Корисний аудит інфраструктури відповідає на чотири запитання: що ми використовуємо, хто може до цього під’єднатися або змінити це, які докази підтверджують роботу контролів і що виправляти насамперед? Розглядайте PaaS, IaaS, мережі, firewall-и й операційні системи як єдину пов’язану систему. Починайте з письмового дозволу, погодженого обсягу, відповідальних осіб, часового вікна та контакту на випадок інциденту. Де можливо, використовуйте доступ лише для читання; не скануйте й не тестуйте системи без права на аудит.
Перед тестуванням складіть карту середовища. Інвентаризуйте хмарні акаунти й підписки, регіони, проєкти, продакшенові та тестові середовища, публічні кінцеві точки, робочі навантаження, сховища даних, ідентичності й зовнішніх постачальників. Позначте важливі потоки даних і межі довіри. Для кожного активу зафіксуйте власника, бізнес-призначення, чутливість даних, доступність ззовні, залежності та важливість відновлення. Зіставте список із білінгом, DNS, експортами хмарної консолі, керуванням кінцевими пристроями та Infrastructure as Code, щоб знайти забуті ресурси й ручні зміни.
Спершу визначте межі спільної відповідальності. В IaaS провайдер зазвичай відповідає за фізичні майданчики й базовий сервіс, а ваша команда — за гостьові ОС, конфігурацію навантажень, ідентичності, мережеві правила та дані. У PaaS провайдер керує більшою частиною середовища виконання, але команда все одно відповідає за код застосунку, політики доступу, дані, секрети й налаштування сервісу. Перевіряйте умови конкретного провайдера для кожного сервісу: позначка «керований» не означає, що всі контролі безпеки забезпечує він.
Для IaaS перевірте межі акаунтів і проєктів, ролі адміністраторів, MFA, ідентичності навантажень, сервісні акаунти, зберігання ключів і секретів, публічні IP, доступність сховищ, резервні копії, шифрування, оновлення та відхилення конфігурацій від затвердженого стану. Віддавайте перевагу короткостроковим обмеженим обліковим даним і приватним каналам адміністрування. Для PaaS перевірте ізоляцію орендарів, автентифікацію й авторизацію, приватне підключення, дозволені джерела запитів, права на розгортання, змінні середовища та посилання на секрети, зберігання даних і журнали аудиту. Переконайтеся, що діагностичні журнали ввімкнені, зберігаються достатньо довго, захищені від несанкціонованого доступу й корисні під час інциденту.
Для комп’ютерної мережі перевірте реальні шляхи між користувачами, входом з інтернету, балансувальниками, рівнями застосунків, базами даних, адміністративними інтерфейсами та зовнішніми адресатами. Оцініть підмережі й маршрути, сегментацію, DNS, VPN або приватний доступ, віддалене адміністрування, обмеження вихідного трафіку та резервування між зонами й каналами. Порівняйте схему мережі з журналами потоків і експортами конфігурації. Розслідуйте неочікувані шляхи, пласкі мережі з надмірним доступом, відкриті назовні бази даних, невикористовувані інтерфейси й трафік в обхід перевірок. Сканер у межах дозволу допоможе знайти доступні сервіси, але погодьте час і швидкість сканування та перевіряйте результати: це не повний аудит мережі.
Перевірте правила firewall разом у хмарних security group, мережевих ACL, локальних брандмауерах і спеціалізованих пристроях. Для кожного правила визначте власника, бізнес-мету, джерело, призначення, протокол, порт, напрямок, середовище та дату перегляду або завершення дії. Шукайте необмежені джерела з інтернету, широкі діапазони портів, правила «дозволити все», дублікати й перекриття, застарілий тимчасовий доступ і відкриті назовні порти адміністрування. Перевірте відповідність режиму заборони за замовчуванням і журналювання задуму, а зміни тестуйте безпечно. Видаляйте правило лише після підтвердження залежностей власником і підготовки відкату.
Для кожної операційної системи під вашим адмініструванням перевірте підтримувану версію й оновлення, безпечний базовий профіль, локальні та доменні облікові записи, привілейовані групи, MFA для адміністрування, доступність SSH чи віддаленого робочого столу, параметри автентифікації, host firewall, захист кінцевих пристроїв, шифрування диска, Secure Boot за наявності, синхронізацію часу, служби й задачі автозапуску. Перевірте централізоване надсилання журналів, сповіщення, резервне копіювання та відновлення, керування конфігурацією. Зіставте налаштування з чинною документацією постачальника або відповідним CIS Benchmark і задокументуйте обґрунтовані винятки. У PaaS перевіряйте лише доступні вам контролі хоста, а власний аудит зосередьте на застосунку та конфігурації сервісу.
Зберігайте відтворювані докази. Для кожної перевірки запишіть актив і акаунт, час, інструмент або сторінку консолі, знімок конфігурації, очікуваний і фактичний стани, виконавця та обмеження перевірки. Захищайте експорти й знімки екрана: вони можуть містити ідентифікатори, топологію чи секрети. Маскуйте чутливі значення й зберігайте докази з обмеженим доступом. Оцінюйте знахідки за впливом і ймовірністю, ураженими активами, зовнішньою доступністю, можливістю експлуатації та компенсувальними контролями. Відокремлюйте підтверджені слабкі місця від спостережень, яким потрібні додаткові докази; призначайте і бізнес-власника, і технічного відповідального.
Перетворіть знахідки на план виправлень із пріоритетом, відповідальним, строком, записом про зміну, планом відкату та кроком перевірки. Спочатку усувайте відкритий адміністративний доступ і надмірні привілеї, потім — проблеми сегментації, вразливі чи непідтримувані системи, прогалини в журналах, слабкі резервні копії та інші недоліки з урахуванням контексту. Після зміни повторно перевірте контроль і збережіть докази до та після. Залишковий ризик і винятки передайте особі, уповноваженій їх прийняти. Аудит завершено, коли власники розуміють ризик, а перевірені дії його зменшили.
Використовуйте усталені рекомендації як основу, а не заміну контексту: NIST SP 800-115 описує планування й проведення технічних оцінювань безпеки; CIS Benchmarks містять конкретні рекомендації з безпечної конфігурації хмарних платформ, мережевих пристроїв і операційних систем. Обирайте профіль для свого провайдера й точної версії продукту, адаптуйте його задокументованими рішеннями щодо ризику та застосовуйте лише методи тестування, дозволені правилами аудиту. Джерела: https://csrc.nist.gov/pubs/sp/800/115/final та https://www.cisecurity.org/cis-benchmarks-overview
Дайте наступному продукту того, хто лишається.
Готовий стартувати зараз і лишитись. Довготермінові ретейнери, не злив за два тижні. Напишіть - обговоримо проєкт, вимоги і як рухатись далі.