Foydali infratuzilma auditi to‘rt savolga javob beradi: nimalarni ishga tushiramiz, kim ularga kira oladi yoki o‘zgartiradi, nazoratlar ishlashini qaysi dalillar ko‘rsatadi va avval nimani tuzatish kerak? PaaS, IaaS, tarmoqlar, firewall’lar va operatsion tizimlarni o‘zaro bog‘langan yagona tizim sifatida ko‘ring. Yozma ruxsat, kelishilgan doira, mas’ullar, vaqt oralig‘i va favqulodda aloqa shaxsidan boshlang. Imkon bo‘lsa, faqat o‘qish huquqidan foydalaning; ruxsatsiz tizimlarni skanerlamang yoki sinamang.
Sinovdan oldin muhit xaritasini tuzing: bulut hisoblari va obunalari, hududlar, loyihalar, ishlab chiqarish va sinov muhitlari, ommaviy endpointlar, ish yuklamalari, ma’lumot omborlari, identifikatsiyalar va tashqi provayderlar. Ma’lumot oqimlari hamda ishonch chegaralarini belgilang. Har bir aktiv uchun egasi, biznes maqsadi, ma’lumot sezgirligi, tashqi ochiqligi, bog‘liqliklari va tiklashdagi ahamiyatini qayd eting. Unutilgan resurslar va qo‘lda qilingan o‘zgarishlarni topish uchun ro‘yxatni billing, DNS, bulut konsoli eksportlari, endpoint boshqaruvi va Infrastructure as Code bilan solishtiring.
Avval umumiy mas’uliyat chegarasini belgilang. IaaS’da provayder odatda jismoniy infratuzilma va asosiy xizmatni boshqaradi; jamoangiz mehmon operatsion tizimlari, ish yuklamasi sozlamalari, identifikatsiyalar, tarmoq qoidalari va ma’lumotlar uchun javob beradi. PaaS’da provayder bajarilish muhitining ko‘proq qismini boshqaradi, ammo ilova kodi, kirish siyosati, ma’lumotlar, maxfiy kalitlar va xizmat sozlamalari jamoangiz zimmasida qoladi. Har bir xizmat shartlarini tekshiring: “boshqariladigan” xizmat barcha xavfsizlik nazoratlarini provayder bajaradi degani emas.
IaaS’da hisob va loyiha chegaralari, administrator rollari, MFA, ish yuklamasi identifikatsiyalari, xizmat hisoblari, kalit va maxfiy ma’lumot saqlash joylari, ommaviy IP’lar, saqlash ochiqligi, zaxira nusxalar, shifrlash, yangilanishlar va konfiguratsiya og‘ishini tekshiring. Qisqa muddatli, cheklangan hisob ma’lumotlari va xususiy boshqaruv yo‘llarini tanlang. PaaS’da tenant izolyatsiyasi, autentifikatsiya va avtorizatsiya, xususiy ulanish, ruxsat etilgan manbalar, joylashtirish huquqlari, muhit o‘zgaruvchilari, maxfiy kalit havolalari, ma’lumot saqlash muddati va audit jurnallarini ko‘ring. Diagnostika jurnallari yoqilgan, saqlanadigan, himoyalangan va hodisada foydali bo‘lishini tasdiqlang.
Kompyuter tarmog‘ida foydalanuvchilar, internet kirish nuqtasi, yuk taqsimlagichlar, ilova qatlamlari, ma’lumotlar bazalari, administrator interfeyslari va tashqi manzillar orasidagi haqiqiy yo‘llarni tekshiring. Ichki tarmoqlar va marshrutlar, segmentatsiya, DNS, VPN yoki xususiy kirish, masofaviy boshqaruv, chiqish cheklovlari va barqarorlikni ko‘ring. Tarmoq sxemasini oqim jurnallari va konfiguratsiya eksportlari bilan solishtiring. Kutilmagan yo‘llar, tekis tarmoqlar, bevosita ochiq ma’lumotlar bazalari, ishlatilmaydigan interfeyslar va nazoratni chetlab o‘tuvchi trafikni tekshiring. Ruxsatli skaner ochiq xizmatlarni topishi mumkin; vaqt va tezlikni kelishib, natijalarni tasdiqlang — skanerlash to‘liq audit emas.
Bulut security group’lari, tarmoq ACL’lari, host firewall’lari va maxsus qurilmalardagi qoidalarni birgalikda ko‘rib chiqing. Har bir qoida uchun egasi, maqsadi, manbasi, nishoni, protokoli, porti, yo‘nalishi, muhiti va tugash yoki ko‘rib chiqish sanasini aniqlang. Cheklanmagan internet manbalari, keng port oraliqlari, any-to-any qoidalar, takrorlar, eskirgan vaqtinchalik kirish va ommaga ochiq boshqaruv portlarini izlang. Standart rad etish va jurnal yuritish talabga mosligini tekshiring. O‘zgarishlarni xavfsiz sinang; bog‘liqlik tasdiqlanib, qaytarish rejasi tayyor bo‘lmaguncha qoidani o‘chirmang.
Siz boshqaradigan har bir operatsion tizimda qo‘llab-quvvatlanadigan versiya va yangilanishlar, xavfsiz asosiy sozlamalar, mahalliy va katalog hisoblari, imtiyozli guruhlar, administrator uchun MFA, SSH yoki masofaviy ish stoli ochiqligi, autentifikatsiya, host firewall’i, endpoint himoyasi, disk shifrlashi, mavjud bo‘lsa Secure Boot, vaqt sinxronlash, xizmatlar va ishga tushirish vazifalarini tekshiring. Markaziy jurnal uzatish, ogohlantirishlar, zaxiralash va tiklash hamda konfiguratsiya boshqaruvini tasdiqlang. Sozlamalarni provayderning amaldagi qo‘llanmasi yoki tegishli CIS Benchmark bilan solishtirib, asosli istisnolarni hujjatlashtiring. PaaS’da faqat provayder ko‘rsatgan host nazoratlarini tekshirib, ilova va xizmat sozlamalariga e’tibor qarating.
Qayta tekshirish mumkin bo‘lgan dalillarni saqlang: aktiv va hisob, vaqt, vosita yoki konsol oynasi, konfiguratsiya nusxasi, kutilgan va kuzatilgan holat, auditor va cheklovlar. Eksport va ekran tasvirlarini himoya qiling; ularda identifikatorlar, topologiya yoki maxfiy ma’lumotlar bo‘lishi mumkin. Sezgir qiymatlarni yashiring va kirishni cheklang. Topilmalarni ta’sir, ehtimollik, zararlangan aktivlar, tashqi ochiqlik, ekspluatatsiya imkoniyati va kompensatsion nazoratlar bo‘yicha baholang. Tasdiqlangan zaifliklarni qo‘shimcha dalil talab qiladigan kuzatuvlardan ajrating va biznes hamda texnik mas’ul tayinlang.
Topilmalarni ustuvorlik, mas’ul, muddat, o‘zgarish yozuvi, qaytarish rejasi va tekshirish qadami bor kuzatiladigan tuzatish rejasiga aylantiring. Avval ochiq administrator kirishi va ortiqcha huquqlarni, keyin segmentatsiya bo‘shliqlari, zaif yoki qo‘llab-quvvatlanmaydigan tizimlar, jurnal bo‘shliqlari va kuchsiz zaxiralarni tuzating. O‘zgarishdan keyin nazoratni qayta sinang va oldingi-keyingi dalillarni saqlang. Qolgan xavfni qabul qilish vakolati bor shaxsga bildiring. Mas’ullar xavfni tushunib, tekshirilgan choralar uni kamaytirganda audit tugaydi.
Tanish qo‘llanmalarni kontekst o‘rniga emas, boshlang‘ich asos sifatida ishlating: NIST SP 800-115 texnik xavfsizlik baholashlarini rejalash va o‘tkazishni tushuntiradi; CIS Benchmarks bulut platformalari, tarmoq qurilmalari va operatsion tizimlar uchun texnologiyaga xos xavfsiz sozlama tavsiyalarini beradi. Provayder va mahsulotning aniq versiyasiga mos benchmarkni tanlang, hujjatlashtirilgan xavf qarorlari bilan moslang va faqat audit qoidalari ruxsat bergan sinov usullaridan foydalaning. Manbalar: https://csrc.nist.gov/pubs/sp/800/115/final va https://www.cisecurity.org/cis-benchmarks-overview
Keyingi mahsulotingizga qoladigan insonni bering.
Boshlashga tayyormisiz? Yozing — hozir boshlayman va qolaman. Ikki haftalik topshirish emas, uzoq hamkorlik. Loyiha, talab va eng yaxshi yo‘lni muhokama qilaylik.