Un audit util al infrastructurii răspunde la patru întrebări: ce rulăm, cine poate accesa sau modifica, ce dovezi arată că funcționează controalele și ce trebuie reparat mai întâi? Tratează PaaS, IaaS, rețelele, firewall-urile și sistemele de operare ca pe un singur sistem conectat. Începe cu autorizare scrisă, domeniu convenit, responsabili desemnați, interval și contact de urgență. Folosește acces doar pentru citire când este posibil și nu testa sisteme fără permisiune.
Cartografiază mediul înainte de testare: conturi și abonamente cloud, regiuni, proiecte, medii de producție și test, puncte publice, sarcini de lucru, stocări de date, identități și furnizori externi. Notează fluxurile de date și limitele de încredere. Pentru fiecare activ consemnează proprietarul, scopul, sensibilitatea datelor, expunerea, dependențele și importanța pentru recuperare. Compară inventarul cu facturarea, DNS, exporturile consolei cloud, gestionarea endpointurilor și Infrastructure as Code pentru a descoperi resurse uitate și modificări manuale.
Stabilește mai întâi limita responsabilității partajate. În IaaS, furnizorul gestionează de obicei facilitățile fizice și serviciul de bază, iar echipa ta gestionează sistemele de operare invitate, configurarea sarcinilor, identitățile, regulile de rețea și datele. În PaaS, furnizorul gestionează mai mult din mediul de execuție, dar echipa rămâne responsabilă de cod, acces, date, secrete și setările serviciului. Verifică termenii fiecărui serviciu: „administrat” nu înseamnă că furnizorul preia toate controalele de securitate.
Pentru IaaS verifică limitele conturilor și proiectelor, rolurile de administrator, MFA, identitățile sarcinilor, conturile de serviciu, stocarea cheilor și secretelor, IP-urile publice, expunerea stocării, copiile de siguranță, criptarea, patch-urile și deriva configurației. Preferă acreditări limitate și cu durată scurtă și căi private de administrare. Pentru PaaS verifică izolarea tenantului, autentificarea și autorizarea, conectivitatea privată, originile permise, permisiunile de implementare, variabilele de mediu, referințele la secrete, păstrarea datelor și jurnalele de audit. Confirmă că jurnalele de diagnosticare sunt active, păstrate, protejate și utile în incidente.
În rețeaua de calculatoare verifică traseele reale dintre utilizatori, intrarea din internet, echilibrarea sarcinii, nivelurile aplicației, bazele de date, interfețele de administrare și destinațiile de ieșire. Examinează subrețelele și rutele, segmentarea, DNS, VPN sau accesul privat, administrarea la distanță, restricțiile de ieșire și reziliența. Compară diagrama cu jurnalele de flux și exporturile de configurare. Investighează trasee neașteptate, rețele plate, baze de date expuse direct, interfețe nefolosite și trafic care ocolește controalele. Un scaner autorizat poate identifica servicii accesibile; stabilește timpul și rata și validează rezultatele, deoarece scanarea nu este un audit complet.
Examinează împreună regulile grupurilor de securitate cloud, ACL-urilor de rețea, firewall-urilor gazdă și dispozitivelor dedicate. Pentru fiecare regulă identifică proprietarul, scopul, sursa, destinația, protocolul, portul, direcția, mediul și data revizuirii sau expirării. Caută surse de internet nerestricționate, intervale largi de porturi, reguli any-to-any, duplicate, acces temporar vechi și porturi administrative publice. Verifică refuzul implicit și jurnalizarea. Testează schimbările în siguranță și șterge o regulă doar după confirmarea dependențelor și pregătirea revenirii.
Pentru fiecare sistem de operare administrat verifică versiunea și patch-urile acceptate, configurația de bază sigură, conturile locale și de director, grupurile privilegiate, MFA pentru administrare, expunerea SSH sau a desktopului la distanță, autentificarea, firewall-ul gazdei, protecția endpointurilor, criptarea discului, Secure Boot când este disponibil, sincronizarea timpului, serviciile și sarcinile de pornire. Verifică transmiterea centrală a jurnalelor, alertele, copiile și restaurarea și gestionarea configurației. Compară setările cu ghidul curent al furnizorului sau cu CIS Benchmark relevant și documentează excepțiile justificate. În PaaS verifică doar controalele gazdă disponibile și concentrează revizuirea pe aplicație și serviciu.
Păstrează dovezi reproductibile: activ și cont, oră, instrument sau ecran de consolă, instantaneu de configurare, stare așteptată și observată, auditor și limitări. Protejează exporturile și capturile, care pot conține identificatori, topologie sau secrete; maschează valorile sensibile și limitează accesul. Clasifică constatările după impact, probabilitate, active afectate, expunere, posibilitatea exploatării și controale compensatorii. Separă slăbiciunile confirmate de observațiile care necesită dovezi suplimentare și desemnează responsabili tehnici și de business.
Transformă constatările într-un plan urmărit cu prioritate, responsabil, termen, înregistrarea schimbării, revenire și validare. Remediază întâi accesul administrativ expus și privilegiile excesive, apoi lacunele de segmentare, sistemele vulnerabile sau fără suport, punctele oarbe ale jurnalelor și copiile slabe. Retestează controlul după schimbare și păstrează dovezi înainte și după. Raportează riscul rezidual persoanei autorizate să îl accepte. Auditul se încheie când responsabilii înțeleg riscul și acțiunile verificate l-au redus.
Folosește ghidurile consacrate ca bază, nu ca înlocuitor al contextului: NIST SP 800-115 descrie planificarea și efectuarea evaluărilor tehnice de securitate; CIS Benchmarks oferă recomandări de configurare specifice pentru cloud, dispozitive de rețea și sisteme de operare. Alege benchmarkul pentru furnizorul și versiunea exacte, adaptează-l prin decizii documentate de risc și folosește numai metodele permise de regulile auditului. Surse: https://csrc.nist.gov/pubs/sp/800/115/final și https://www.cisecurity.org/cis-benchmarks-overview
Oferă-i următorului produs cuiva care rămâne.
Ești gata să începem? Trimite-mi un mesaj - pot începe acum și pot rămâne alături de produs. Colaborări pe termen lung, nu o predare în două săptămâni. Să discutăm proiectul, cerințele și cea mai bună cale de urmat.