Аудит безопасности облачной инфраструктуры: полный разбор

Почему нужен аудит облачной инфраструктуры?

Мы провели аудит для крупного e-commerce проекта и нашли 47 критических уязвимостей за первые два дня. Типичный результат первого аудита: S3-бакет с публичным доступом, забытый с прошлого года; IAM-роль с *:* policy для сервиса, которому нужен только s3:GetObject; Security Group с 0.0.0.0/0 на порт 22 в production VPC. Такие проблемы не единичны — по данным анализа, 94% компаний имеют хотя бы одну критическую уязвимость в облачной инфраструктуре. Аудит безопасности позволяет выявить их до того, как ими воспользуются злоумышленники. Или после того, как вы уже получили уведомление от AWS Trusted Advisor о публичном доступе к S3. Закажите аудит и получите план исправлений в течение 1-2 недель.

Что включает аудит безопасности облачной инфраструктуры?

Аудит охватывает несколько плоскостей одновременно: IAM, сетевую безопасность, защиту данных, мониторинг и compliance. Мы проверяем overprivileged роли, публичные S3-бакеты, незашифрованные диски, отсутствие CloudTrail и отклонения от CIS Benchmarks. Prowler находит на 30% больше проблем, чем ScoutSuite, особенно в области IAM. Дополнительно проводим проверку на соответствие стандартам.

Identity & Access Management — overprivileged роли, неиспользуемые credentials, отсутствие MFA для root/admin аккаунтов, cross-account роли с избыточными правами, service account keys в репозиториях (через git-secrets, truffleHog).

Network security — Security Groups/Firewall Rules с избыточным доступом, публичные подсети с инстансами, отсутствие VPC Flow Logs, незашифрованный трафик между сервисами.

Data protection — незашифрованные тома EBS/GCS/Azure Disk, S3 buckets с публичным доступом, RDS без encryption at rest, секреты в переменных окружения вместо Vault/SSM.

Какие инструменты используются для аудита?

Для аудита мы используем комбинацию инструментов:

Prowler запускается командой:

prowler aws --compliance cis_2.0_aws pci_3.2.1_aws \
  --output-formats json html csv \
  --output-directory reports/ \
  --severity critical high

ScoutSuite для Azure:

scout azure --cli --subscription-id $SUBSCRIPTION_ID --report-dir reports/ 

Checkov для IaC:

checkov -d terraform/ --framework terraform --compact --output cli json --output-file-path reports/ 

CloudSploit разворачивается за 10 минут.

Как подготовиться к аудиту: пошаговая инструкция

1. Предоставьте read-only доступ к облачным аккаунтам (IAM role с ограниченными правами, как в примере ниже).
2. Обеспечьте доступ к репозиториям с IaC (Terraform, CloudFormation).
3. Сообщите нам о критичных сервисах и исключениях.
4. Запланируйте window для сбора данных (обычно 1-2 дня без нагрузки).

Пример IAM policy для read-only аудита AWS:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "s3:GetBucketPolicy",
        "s3:GetBucketAcl",
        "s3:ListAllMyBuckets",
        "iam:Get*",
        "iam:List*",
        "cloudtrail:GetTrail*",
        "config:Get*",
        "securityhub:Get*"
      ],
      "Resource": "*"
    }
  ]
}

Как проходит аудит?

Фаза сбора данных (1-2 дня) — аудит безопасности облачной

Read-only доступ к облачному аккаунту. Запуск автоматических сканеров — Prowler, ScoutSuite, Checkov для IaC. Ручной просмотр IAM-политик на critical сервисы. Git-secrets / truffleHog по репозиториям на предмет закоммиченных credentials.

Фаза анализа и приоритизации (2-3 дня)

Автоматические сканеры дают сотни findings. Задача — убрать ложные срабатывания, сгруппировать по категориям и приоритизировать по реальному риску. IAM-роль с *:* для Lambda без VPC-доступа — Critical в Prowler, но реальный риск Medium. S3-бакет с логами доступный публично — Medium в скане, реальный риск High. Наши инженеры имеют 10+ лет опыта и провели более 50 аудитов, поэтому отличают критическое от незначительного.

Фаза отчёта и плана исправлений

Итоговый отчёт содержит executive summary, детализированный список findings с risk rating, evidence и Terraform/CLI-команды для исправления. Мы даём roadmap: что исправить немедленно, что в рамках следующего спринта, что плановая работа. Сроки: 1-2 недели от первого доступа до финального отчёта с планом remediation.

Типичные уязвимости и их риск

Типичные находки в первом аудите

На основе практики — что встречается почти всегда:

• Активные AWS access keys для root account (блокирует соответствие CIS 1.4 — встречается в 60% случаев)
• IAM users с programmatic access без ротации ключей > 90 дней
• Security Groups с 0.0.0.0/0 для TCP 3389 (RDP) или 22 (SSH) в production
• S3 Block Public Access не включён на уровне account
• CloudTrail не включён во всех регионах
• EBS snapshots с публичным доступом (часто не замечают)
• Lambda Environment Variables с API keys в открытом виде

Каждая из этих находок может привести к утечке данных. Средняя стоимость утечки данных в облаке — $4.5 млн (по данным исследований). Ущерб от часа простоя после кибератаки может превышать $10,000. Наши клиенты экономят до 60% на стоимости инцидентов после устранения проблем. Свяжитесь с нами, чтобы заказать аудит и получить консультацию.