Пайдалы инфрақұрылым аудиті төрт сұраққа жауап береді: біз нені іске қосамыз, оған кім кіре немесе өзгерте алады, бақылаулардың жұмыс істейтінін қандай дәлел көрсетеді және алдымен нені түзету керек? PaaS, IaaS, желілерді, брандмауэрлерді және операциялық жүйелерді бір-бірімен байланысқан жүйе ретінде қарастырыңыз. Жазбаша рұқсаттан, келісілген ауқымнан, жауапты адамдардан, уақыт аралығынан және төтенше байланыс тұлғасынан бастаңыз. Мүмкін болса, тек оқу рұқсатын пайдаланыңыз; рұқсатсыз жүйелерді сканерлемеңіз және сынамаңыз.
Тексеруден бұрын ортаның картасын жасаңыз: бұлт аккаунттары мен жазылымдары, аймақтар, жобалар, өндірістік және сынақ орталары, ашық соңғы нүктелер, жұмыс жүктемелері, дерек қоймалары, сәйкестіктер және сыртқы провайдерлер. Дерек ағындары мен сенім шекараларын белгілеңіз. Әр актив үшін иесін, бизнес мақсатын, дерек сезімталдығын, сыртқа ашықтығын, тәуелділіктерін және қалпына келтіру маңызын жазыңыз. Ұмыт қалған ресурстар мен қолмен енгізілген өзгерістерді табу үшін тізімді төлем деректерімен, DNS-пен, бұлт консолі экспорттарымен, соңғы нүктелерді басқарумен және Infrastructure as Code-пен салыстырыңыз.
Алдымен ортақ жауапкершілік шекарасын анықтаңыз. IaaS-та провайдер әдетте физикалық нысандар мен негізгі қызметті басқарады; командаңыз қонақ операциялық жүйелеріне, жұмыс жүктемесі баптауларына, сәйкестіктерге, желі ережелеріне және деректерге жауап береді. PaaS-та провайдер орындау ортасының көбірек бөлігін басқарады, бірақ қолданба коды, қолжетімділік саясаты, деректер, құпиялар мен қызмет баптаулары командаңыздың жауапкершілігінде қалады. Әр қызметтің шарттарын тексеріңіз: «басқарылатын» деген белгі барлық қауіпсіздік бақылауларын провайдер атқарады деген сөз емес.
IaaS-та аккаунт пен жоба шекараларын, әкімші рөлдерін, MFA-ны, жұмыс жүктемесі сәйкестіктерін, қызмет аккаунттарын, кілт пен құпия сақтау орындарын, ашық IP-лерді, сақтау орнын жариялауын, резервтік көшірмелерді, шифрлауды, жаңартуларды және конфигурация ауытқуын тексеріңіз. Қысқа мерзімді әрі шектеулі тіркелгі деректерін және жеке басқару арналарын таңдаңыз. PaaS-та жалға алушылар оқшаулауын, аутентификация мен авторизацияны, жеке қосылымды, рұқсат етілген көздерді, орналастыру рұқсаттарын, орта айнымалыларын, құпия сілтемелерін, дерек сақтау мерзімін және аудит журналдарын тексеріңіз. Диагностика журналдарының қосулы, сақталатын, қорғалған және оқиға кезінде пайдалы екеніне көз жеткізіңіз.
Компьютер желісінде пайдаланушылар, интернет кірісі, жүктеме теңгергіштері, қолданба деңгейлері, дерекқорлар, әкімшілік интерфейстер және сыртқы мақсаттар арасындағы нақты жолдарды тексеріңіз. Ішкі желілер мен маршруттарды, сегментацияны, DNS-ті, VPN немесе жеке қолжетімділікті, қашықтан басқаруды, шығыс шектеулерін және тұрақтылықты қараңыз. Желілік диаграмманы ағын журналдары және конфигурация экспорттарымен салыстырыңыз. Күтпеген жолдарды, тегіс желілерді, тікелей ашылған дерекқорларды, пайдаланылмайтын интерфейстерді және тексеруді айналып өтетін трафикті зерттеңіз. Рұқсат етілген сканер қолжетімді қызметтерді табуы мүмкін; уақыт пен жылдамдықты келісіп, нәтижелерді растаңыз — сканерлеу толық аудит емес.
Бұлттық қауіпсіздік топтары, желілік ACL, хост брандмауэрлері және арнайы құрылғылар ережелерін бірге қараңыз. Әр ереже бойынша иесін, мақсатын, көзін, нысанасын, протоколын, портын, бағытын, ортасын және аяқталу не қарау күнін анықтаңыз. Интернетке шектеусіз көздерді, кең порт ауқымдарын, барлығына рұқсат ережелерін, көшірмелерді, ескірген уақытша қолжетімділікті және жария әкімшілік порттарды іздеңіз. Әдепкі тыйым мен журнал жүргізудің жобамен сәйкес екенін тексеріңіз. Өзгерістерді қауіпсіз сынаңыз; тәуелділік расталып, кері қайтару жоспары дайын болмайынша ережені жоймаңыз.
Өзіңіз басқаратын әр операциялық жүйеде қолдаулы нұсқа мен жаңартуларды, қауіпсіз бастапқы баптауды, жергілікті және каталог аккаунттарын, артықшылықты топтарды, әкімшіге арналған MFA-ны, SSH не қашықтағы жұмыс үстелінің ашықтығын, аутентификацияны, хост брандмауэрін, соңғы нүкте қорғанысын, диск шифрлауын, қолжетімді болса Secure Boot-ты, уақыт синхрондауын, қызметтер мен іске қосу тапсырмаларын тексеріңіз. Орталық журнал жіберуді, ескертулерді, резервтеу мен қалпына келтіруді және конфигурация басқаруын қараңыз. Баптауларды провайдердің өзекті нұсқаулығымен немесе сәйкес CIS Benchmark-пен салыстырып, негізделген ерекшеліктерді құжаттаңыз. PaaS-та провайдер ашқан хост бақылауларын ғана тексеріп, қолданба мен қызмет конфигурациясына назар аударыңыз.
Қайта өндіруге болатын дәлелдерді сақтаңыз: актив пен аккаунт, уақыт, құрал не консоль көрінісі, конфигурация суреті, күтілген және байқалған күй, тексеруші және шектеулер. Экспорттар мен экран суреттерін қорғаңыз: оларда идентификаторлар, топология немесе құпиялар болуы мүмкін; сезімтал мәндерді бүркемелеп, қолжетімділікті шектеңіз. Нәтижелерді әсері, ықтималдығы, зақымданған активтері, сыртқа ашықтығы, пайдаланылу мүмкіндігі және өтемдік бақылаулар бойынша жіктеңіз. Расталған әлсіздіктерді қосымша дәлел қажет бақылаулардан бөліп, бизнес және техникалық жауаптыларды белгілеңіз.
Нәтижелерді басымдығы, жауаптысы, мерзімі, өзгеріс жазбасы, кері қайтаруы және тексеруі бар қадағаланатын түзету жоспарына айналдырыңыз. Алдымен сыртқа ашық әкімшілік қолжетімділік пен артық құқықтарды, кейін сегментация кемшіліктерін, осал не қолдаусыз жүйелерді, журнал олқылықтарын және әлсіз резервтерді түзетіңіз. Өзгерістен кейін бақылауды қайта сынап, өзгеріске дейінгі және кейінгі дәлелдерді сақтаңыз. Қалған тәуекелді қабылдауға құқылы адамға жеткізіңіз. Иелері тәуекелді түсініп, тексерілген әрекеттер оны азайтқанда аудит аяқталады.
Қалыптасқан нұсқаулықтарды контекстің орнына емес, негіз ретінде пайдаланыңыз: NIST SP 800-115 техникалық қауіпсіздік бағалауын жоспарлау мен жүргізуді сипаттайды; CIS Benchmarks бұлт платформалары, желі құрылғылары және операциялық жүйелер үшін нақты қауіпсіз конфигурация ұсынымдарын береді. Провайдер мен өнімнің дәл нұсқасына сәйкес benchmark таңдап, тәуекел туралы құжатталған шешімдермен бейімдеңіз және тек аудит ережелері рұқсат еткен сынақ әдістерін қолданыңыз. Дереккөздер: https://csrc.nist.gov/pubs/sp/800/115/final және https://www.cisecurity.org/cis-benchmarks-overview
Келесі өнімге онымен бірге қалатын адамды беріңіз.
Бастауға дайынсыз ба? Маған жазыңыз — қазір бастап, әрі қарай қалуға дайынмын. Екі апталық тапсыру емес, ұзақ мерзімді келісімдер. Жобаңызды, талаптарды және алға жылжудың ең тиімді жолын талқылайық.