Yararlı bir altyapı denetimi dört soruyu yanıtlar: Neleri çalıştırıyoruz, kim erişebilir veya değiştirebilir, kontrollerin çalıştığını hangi kanıtlar gösterir ve önce neyi düzeltmeliyiz? PaaS, IaaS, ağlar, güvenlik duvarları ve işletim sistemlerini bağlantılı tek bir sistem olarak ele alın. Yazılı yetki, üzerinde anlaşılmış kapsam, belirlenmiş sorumlular, zaman aralığı ve acil durum kişisiyle başlayın. Mümkünse salt okunur erişim kullanın; izniniz olmayan sistemleri taramayın veya test etmeyin.
Testten önce ortamın haritasını çıkarın: bulut hesapları ve abonelikleri, bölgeler, projeler, üretim ve test ortamları, herkese açık uç noktalar, iş yükleri, veri depoları, kimlikler ve dış sağlayıcılar. Veri akışlarını ve güven sınırlarını çizin. Her varlık için sahibini, iş amacını, veri hassasiyetini, dışa açıklığını, bağımlılıklarını ve kurtarma önemini kaydedin. Unutulmuş kaynakları ve elle yapılan değişiklikleri bulmak için envanteri faturalandırma, DNS, bulut konsolu dışa aktarımları, uç nokta yönetimi ve Infrastructure as Code ile karşılaştırın.
Önce paylaşılan sorumluluk sınırını belirleyin. IaaS’te sağlayıcı genellikle fiziksel tesisleri ve temel hizmeti işletir; ekibiniz konuk işletim sistemlerinden, iş yükü yapılandırmasından, kimliklerden, ağ kurallarından ve verilerden sorumludur. PaaS’te sağlayıcı çalışma ortamının daha fazlasını yönetir, ancak uygulama kodu, erişim politikaları, veriler, sırlar ve hizmete özel ayarlar yine ekibinizin sorumluluğundadır. Her hizmetin koşullarını doğrulayın: “yönetilen” olması tüm güvenlik kontrollerini sağlayıcının üstlendiği anlamına gelmez.
IaaS için hesap ve proje sınırlarını, yönetici rollerini, MFA’yı, iş yükü kimliklerini, hizmet hesaplarını, anahtar ve sır depolamayı, genel IP’leri, depolama açıklığını, yedekleri, şifrelemeyi, yamaları ve yapılandırma sapmalarını inceleyin. Kısa ömürlü, dar kapsamlı kimlik bilgilerini ve özel yönetim yollarını tercih edin. PaaS için kiracı izolasyonunu, kimlik doğrulama ve yetkilendirmeyi, özel bağlantıyı, izin verilen kaynakları, dağıtım izinlerini, ortam değişkenlerini, sır referanslarını, veri saklamayı ve denetim günlüklerini inceleyin. Tanılama günlüklerinin açık, saklanan, erişim kontrollü ve olaylarda yararlı olduğundan emin olun.
Bilgisayar ağında kullanıcılar, internet girişi, yük dengeleyiciler, uygulama katmanları, veritabanları, yönetim arayüzleri ve dış hedefler arasındaki gerçek yolları doğrulayın. Alt ağları ve rotaları, segmentasyonu, DNS’i, VPN veya özel erişimi, uzaktan yönetimi, çıkış kısıtlarını ve dayanıklılığı değerlendirin. Ağ diyagramını akış günlükleri ve yapılandırma dışa aktarımlarıyla karşılaştırın. Beklenmedik yolları, düz ağları, doğrudan açık veritabanlarını, kullanılmayan arayüzleri ve denetimleri aşan trafiği araştırın. İzinli tarayıcı erişilebilir hizmetleri bulabilir; zaman ve hız konusunda anlaşın, sonuçları doğrulayın: tarama tam bir ağ denetimi değildir.
Bulut güvenlik grupları, ağ ACL’leri, ana makine güvenlik duvarları ve özel cihazlardaki kuralları birlikte inceleyin. Her kural için sahibi, iş amacını, kaynağı, hedefi, protokolü, portu, yönü, ortamı ve sona erme veya gözden geçirme tarihini belirleyin. Kısıtlanmamış internet kaynakları, geniş port aralıkları, herkese izin veren kurallar, tekrarlar, süresi geçmiş geçici erişimler ve internete açık yönetim portları arayın. Varsayılan reddetme ve günlükleme tasarımla uyumlu mu kontrol edin. Değişiklikleri güvenli biçimde deneyin; bağımlılık doğrulanıp geri dönüş planı hazırlanmadan kuralı silmeyin.
Yönettiğiniz her işletim sisteminde desteklenen sürüm ve yamaları, güvenli temel ayarları, yerel ve dizin hesaplarını, ayrıcalıklı grupları, yönetim MFA’sını, SSH veya uzak masaüstü açıklığını, kimlik doğrulamayı, ana makine güvenlik duvarını, uç nokta korumasını, disk şifrelemesini, uygunsa Secure Boot’u, zaman eşitlemesini, hizmetleri ve başlangıç görevlerini kontrol edin. Merkezi günlük aktarımını, uyarıları, yedekleme ve geri yüklemeyi ve yapılandırma yönetimini doğrulayın. Ayarları güncel sağlayıcı rehberi veya ilgili CIS Benchmark ile karşılaştırıp gerekçeli istisnaları belgeleyin. PaaS’te yalnızca sağlayıcının görünür kıldığı ana makine kontrollerini denetleyin; uygulama ve hizmet yapılandırmasına odaklanın.
Yeniden üretilebilir kanıt tutun: varlık ve hesap, zaman, araç veya konsol görünümü, yapılandırma görüntüsü, beklenen ve gözlenen durum, denetçi ve sınırlamalar. Dışa aktarımları ve ekran görüntülerini koruyun; kimlik, topoloji veya sır içerebilirler. Hassas değerleri gizleyin ve erişimi sınırlayın. Bulguları etki, olasılık, etkilenen varlıklar, açıklık, istismar edilebilirlik ve telafi edici kontrollere göre sınıflandırın. Doğrulanmış zayıflıkları ek kanıt gerektiren gözlemlerden ayırın ve hem iş hem teknik sorumlu atayın.
Bulguları öncelik, sorumlu, son tarih, değişiklik kaydı, geri dönüş planı ve doğrulama adımı bulunan takip edilebilir bir düzeltme planına dönüştürün. Önce dışa açık yönetici erişimini ve aşırı yetkileri, ardından segmentasyon açıklarını, savunmasız veya desteği bitmiş sistemleri, günlük kör noktalarını ve zayıf yedekleri düzeltin. Değişiklikten sonra kontrolü yeniden test edip önce ve sonraki kanıtı saklayın. Kalan riski kabul etmeye yetkili kişiye bildirin. Denetim, sorumlular riski anladığında ve doğrulanmış eylemler riski azalttığında tamamlanır.
Yerleşik rehberleri bağlamın yerine değil, başlangıç noktası olarak kullanın: NIST SP 800-115 teknik güvenlik değerlendirmelerini planlama ve yürütmeyi açıklar; CIS Benchmarks bulut platformları, ağ cihazları ve işletim sistemleri için teknolojiye özel güvenli yapılandırma önerileri sunar. Sağlayıcı ve tam ürün sürümüne uygun kıyaslamayı seçin, belgelenmiş risk kararlarıyla uyarlayın ve yalnızca denetim kurallarının izin verdiği test yöntemlerini kullanın. Kaynaklar: https://csrc.nist.gov/pubs/sp/800/115/final ve https://www.cisecurity.org/cis-benchmarks-overview
Bir sonraki ürüne kalacak birini verin.
Başlamaya hazır mısınız? Bana yazın — hemen başlayabilir ve kalabilirim. İki haftalık devir değil, uzun vadeli iş birliği. Projenizi, gereksinimleri ve ilerlemenin en iyi yolunu konuşalım.