GCP Report (аудит хмарної інфраструктури) для ІТ-компанії

Замовник: компанія із сектору IT-безпеки

Сектор: IT-безпека

Час, витрачений на аудит: 9 днів

Опис

Команда DigVel провела аудит хмарної інфраструктури для компанії, що розробляє продукт для захисту організацій від внутрішніх загроз і має SaaS-рішення.

У результаті було виявлено проблеми в налаштуваннях, конфігурації й організації процесів безпеки:

• Невідповідність доступів певної кількості облікових записів принципу найменших привілеїв.
• Недостатньо зріла політика керування сертифікатами, яку потрібно доопрацьовувати й виправити недоліки налаштувань.
• План моніторингу потребував доопрацювання та розширення обсягу вхідних даних, які системи логування та моніторингу отримують для обробки й аналізу.
• Вихідний код IaC (Infrastructure as Code) містив конфіденційну та чутливу інформацію, яку зберігав і опрацьовував неналежним чином стосовно безпекових норм і стандартів.
• В інфраструктурі було виявлено налаштування за замовчуванням, які потрібно змінити для посилення захисту й відповідності найкращим практикам безпеки.

Всі виявлені проблеми було успішно усунуто.

Загальний обсяг аудиту й перевірки складався з таких компонентів:

• Інфраструктура:
  • Мережа (конфігурація VPC, зовнішня та внутрішня підмережа, конфігурація брандмауера)
  • Екземпляри Google Cloud Compute (налаштування та конфігурація)
  • Сховища даних Cloud Storage Buckets (контроль доступу та зберігання інформації)
  • Керування користувачами та сервісними обліковими записами (IAM)
  • Обчислювальна платформа (Cloud Run)
  • Логування та моніторинг
  • Бази даних (Cloud SQL Database Services)
• Загальні налаштування безпеки

Під час виконання аудиту було перевірено 130 пунктів контрольного списку, сформованого із CIS Benchmark і кращих практик вендора, і виявлено 22 вразливості високого, середнього, низького й інформаційного рівнів. Співвідношення вразливостей різного рівня відображено на діаграмі 1.

Діаграма 1. Знайдені вразливості

Методологія

Для повного оцінювання стану безпеки хмарної інфраструктури компанії було виконано ручні й автоматичні перевірки на відповідність кращим практикам вендора та галузі. Використовувались автоматичні інструменти, які дали змогу охопити весь обсяг робіт, що допомогло доповнити ручну перевірку та запобігти відсутності перевірки певного елемента.

Під час ручного тестування використовувалась офіційна документація, у якій описані найкращі практики та рекомендації з впровадження правильних налаштувань і конфігурацій. Як основні контрольні списки для оцінювання стану безпеки в ході ручного тестування було використано:

• CIS Google Cloud Platform Foundation Benchmark
• Кращі практики для Google Cloud Platform від Trend Micro
• Офіційна документація GCP

Рекомендації

Після проведення аудиту команда DigVel надала вичерпний перелік рекомендацій щодо виправлення поточних і запобігання появі нових невідповідностей найкращим практикам і рекомендаціям, які надає офіційна документація та контрольні списки. Замовник також отримав загальні рекомендації, які необхідно впровадити в робочі та бізнес-процеси для досягнення високого рівня безпеки організації та відповідності безпековим стандартам ринку.

Перелік рекомендацій, наданих командою DigVel, містить такі пункти:

• Створення та налаштування організаційної політики, яка відповідатиме політикам безпеки компанії
• Удосконалення наявних політик управління IAM
• Покращення поточного стану інфраструктури для відповідності вимогам CIS Benchmark
• Виконання додаткового зміцнення системи відповідно до рекомендацій і кращих практик
• Використання безпечних шляхів і методів зберігання чутливої та конфіденційної інформації

Детальніше кожен із цих пунктів описано нижче.

Створення та налаштування організаційної політики, яка відповідатиме політикам безпеки компанії

Створення та налаштування політик організації, що відповідатимуть політикам безпеки компанії, дасть змогу забезпечити загальний високий ступінь захисту на всіх рівнях зовнішнього та внутрішнього функціонування компанії та її бізнес-процесів.

Завдяки впровадженню організаційних політик у робочі та бізнес-процеси компанія сильно підвищує рівень безпеки процесів, працівників, клієнтів і відповідно й власний.

Удосконалення наявних політик управління IAM

Політика управління IAM — це визначення ролей і привілеїв, які надаватимуться користувачам, групам і ролям. Своєю чергою це встановлює права доступу до певних ресурсів, послуг і функцій.

Політика має визначати:

• процедури створення, змінення та видалення облікових записів користувачів і груп (політика також має встановлювати правила використання надійних паролів та інших методів автентифікації);
• контрольний список дозволених дій для кожної ролі або користувача, який має обмежувати доступ до критично важливих ресурсів і функцій, забезпечуючи принцип найменших привілеїв;
• правила управління ключами доступу, зокрема створення та використання API-ключів, сертифікатів та інших механізмів автентифікації;
• вимоги до моніторингу й аудиту дій користувачів;
• вимоги до регулярного оновлення та пересертифікації привілеїв користувачів і груп;
• механізми управління винятками й тимчасовими дозволами на доступ.

Покращення поточного стану інфраструктури для відповідності вимогам CIS Benchmark

Щоб покращити поточний стан інфраструктури для відповідності вимогам CIS Benchmark, рекомендується використовувати виключно офіційні образи й елементи, які вже відповідають цим вимогам.

У випадках, коли офіційні елементи не дають певних можливостей і виникає потреба у використанні невідповідних до вимог CIS Benchmark елементів, слід вжити заходів для усунення невідповідностей і налаштувати ці елементи максимально безпечно згідно із CIS Benchmark.

Виконання додаткового зміцнення системи відповідно до рекомендацій і кращих практик

Якщо дотримуватися всіх вище наведених рекомендацій і виконувати їх, компанія зможе забезпечити високий рівень власної безпеки без значних фінансових витрат і робочих зусиль.

Використання рекомендацій і кращих практик допоможе запобігти проблемам із захистом і сильно зменшить ризик виникнення інцидентів безпеки.

Команда DigVel надала широкий список рекомендацій, які потрібно взяти до уваги компанії-замовнику. Після ретельного впровадження рішень на основі рекомендацій і кращих практик компанія зможе безпечно функціонувати, зменшивши ризик і ймовірність появи інцидентів безпеки на всіх рівнях бізнес-процесів.

Використання безпечних шляхів і методів зберігання чутливої та конфіденційної інформації

Використання безпечних шляхів і методів зберігання чутливої та/або конфіденційної інформації й роботи з нею забезпечує мінімізацію ризику витоку чи викрадення цієї інформації.

У робочих процесах потрібно уникати використання інформації, яку не модифіковано безпечним чином або для якої не налаштовано безпечні методи передавання.