מה כוללת סקירת מצב אבטחת הענן
עבודת מצב אבטחת הענן של SEYA Group מאתרת הגדרות שגויות בחשבונות AWS, Microsoft Azure ו-Google Cloud שבתחום הסקירה, מדרגת אותן ומסייעת לצוות לתקן את מה שחשוב. הסקירה כוללת זהות, נתיבי רשת, חשיפת נתונים ורישום. היא יכולה להיות הערכה חד-פעמית או בדיקה חוזרת. אין מדובר בהסמכה, ואין מדובר גם בשירות ניטור של 24 שעות.
למי זה מיועד
מובילי תשתית וארכיטקטי אבטחה שיש להם יותר מחשבון או מנוי אחד ואין להם רשימה אחת של מה שחשוף. צוותים שמתכוננים לסקירת אבטחה של לקוח או לביקורת וצריכים שהפערים יירשמו לפני בוא הבודקים. צוותי פלטפורמה שכבר משתמשים ב-Terraform ורוצים את אותה סקירה כפוליסי שאפשר להריץ בכל שינוי.
מה מתקבל
- סקירה מול בסיס ייחוס. ממצאים ממופים ל- CIS Benchmarks הרלוונטיים לענן בתחום, בתוספת הבדיקות שהתקן שלכם כבר דורש. CIS הוא בסיס ייחוס שפורסם שמולו אנחנו מודדים. SEYA אינה מנפיקה הסמכת CIS.
- זהות. מי יכול ליטול תפקידים עם הרשאות גבוהות, אילו מפתחות ו-Service principals עדיין פעילים, ואיפה לאדם או ל-Pipeline יש יותר גישה ממה שנדרש לתפקיד.
- רשת ונתונים. נקודות קצה ציבוריות, Security Groups או כללי Firewall פתוחים, אחסון בנגישות רחבה יותר ממה שמוגדר בתכנון, והגדרות הצפנה שאינן תואמות את התקן בחשבון.
- רישום. האם יומני הביקורת קיימים, לאן הם נשלחים ומי יכול למחוק אותם. בקרה שאינה נרשמת אינה ניתנת להצגה מאוחר יותר.
- רשימת תיקונים. מסודרת לפי חשיפה, עם בעלים מצדכם. כשמעדיפים לקודד את התיקונים, כותבים אותם כ-Terraform או כבדיקות פוליסי שה-Pipeline יכול להריץ. הבנייה הזו נשארת אצל DevSecOps.
איך מתנהל הפרויקט
- נקודה בזמן. גישת קריאה בלבד לחשבונות בתחום, רשימת ממצאים בכתב ומצגת ממצאים. זו נקודת התחלה נכונה כשעדיין אין אמון בתמונה.
- רציף. אותן בדיקות כפוליסי שרצות כשקוד התשתית משתנה, בתוספת קצב לסקירת חריגים. רציף אינו אומר ש-SEYA מנטרת את הקונסולה בלילה. ה-Pipeline והצוות שלכם מריצים את הבדיקות.
- כלים. משתמשים בשירותי האבטחה של ספק הענן ואם כבר יש לכם, במוצר CSPM. SEYA אינה מחייבת לרכוש כלי דרכנו. התוצר הוא הממצאים והתיקונים, לא רישיון.
מה צריך להיות מוכן
גישה לחשבון שמאפשרת לקרוא הגדרות, בעלים בשם לחריגים, והסכמה על החשבונות שבתחום. ממצאים עם דגש על זהות לעיתים ממשיכים כמפת דרכים של zero trust. ראיות שיעברו לביקורת לעיתים ממשיכות ל- מוכנות ל-SOC 2. סקירת מצב האבטחה עצמה נעצרת בממצאים ובתיקונים שסוכמו.
דוגמה שפורסמה לעבודת יסוד כזו היא סביבת Google Cloud הראשונה של LiveRamp: רשת VPC משותפת, GKE control planes מופרדים, סביבות מפוצלות ו-IAM מפורט. הפרויקט הזה תכנן את היסודות. זו לא הייתה הצהרת התאמה ל-CIS.
שאלות נפוצות
האם סקירת מצב אבטחה זהה לבדיקת חדירות?
לא. סקירת מצב קוראת הגדרות: זהות, רשת, נתונים ורישום. בדיקת חדירות מנסה לנצל מערכת פועלת. נפרט במסמך התחום איזה מהשניים נרכש. עמוד זה הוא סקירת ההגדרות.
האם סוקרים את AWS, Azure ו-Google Cloud בסקירה אחת?
כן, כאשר החשבונות האלה בתחום. כל ענן נבדק מול CIS Benchmark שלו ומול התקן שלכם. הממצאים לא ממוצעים לציון אחד שמסתיר חשבון בעייתי.
האם תגידו שעמדנו בדרישות?
נפרט אילו בדיקות תאמו את בסיס הייחוס ואילו לא, בתאריך הסקירה. לא נאמר שהסביבה מוסמכת, ושינוי מאוחר יותר יכול לפתוח מחדש ממצא. בדיקות רציפות קיימות כדי שהשינוי הבא לא יחכה לסקירה השנתית הבאה.
לתיאום הערכת אבטחת ענן ומוסיפים את רשימת החשבונות. השיחה הראשונה קובעת את התחום ואם נדרשת סקירה חד-פעמית או בדיקות ב-Pipeline.
צור קשר
שלחו פנייה בנוגע להתקשרות בענן, בפלטפורמה, בנתונים או באמינות. דוא"ל שיווקי הוא בחירה נפרדת בטופס.