Was wir uns ansehen
Das Audit deckt fünf Bereiche ab. Jeder wird anhand einer kurzen Liste von Ja/Nein-Prüfpunkten rot, gelb oder grün bewertet, das Ergebnis hängt also nicht davon ab, wer das Audit durchführt. Der vollständige Kriterienkatalog ist öffentlich (auf Englisch).
- Security. Account-Struktur, SSO, langlebige Keys, öffentliche Buckets, Audit-Logging, Secrets und die Frage, ob Ihre Production-Datenbank aus dem Internet erreichbar ist.
- Kosten und Verschwendung. Wer für die Rechnung verantwortlich ist, unerklärliche Positionen, NAT- und Datentransferkosten, Abdeckung durch Commitments, Tagging und Nicht-Production-Umgebungen, die rund um die Uhr laufen.
- Infrastructure as Code. Wie viel von Production in Terraform, Pulumi oder CloudFormation liegt, wie der State gespeichert und gesperrt wird und ob Sie eine Umgebung aus dem Code neu aufbauen könnten.
- Observability und On-Call. Zentrale Logs, Golden-Signal-Metriken, Alerts, die bei Problemen auslösen, die Nutzer spüren, Paging und Runbooks.
- Resilienz und Recovery. Backups, die tatsächlich schon einmal wiederhergestellt wurden, Multi-AZ, wo es darauf ankommt, und ein Recovery-Plan, den jemand geprobt hat.
So läuft die Woche ab
- Tag 1: Zugang und Zuhören. Sie geben uns Lesezugriff. Gemeinsam mit Ihrem Team gehen wir Konsole, Repositories, On-Call-Rotation und die Incidents des letzten Quartals durch.
- Tag 2 bis 4: Review. Wir arbeiten jeden Bereich durch, gleichen die Befunde mit dem Kriterienkatalog ab und belegen jedes Rot und Gelb.
- Tag 5: der Bericht. Eine Seite mit den Befunden und ein kurzer Anhang mit Belegen, den wir in einem Call mit Ihnen durchgehen. Dazu bekommen Sie eine priorisierte Liste, was wir als Erstes, Zweites und Drittes tun würden.
Der Bericht gehört Ihnen. Wenden Sie denselben Kriterienkatalog in sechs Monaten erneut an, und Sie sehen, wie die grünen Felder mehr werden.
Für wen es gedacht ist
- Teams, die ein Cloud-Setup übernommen haben und ihm nicht ganz trauen.
- Gründer, die sich auf eine Finanzierungsrunde, das Security-Review eines großen Kunden oder eine Übernahme vorbereiten.
- CTOs, die vor einer großen Entscheidung eine Meinung von außen wollen, etwa vor einer Migration, dem Umstieg auf Kubernetes oder einer Neueinstellung.
Was danach passiert
Gar nichts, wenn Sie möchten: Viele Teams beheben die Befunde selbst. Wenn Sie Unterstützung wollen, wird das Audit zur Grundlage für ein Aufbau- oder Migrationsprojekt, für Betrieb und Support oder für die Begleitung durch einen Fractional CTO.
Häufige Fragen
Welche Zugänge brauchen Sie?
Lesezugriff auf Ihre Cloud-Accounts (bei AWS eine Rolle mit den Policies ReadOnlyAccess und SecurityAudit), Lesezugriff auf Ihre Repositories und Ihr CI sowie ein bis zwei Stunden mit den Leuten, die Production betreiben.
Welche Clouds prüfen Sie?
AWS, Google Cloud und Azure, einschließlich Kubernetes auf EKS, GKE und AKS. Die meisten unserer Audits laufen auf AWS.
Was kostet das Audit?
Das Audit hat einen festen Umfang, Sie erhalten also vor dem Start einen Festpreis. Er hängt vor allem davon ab, wie viele Accounts und Umgebungen Sie betreiben. Für ein Angebot schreiben Sie an [email protected].
Ändern Sie während des Audits etwas?
Nein. Das Audit ist rein lesend. Finden wir etwas Dringendes, etwa offengelegte Zugangsdaten, sagen wir es Ihnen noch am selben Tag, damit Sie handeln können.
Was ist der Unterschied zu AWS Trusted Advisor oder einem Security-Scanner?
Tools listen Symptome auf. Wir schauen darauf, wie Ihr Team tatsächlich arbeitet: Wer ist für die Rechnung verantwortlich, wird nachts überhaupt jemand alarmiert, könnten Sie Production neu aufbauen? Am Ende steht ein priorisierter Plan, keine Liste mit 400 Warnungen.