Переехали на AWS — есть ли инструмент, чтобы самим проверить безопасность облака, не платя аудиторам?

В первую очередь вам нужно сосредоточиться на хранилищах и идентификации. Одним кликом в консоли включите ключ блокировки публичного доступа на уровне всего аккаунта. Затем найдите в ваших политиках идентификации пользователей с безграничными правами администратора, определёнными звёздочкой, и сузьте их по правилу минимальных привилегий. И не забудьте активировать службу аудита, ведущую журналы входов, во всех регионах.

Мы тоже получали похожее предложение, когда переносили нашу инфраструктуру электронной коммерции в Нью-Йорке, у нас просили 5 500 долларов. Двое наших программистов запустили опенсорсные скрипты аудита. Всего было выявлено 18 критических ошибок конфигурации, 11 из них — забытые старые группы безопасности. Мы всё решили за 3 дня с нулевыми затратами.

Автоматические опенсорсные инструменты — это здорово, но не полагайтесь на них слишком сильно. Эти сканеры смотрят только на настройки облачной инфраструктуры. Они не могут сказать, есть ли дыра в авторизации в вашем коде или можно ли сделать SQL-инъекцию в базу данных. То есть даже если ваша инфраструктура выглядит зелёной, ваше приложение может быть дырявым как решето.

Самое срочное, что вы можете сделать уже сегодня вечером: перестаньте работать с корневым пользователем в повседневных задачах. Создайте новый аккаунт разработчика, привяжите к корневому аккаунту физический ключ безопасности и заприте его пароль в сейфе. Большинство облачных взломов происходит из-за утёкших ключей администратора.

Клиенты, с которыми вы собираетесь подписывать договоры требуют от вас стандартный отчёт о соответствии или официальную подпись независимого аудитора? Если в техзадании обязателен официальный сертификат аудита то ваше собственное сканирование может не быть принято как достаточное за корпоративным столом.

мы тоже паниковали когда только переехали потом в общем поставили два разных опенсорссных сканера подключили к консоли они выдали нам html отчёт. больше всего нас удивило что на открытый тестовый сервер за 2 дня прилетели тысячи попыток подбора пароля сразу закрыли порты.

пока бюджет ограничен, ни в коем случае не отдавайте эти 6 000 долларов. встроенная бесплатная вкладка советника в консоли и популярные скрипты аудита на GitHub вполне справятся с вашей задачей. посвятите этим результатам выходные сядьте с командой и проработайте пункты один за другим.

Безопасность — это не разовый аудит, а живой процесс. Даже если сегодня вы заплатите 6 000 долларов и получите идеально чистый отчёт, на следующей неделе один из ваших программистов откроет неверное правило безопасности, и вы снова останетесь беззащитными. Поэтому подключите опенсорсный инструмент аудита к вашему конвейеру развёртывания кода как автоматический шаг тестирования.

Если пойдете этим путем, сразу решите вот этот вопрос. Пытаться сделать это в одиночку — самый дорогой путь.

Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Буду отстаивать обратное, не обижайтесь. Пытаться сделать это в одиночку — самый дорогой путь.

На этом всё, извините, если затянул.

Согласен.

Попробую. Когда пытаешься изменить всё сразу ничего не приживается.

На этом всё извините, если затянул.

Эта тема в архиве.

здесь есть еще и аспект измерений... доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

если напишете результат здесь, это поможет и другим.

Обсуждение размылось давайте структурируем. честно пытаться сделать это в одиночку — самый дорогой путь.

Если напишете результат здесь, это поможет и другим.

Согласен, хочу даже особо подчеркнуть. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Исправьте, если я ошибаюсь.

Если углубиться в детали: Две недели ведения заметок дают лучший результат чем шестимесячные прогнозы.

буду отстаивать обратное не обижайтесь но меры принятые без инвентаризации оставляют открытыми двери, о которых вы не знаете.