Τι ελέγχουμε
Πέντε περιοχές, και η καθεμία παίρνει κόκκινο, πορτοκαλί ή πράσινο με βάση απλά ναι/όχι κριτήρια. Το αποτέλεσμα δεν εξαρτάται από το ποιος κάνει τον έλεγχο, και τα κριτήρια είναι δημόσια.
- Security. Δομή λογαριασμών, SSO, long-lived keys, δημόσια buckets, audit logging, secrets, και αν η βάση του production φαίνεται από το internet.
- Κόστος. Ποιος έχει την ευθύνη του λογαριασμού, χρεώσεις που κανείς δεν εξηγεί, NAT και data transfer, savings plans, tagging, και non-production περιβάλλοντα που τρέχουν όλο το 24ωρο.
- Infrastructure as code. Πόσο από το production είναι σε Terraform, Pulumi ή CloudFormation, πού και πώς φυλάσσεται το state, και αν θα μπορούσατε να ξαναστήσετε ένα περιβάλλον μόνο από κώδικα.
- Observability και on-call. Κεντρικά logs, golden-signal metrics, alerts για προβλήματα που βλέπει ο χρήστης, paging και runbooks.
- Resilience και recovery. Backups που έχουν γίνει πραγματικά restore, multi-AZ όπου μετράει, και recovery plan που κάποιος έχει δοκιμάσει στην πράξη.
Πώς κυλάει η εβδομάδα
- Ημέρα 1: πρόσβαση και κουβέντα. Μας δίνετε read-only πρόσβαση. Περνάμε μαζί με την ομάδα σας από το console, τα repositories, το on-call και τα incidents του τελευταίου τριμήνου.
- Ημέρες 2 έως 4: έλεγχος. Εξετάζουμε κάθε περιοχή, ελέγχουμε τα ευρήματα με τα κριτήρια και κρατάμε στοιχεία για κάθε κόκκινο και πορτοκαλί.
- Ημέρα 5: η αναφορά. Μία σελίδα ευρήματα, με σύντομο παράρτημα στοιχείων, που τη συζητάμε μαζί σε call. Παίρνετε και μια λίστα με το τι θα κάναμε πρώτο, δεύτερο και τρίτο.
Η αναφορά είναι δική σας. Περάστε ξανά από τα ίδια κριτήρια σε έξι μήνες και θα δείτε τα πράσινα να πληθαίνουν.
Σε ποιους ταιριάζει
- Σε ομάδες που κληρονόμησαν ένα cloud setup και δεν το εμπιστεύονται απόλυτα.
- Σε founders που ετοιμάζονται για χρηματοδότηση, για τον έλεγχο ασφαλείας ενός μεγάλου πελάτη ή για εξαγορά.
- Σε CTOs που θέλουν μια ματιά απ' έξω πριν από μια μεγάλη απόφαση: migration, Kubernetes, νέα πρόσληψη.
Και μετά;
Τίποτα, αν δεν θέλετε: πολλές ομάδες διορθώνουν μόνες τους τα ευρήματα. Αν θέλετε βοήθεια, το audit γίνεται το scope για ένα project μετάβασης ή υλοποίησης, για λειτουργία και υποστήριξη, ή για να γίνουμε ο δικός σας CTO.
Συχνές ερωτήσεις
Τι πρόσβαση χρειάζεστε;
Read-only πρόσβαση στους cloud λογαριασμούς σας (για AWS, ένα role με τα policies ReadOnlyAccess και SecurityAudit), πρόσβαση ανάγνωσης στα repositories και στο CI, και μία-δύο ώρες με τους ανθρώπους που τρέχουν το production.
Σε ποια cloud κάνετε audit;
AWS, Google Cloud και Azure, μαζί με Kubernetes σε EKS, GKE και AKS. Τα περισσότερα audits μας είναι σε AWS.
Πόσο κοστίζει το audit;
Το audit έχει σταθερό scope, οπότε ξέρετε την τιμή πριν ξεκινήσουμε. Εξαρτάται κυρίως από το πόσους λογαριασμούς και περιβάλλοντα έχετε. Στείλτε μας στο [email protected] για προσφορά.
Θα αλλάξετε κάτι κατά τη διάρκεια του audit;
Όχι. Το audit γίνεται μόνο με read-only πρόσβαση. Αν βρούμε κάτι επείγον, όπως εκτεθειμένα credentials, σας το λέμε την ίδια μέρα για να το κλείσετε.
Σε τι διαφέρει από το AWS Trusted Advisor ή έναν security scanner;
Τα εργαλεία βρίσκουν συμπτώματα. Εμείς κοιτάμε πώς δουλεύει πραγματικά η ομάδα σας: ποιος έχει την ευθύνη του λογαριασμού, αν ξυπνάει κανείς όταν πέσει κάτι, αν θα μπορούσατε να ξαναστήσετε το production. Παίρνετε σχέδιο με προτεραιότητες, όχι λίστα με 400 warnings.