descrive pianificazione e conduzione delle valutazioni tecniche; i CIS Benchmarks offrono indicazioni di configurazione specifiche per cloud, dispositivi di rete e sistemi operativi. Scegli il benchmark del provider e della versione esatti, adattalo con decisioni di rischio documentate e usa solo tecniche consentite dalle regole d’ingaggio. Fonti: https://csrc.nist.gov/pubs/sp/800/115/final e https://www.cisecurity.org/cis-benchmarks-overview
Dai al prossimo prodotto qualcuno che resti.
Pronto a iniziare? Scrivimi: posso cominciare subito e restare. Collaborazioni a lungo termine, non passaggi di consegne dopo due settimane. Parliamo del progetto, dei requisiti e del modo migliore per procedere.