Аудит безпеки хмарної інфраструктури: повний розбір

Чому потрібен аудит хмарної інфраструктури?

Ми провели аудит для великого e-commerce проєкту та знайшли 47 критичних вразливостей за перші два дні. Типовий результат першого аудиту: S3-бакет із публічним доступом, забутий з минулого року; IAM-роль з *:* policy для сервісу, якому потрібен лише s3:GetObject; Security Group з 0.0.0.0/0 на порт 22 у production VPC. Такі проблеми не поодинокі — за даними аналізу, 94% компаній мають хоча б одну критичну вразливість у хмарній інфраструктурі. Аудит безпеки дозволяє виявити їх до того, як ними скористаються зловмисники. Або після того, як ви вже отримали сповіщення від AWS Trusted Advisor про публічний доступ до S3. Замовте аудит під ключ та отримайте план виправлень протягом 1-2 тижнів. Вартість витоку даних у хмарі сягає $4.5 млн, а години простою — $10 000. Наш аудит допомагає уникнути цих витрат, а клієнти економлять до 60% на інцидентах.

Що включає аудит безпеки хмарної інфраструктури?

Аудит охоплює декілька площин одночасно: IAM, мережеву безпеку, захист даних, моніторинг та compliance. Ми перевіряємо overprivileged ролі, публічні S3-бакети, незашифровані диски, відсутність CloudTrail та відхилення від CIS Benchmarks. Prowler знаходить на 30% більше проблем, ніж ScoutSuite, особливо в області IAM. Checkov перевіряє IaC в 2 рази швидше за ручний аналіз. Додатково проводимо перевірку на відповідність стандартам.

Identity & Access Management — overprivileged ролі, невикористовувані credentials, відсутність MFA для root/admin акаунтів, cross-account ролі з надлишковими правами, service account keys у репозиторіях (через git-secrets, truffleHog).

Network security — Security Groups/Firewall Rules з надлишковим доступом, публічні підмережі з інстансами, відсутність VPC Flow Logs, незашифрований трафік між сервісами.

Data protection — незашифровані томи EBS/GCS/Azure Disk, S3 buckets із публічним доступом, RDS без encryption at rest, секрети в змінних середовища замість Vault/SSM.

Які інструменти використовуються для аудиту?

Для аудиту ми використовуємо комбінацію інструментів:

Prowler запускається командою:

prowler aws --compliance cis_2.0_aws pci_3.2.1_aws \
  --output-formats json html csv \
  --output-directory reports/ \
  --severity critical high

ScoutSuite для Azure:

scout azure --cli --subscription-id $SUBSCRIPTION_ID --report-dir reports/ 

Checkov для IaC:

checkov -d terraform/ --framework terraform --compact --output cli json --output-file-path reports/ 

CloudSploit розгортається за 10 хвилин.

Підсумковий звіт містить executive summary, деталізований список findings з risk rating, evidence та remediation steps. Наприклад, для S3-бакета з публічним доступом ми даємо Terraform-код для включення Block Public Access.

Як підготуватися до аудиту: покрокова інструкція

1. Надайте read-only доступ до хмарних акаунтів (IAM role з обмеженими правами, як у прикладі нижче).
2. Забезпечте доступ до репозиторіїв з IaC (Terraform, CloudFormation).
3. Повідомте нам про критичні сервіси та винятки.
4. Заплануйте window для збору даних (зазвичай 1-2 дні без навантаження).

Приклад IAM policy для read-only аудиту AWS:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "s3:GetBucketPolicy",
        "s3:GetBucketAcl",
        "s3:ListAllMyBuckets",
        "iam:Get*",
        "iam:List*",
        "cloudtrail:GetTrail*",
        "config:Get*",
        "securityhub:Get*"
      ],
      "Resource": "*"
    }
  ]
}

Як проходить аудит?

Фаза збору даних (1-2 дні) — аудит безпеки хмарної

Read-only доступ до хмарного акаунту. Запуск автоматичних сканерів — Prowler, ScoutSuite, Checkov для IaC. Ручний перегляд IAM-політик на critical сервіси. Git-secrets / truffleHog по репозиторіях на предмет закомічених credentials.

Фаза аналізу та пріоритизації (2-3 дні)

Автоматичні сканери дають сотні findings. Завдання — прибрати хибні спрацьовування, згрупувати за категоріями та пріоритизувати за реальним ризиком. IAM-роль з *:* для Lambda без VPC-доступу — Critical у Prowler, але реальний ризик Medium. S3-бакет з логами, доступний публічно — Medium у сканері, реальний ризик High. Наші інженери мають 10+ років досвіду та провели понад 50 аудитів, тому відрізняють критичне від незначного.

Фаза звіту та плану виправлень

Підсумковий звіт містить executive summary, деталізований список findings з risk rating, evidence та Terraform/CLI-команди для виправлення. Ми даємо roadmap: що виправити негайно, що в рамках наступного спринту, що планова робота. Терміни: 1-2 тижні від першого доступу до фінального звіту з планом remediation.

Що входить в роботу?

У вартість аудиту під ключ входить:

• Повний звіт з executive summary та деталізованими findings.
• Exports у PDF, HTML, CSV для зручного перегляду.
• Terraform/CLI-команди для виправлення кожної вразливості.
• Консультація з командою після аудиту (1 година).
• Roadmap виправлень з пріоритетами (негайно, спринт, план).
• Доступ до нашого порталу для перегляду історії аудитів.
• Знижка 20% на повторний аудит протягом 6 місяців.

Напишіть нам, щоб оцінити ваш проект — ми проаналізуємо обсяг та вартість протягом 1 дня.

Типові вразливості та їх ризик

Типові знахідки в першому аудиті

На основі практики — що зустрічається майже завжди:

• Активні AWS access keys для root account (блокує відповідність CIS 1.4 — зустрічається в 60% випадків)
• IAM users з programmatic access без ротації ключів > 90 днів
• Security Groups з 0.0.0.0/0 для TCP 3389 (RDP) або 22 (SSH) у production
• S3 Block Public Access не включений на рівні account
• CloudTrail не включений у всіх регіонах
• EBS snapshots з публічним доступом (часто не помічають)
• Lambda Environment Variables з API keys у відкритому вигляді

Кожна з цих знахідок може призвести до витоку даних. Середня вартість витоку даних у хмарі — $4.5 млн. Збиток від години простою після кібератаки може перевищувати $10,000. Наші клієнти економлять до 60% на вартості інцидентів після усунення проблем. Замовте аудит зараз — консультація та оцінка обсягу робіт.