Biztonsági felülvizsgálat

Platformok Azure · AWS · VMware / VCD · on-prem

Kinek szól

Csapatoknak, akik őszinte képet szeretnének arról, mennyire kitett a környezetük — anélkül, hogy külön biztonsági céget kellene felvenniük vagy egy compliance-ízű auditon kellene átesniük, ami nem a valós kockázatról szól. Különösen hasznos ott, ahol a felhős és on-prem környezetek összefércelődtek, és már senki nem biztos benne, hol húzódnak a valós bizalmi határok.

Mit kap

• Jogosultság ellenőrzés Ki mit tud, hol vannak a hosszú élettartamú hitelesítő adatok, és hol halmozódtak a jogosultságok csendben az évek során. Szolgáltatás-fiókok, break-glass identitások, elavult admin jogok mind beleértve.
• Kitettség elemzés Mi érhető el a publikus internetről és a belső hálózatról — szándékosan vagy véletlenül — beleértve olyan útvonalakat is, amiket senki nem akart kitenni: rosszul irányított VPN, túl széles peering, elfelejtett jump host-ok.
• Konfigurációs gyengeségek Bennfelejtett alapbeállítások, elfeledett debug végpontok, ok nélkül root-ként futó szolgáltatások, és olyan konfigurációk, amiket évek óta senki nem nézett újra — azok, amik csendben a leggyengébb láncszemmé válnak.
• Mentési és helyreállítási rés Tényleg vissza lehet-e állni a meglévő mentésekből — és hogy reálisan mennyi idő alatt. A legtöbbet még soha nem tesztelték végig. Egyesek nem is tesztelhetők, és ez csak az első valós incidenskor derül ki.
• Prioritizált megállapítások Valós hatás szerint rangsorolva, nem generikus CVSS pontokkal, konkrét következő lépésekkel, amikkel a csapat is el tud indulni.
• Írásos megállapítások Rövid jelentés arra fókuszálva, ami számít: mi van kitéve, mi törne el, mit kell először javítani, mi várhat.

Tipikus megállapítások

Minden környezet más, de ezek szinte mindig előkerülnek. Többségük technikailag "ismert" volt — csak senki nem kezelte valós kockázatként.

• Hosszú élettartamú hitelesítő adatok, amiket senki nem rotál Megosztott szolgáltatás-fiókok, hard-kódolt secret-ek, tanúsítványok, amik csendben lejárnak egy outage-be, PAT-ok, amik régebbiek, mint az őket létrehozók.
• Publikus kitettség nem szándékolt útvonalakon át VPN-ek, amik többet irányítanak, mint bárki gondolta, peering-ek, amik olyan hálózatokat kötnek össze, amiket nem kellene, load balancer-ek, amik csendben egy extra porton figyelnek.
• Túl megengedő hozzáférés, ami "csak úgy működött" Szélesre nyitott RBAC vagy hálózati szabályok, amiket valaki egy incidensnél évekkel ezelőtt adott hozzá és soha nem szűkített le. Már senki nem emlékszik, miért.
• Mentések, amiket még sosem teszteltek végig Zölden futnak. Senki nem állított még vissza egy teljes rendszert belőlük, így senki nem tudja, mi hiányzik, amíg szüksége nem lesz rá.
• Belső bizalmi feltételezések, amik kompromittálás alatt összeomlanak "Bárki a vállalati hálón…" — addig rendben, amíg egy gép el nem esik, és a hatókör az egész környezet lesz.

Tipikus eredmények

Amit egy teljes felülvizsgálattól reálisan elvárhat:

• Tiszta kép arról, hol van a valós kockázat Mit kell először javítani, mi várhat biztonsággal, és mit nem éri meg egyáltalán javítani — anélkül, hogy mindent egyszerre próbálnánk javítani.
• Kevés, nagy hatású probléma — nem több száz kis értékű megállapítás Általában 5–15 dolog, ami számít, kontextussal együtt, nem egy 200 oldalas audit, amit senki nem olvas el.
• Ismert hatókör kompromittálás esetén Ha egy fiók vagy gép kompromittálódik, tudni fogja, mit ér el és mit nem — mielőtt nehéz úton kellene kitapasztalnia.
• Mentés és helyreállítás őszinte tesztje Valós válasz arra, hogy egy valódi incidensből tényleg vissza tud-e állni, és mennyi idő alatt.
• Megállapítások, amikre a csapat reagálni tud Minden tétel hatás és ráfordítás szerint rangsorolva, elég kontextussal ahhoz, hogy egy follow-up hívás nélkül is javítható legyen.