Her şey buluta taşındıktan sonra küçük yapılar için hangi bulut güvenlik değerlendirme araçları mantıklı?

Açık kaynaklı araçları bi sanal makinede haftalık cron görevi olarak çalıştırıp sonuçları e-posta kutunuza yönlendirebilirsiniz. Özellikle kimlik ve erişim yönetimi tarafındaki kuralları denetleyen araçlar, kullanılmayan servis anahtarlarını ve aşırı geniş tanımlanmış yetki rollerini çok net yakalar. Başlangıçta bu seviye fazlasıyla yeterlidir.

Pahalı araç aramadan önce şu üç şeyi hemen kontrol edin: 1) Nesne depolama alanlarınızda genel okuma izni kapalı mı? 2) Veritabanı ve sunucu yönetim portları sadece şirket içi sabit IP adresine mi açık? 3) Yönetici paneline girişte iki adımlı doğrulama zorunlu mu? Bunlar zaten riskin büyük kısmını eler.

Biz kurumsal bir araca yıllık 12.000 dolar verip aldık ve ilk ay panik yaşadık çünkü sistem 600 tane ihlal uyarısı verdi. Sonra anladık ki uyarılardan biri sadece bir test sunucusunun etiket eksikliğiymiş. Küçük ekiplerde bu kadar gürültü üreten araçlar işi durduruyor. Yerel konsol araçlarıyla adım adım gitmek çok daha akılcı.

müşteri denetim forları genelde göz korkutur ama samimi olayım onların da aradığı şey kurumsal yazılım adı dgl ve sizin periyodik olarak altyapı taraması yapıp yapmadığınızı ve bulunan açıkları nsl kapattığınızı gösteren bi dokümantasyon görmek istiyorlar

acik kaynakli tarayicilari kurup ciktisini html olarak alin... yani musteriye de bulut altyapimizi haftalik otomatik guvenlik taramalarindan gecirioruz deyip o ozet raporu iletin cogu kurumsal msuteri icin bu fazlasiyla gecerli bi kanittir

not: bunu kendi deneyimim olarak yazdım, herkeste böyle olmayabilir.

Müşterinizin tabi olduğu özel bir regülasyon var mı? Sağlık verisi veya kredi kartı bilgisi tutuyor musunuz? Eğer özel bir yasal uyumluluk zorunluluğu yoksa üçüncü taraf pahalı araçlara girmek bütçenizi gereksiz yere zorlar.

Bulut sağlayıcınızın kendi yerel güvenlik merkezini açın, kuralları sıkılaştırın ve açık kaynaklı bir denetim aracıyla haftalık tarama yapın.

Çok teşekkürler bugün deneyeceğim.

Benim başımdan geçeni yazayım, belki işinize yarar. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Bunun cevabı sektöre göre çok değişiyor, genel geçer bir kural yok. Başka türlü yapan varsa onu da merak ederim.

bulut güvenlik değerlendirme araçları konusunda hiç tecrübem yok o yüzden soruyorum. Bunu tek başına yapmaya çalışmak en pahalı yol.

Yanlışım varsa düzeltin.

dogru.

Tersini savunacağım, kızmayın. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.

Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim. Sonucu buraya yazarsanız başkalarına da faydası olur.

Bu yazılanlar bire bir bizim yaşadığımız. bulut güvenlik değerlendirme araçları konusunda acele eden herkes aynı yerde takılıyor.

Bunu bilmiyordum. Unutulmuş test ortamları canlı sistemden daha sık kapı oluyor.

Kendi durumunuz farklıysa tabii değişir.

dikkat edilmesi greken bi şey var. neyse yanlış alarmı azarlarsanız bi daha kimse bildirim yapmıyor

bu kadar uzattiysam kusura bakmayin

kesinlikle sonra ustune bisey eklemek gerekirse: Tek bi onleme guvenmeyin; katman katman gidin

koly gelsin.

Sonucu yazarsanız sevinirim. İlk üç ay her şey iyi gider sorun dördüncü ayda çıkar.

Asıl mesele rakam değil, o rakamın neye göre çıktığı... yani sonucu buraya yazarsanız başkalarına da faydası olur.

deneyeceğim.