Аудит облачного аккаунта
Вопрос
Вас попросили быстро оценить безопасность облачного аккаунта компании. Что вы проверите в первую очередь?
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
IAM: пользователи и ключи с широкими правами, MFA, неиспользуемые ключи, root-аккаунт
Публичные ресурсы: бакеты, базы, панели, открытые группы безопасности
Журналы аудита API включены и защищены
Шифрование и управление ключами
Разделение окружений: прод отдельно от разработки
Автоматизация: сканеры конфигурации и IaC в CI
Что могут спросить следом
- Что будете делать, если найдёте публичный бакет с персональными данными?
- Как сделать, чтобы проблемы не возвращались?
Разбор
Образцовый ответ: «Начинаю с самого опасного. IAM: у кого права администратора, есть ли долгоживущие ключи, когда ими пользовались, у всех ли людей MFA, есть ли ключи у root-аккаунта. Затем всё публичное: бакеты, снапшоты, базы, Kubernetes API, группы безопасности с 0.0.0.0/0 на порты баз и SSH. Проверяю, что журналы аудита API включены и пишутся в отдельный защищённый аккаунт. Смотрю шифрование и кто может пользоваться ключами KMS. Проверяю, что прод изолирован от разработки. Найденное сразу исправляю по критичности, а для профилактики ставлю сканер конфигурации облака и проверку Terraform в CI».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.