AWS Report (аудит хмарної інфраструктури) для ІТ-компанії

Замовник: компанія із сектору ІТ-безпеки

Сектор: IT-безпека

Час, витрачений на аудит: 19 днів

Опис

Команда DigVel провела аудит хмарної інфраструктури для компанії, що розробляє продукт для захисту організацій від внутрішніх загроз і має SaaS-рішення.

Обсяг перевірки складався з таких компонентів:

  • Amazon VPC
  • Elastic Load Balancing
  • Amazon Route 53
  • Amazon EC2
  • Amazon S3
  • Amazon EC2 Auto Scaling
  • Amazon Aurora
  • AWS Systems Manager Fleet Manager
  • AWS System Manager Parameter Store
  • Secrets Manager
  • CloudWatch
  • AWS CloudFormation
  • AWS Lambda
  • AWS Identity and Access Management (IAM)

У результаті було виявлено недоліки в налаштуваннях і організації процесів безпеки:

  • Доступ у деяких облікових записах не відповідав принципу найменших привілеїв.
  • Політика резервного копіювання та політика управління сертифікатами мали недоліки та вимагали доопрацювання.
  • Системи моніторингу потребували розширення обсягу даних, який вони отримують для аналізу, а також внесення відповідних змін до плану моніторингу. Перелік джерел, які необхідно додати до плану моніторингу:
    • виклики API;
    • випадки авторизації без використання MFA;
    • дії суперкористувача;
    • зміни в політиках IAM і S3;
    • зміни в конфігурації систем моніторингу;
    • невдалі випадки автентифікації за допомогою AWS Management Console;
    • зміни конфігурацій AWS Config;
    • зміни груп безпеки;
    • зміни в налаштуваннях мережі (NACL, VPC, gateways, route tables).
  • Знайдено конфіденційну інформацію у вихідних кодах IaC (Infrastructure as Code).
  • Інфраструктура мала налаштування за замовчуванням, які необхідно було змінити для посилення безпеки.

Усього було перевірено 341 пункт на відповідність кращим практикам AWS і TrendMicro, серед яких було знайдено 71 невідповідність. Розподіл невідповідностей по сервісах наведено в діаграмі 1, а відсотковий розподіл невідповідностей високого, середнього та низького рівнів критичності наведено в діаграмі 2.

Діаграма 1. Знайдені невідповідності в сервісах AWS

Діаграма 2. Рівні критичності знахідок

Також було ідентифіковано невідповідності щодо CIS Benchmark. З переліку 90 пунктів контрольних списків було виявлено 39 невідповідностей, які було додано до загального списку вразливостей, що відображено в діаграмі 3.

Діаграма 3. Знайдені невідповідності щодо CIS Benchmark

Методологія

Для оцінювання стану безпеки хмарної інфраструктури компанії було застосовано широкий спектр дій, пов’язаних із ручними й автоматичними перевірками на відповідність кращим практикам вендора та галузі. Також застосовувались автоматичні інструменти для охоплення всього обсягу робіт, які не замінювали ручну перевірку, а доповнювали її.

У ході ручного тестування використовувалась офіційна документація з рекомендаціями та кращими практиками. За основу також було взято контрольні списки для оцінювання безпеки, а саме:

  • CIS Amazon Web Services Foundations Benchmark
  • Кращі практики для Amazon Web Services від Trend Micro

Рекомендації

Після проведення аудиту команда DigVel надала детальні рекомендації щодо виправлення кожної невідповідності, а також загальні рекомендації, яких необхідно дотримуватися для досягнення високого рівня безпеки організації.

Загальні рекомендації містять такі пункти:

  • Створення плану резервного копіювання
  • Створення плану моніторингу
  • Створення політики управління сертифікатами
  • Зміцнення інфраструктури
  • Аналіз коду програмного забезпечення IaC
  • Створення політики управління IAM
  • Доведення інфраструктури до відповідності вимогам CIS Benchmark

Детальніше кожен із цих пунктів описано нижче.

Створення плану резервного копіювання

Створення плану резервного копіювання необхідне для забезпечення захисту даних і можливості їх відновлення в разі втрати або пошкодження. Оскільки створення резервної копії, її тестування та відновлення за втрати даних може бути складним процесом із багатьма деталями, необхідно розробити спеціальний план, який допоможе вам правильно розподілити обов’язки, призначити відповідальних осіб і створити чітку процедуру для кожного етапу процесу. План резервного копіювання може бути частиною планування безперервності бізнесу (business continuity planning, BCP) і відновлення після катастроф (disaster recovery, DR).

Основні елементи, які необхідно додати до плану резервного копіювання хмарної інфраструктури:

  • Конфігураційні дані
  • Дані застосунків і файлів
  • Конфігурація інфраструктури
  • Бази даних

Конкретний план резервного копіювання може відрізнятися залежно від потреб і конфігурації вашої інфраструктури. Рекомендується регулярно переглядати й оновлювати план резервного копіювання, щоб відображати зміни у вашій інфраструктурі та бізнес-потребах.

Створення плану моніторингу

Створення плану моніторингу необхідне для постійного моніторингу та контролю вашої інфраструктури, застосунків і служб.

Основні причини для створення плану моніторингу:

  • Виявлення проблем
  • Оптимізація продуктивності
  • Планування масштабування
  • Гарантування безпеки

Створення політики управління сертифікатами

Політика управління сертифікатами SSL/TLS у компанії необхідна для гарантування безпеки комунікації в мережі. Вона містить правила та процедури використання, встановлення, оновлення й моніторингу сертифікатів SSL/TLS. Це допомагає забезпечити конфіденційність, цілісність і автентичність даних, що передаються, а також уникнути потенційних ризиків, пов’язаних із неправильно налаштованими або простроченими сертифікатами.

Зміцнення інфраструктури

Не рекомендується залишати налаштування за замовчуванням. Для посилення безпеки хмарної інфраструктури необхідно звернутися до кращих практик безпеки від вендора та виконати додаткове зміцнення системи.

Аналіз коду програмного забезпечення IaC

Щоб уникнути написання паролів безпосередньо в коді методом «інфраструктура як код» (infrastructure-as-code, IaC) і підвищити рівень безпеки, рекомендуємо використовувати описані нижче практики.

Необхідно створити та впровадити політику безпеки, яка визначає набір правил і рекомендацій щодо використання хмарної інфраструктури. Ця політика має містити вимоги до безпеки коду, контролю доступу й управління конфіденційними даними, а також вимагати використання менеджера секретів або динамічного передавання значень шаблонів.

Також необхідно налаштувати автоматизований і контрольований процес розгортання інфраструктури й управління нею, що передбачатиме аналіз коду IaC на наявність конфіденційної інформації.

Створення політики управління IAM

Політика має визначати ролі та привілеї, які надаються користувачам, групам і ролям. Це передбачає встановлення прав доступу до певних ресурсів, послуг і функцій.

Політика має містити:

  • процедури створення, змінення та видалення облікових записів користувачів і груп; вона також має встановлювати правила використання надійних паролів та інших методів автентифікації;
  • контрольний список дозволених дій для кожної ролі чи користувача; він має обмежувати доступ до критично важливих ресурсів і функцій, забезпечуючи принцип найменших привілеїв;
  • правила управління ключами доступу, зокрема створення та використання API-ключів, сертифікатів та інших механізмів автентифікації;
  • вимоги до моніторингу й аудиту дій користувачів;
  • вимоги до регулярного оновлення та пересертифікації привілеїв користувачів і груп;
  • механізми управління винятками й тимчасовими дозволами на доступ.

Доведення інфраструктури до відповідності вимогам CIS Benchmark

Для доведення систем віртуальних машин до відповідності вимогам CIS рекомендується використовувати офіційні образи, які вже відповідають цим вимогам.

У разі неможливості використання образів, що відповідають вимогам CIS, слід ужити заходів для усунення невідповідностей.

Наші сервіси