态势评审涵盖哪些内容
SEYA Group 的云安全态势工作，在您指定的 AWS、Microsoft Azure 和 Google Cloud 账户中找出错误配置，排出优先级，并帮助您的团队修复真正重要的那些。评审覆盖身份、网络路径、数据暴露和日志。它可以是一次性的时点评估，也可以是重复执行的检查。它不是认证，也不是 24 小时监控服务。
适用对象
拥有多个账户或订阅、却没有一份统一的暴露面清单的基础设施负责人和安全架构师。正在准备客户安全审查或审计、需要在评估人员到来之前把缺口写下来的团队。已经在使用 Terraform、希望把同样的评审表达为可在每次变更时运行的策略的平台团队。
您将获得
- 对标基准的评审。发现项映射到范围内云平台对应的 CIS Benchmarks， 再加上您自己的标准已经要求的检查。CIS 是我们用来衡量的公开基线。SEYA 不颁发 CIS 认证。
- 身份。谁可以切换到特权角色、哪些密钥和服务主体仍然有效，以及哪些人或流水线的访问权限超出了工作所需。
- 网络与数据。公网端点、开放的安全组或防火墙规则、可访问范围比设计更宽的存储，以及与账户标准不一致的加密设置。
- 日志。审计日志是否存在、流向哪里、谁能删除。没有日志的控制，事后无法举证。
- 修复清单。按暴露程度排序，并在您这边指定负责人。如果您希望把修复固化为代码，我们会写成 Terraform 或可由您流水线运行的策略检查。该构建归 DevSecOps 负责。
项目如何开展
- 时点评估。对范围内账户的只读访问、一份书面发现清单，以及一次汇报。当您还不信任当前全貌时，这是合适的起点。
- 持续检查。同一套检查表达为基础设施代码变更时运行的策略，再加上例外审查的节奏。持续并不意味着 SEYA 彻夜盯着控制台。检查由您的流水线和您的团队运行。
- 工具。我们使用云服务商自带的安全服务，如果您已有 CSPM 产品，也会使用它。SEYA 不要求您从我们这里购买工具。交付物是发现项和修复方案，不是许可证。
您需要具备的条件
能够读取配置的账户访问权限、一位明确的例外事项负责人，以及对哪些账户纳入范围达成一致。以身份问题为主的发现，通常会延续为 零信任路线图。将交给审计师的证据，则延续为 SOC 2 就绪。态势评审本身止于发现项和商定的修复方案。
这类基础环境工作的一个公开案例是 LiveRamp 的首个 Google Cloud 环境：共享 VPC 网络、分离的 GKE 控制平面、拆分的环境，以及细粒度 IAM。那个项目设计的是基础环境，不是 CIS 认证声明。
常见问题
态势评审和渗透测试是一回事吗？
不是。态势评审读取的是配置：身份、网络、数据和日志。渗透测试则尝试攻破正在运行的系统。我们会在范围说明中写明您购买的是哪一种。本页面讲的是配置评审。
一次评审能同时覆盖 AWS、Azure 和 Google Cloud 吗？
可以，只要这些账户都在范围内。每个云平台都按其自身的 CIS Benchmark 和您的标准评审。发现项不会被平均成一个掩盖问题账户的总分。
你们会说我们“通过”了吗？
我们会说明在评审当日，哪些检查符合基准、哪些不符合。我们不会说资产已通过认证，而且后续变更可能重新打开某项发现。持续检查的意义就在于，下一次变更不必等到下一年的年度评审。
预约云安全评估 并列出账户。第一次沟通会确定范围，以及您需要的是时点评审还是流水线中的检查。
联系我们
发送有关云、平台、数据或可靠性项目的咨询。营销邮件在表单中为单独选项。