What does a cloud security audit typically cover?

一般的な監査では、IDとアクセスポリシー、公開されているリソース、ファイアウォールとセキュリティグループのルール、ストレージバケットの権限、暗号化設定、ロギング範囲、マネージドサービスのパッチ適用がレビューされます。出力は通常、発見事項を重大度別にリストし、推奨される修正を含む書面によるレポートです。Zinnerに、報告のみを行うのか、それとも修正も実装するのかを確認してください。

How much access does a security engineer need to my account?

監査の場合、読み取り専用アクセスで十分なことがよくあります。ほとんどのプロバイダーは、組み込みのセキュリティ監査者またはビューアの役割を提供しています。実装作業の場合、変更される特定のサービスにスコープされた専用アカウントを付与し、多要素認証を有効にし、注文完了時にそれを失効させます。ルートまたは所有者の資格情報を共有しないでください。また、付与したアクセスをログに記録して、元に戻せるようにしてください。

How is this work priced?

各Zinnerは、リストに独自の価格をUSDで事前に設定して表示します。セキュリティ作業は通常、1つの環境の固定範囲監査として、または実装のためのエンジニアリング時間のブロックとして販売されます。クラウドリソース自体はプロバイダーから直接請求され、Zinnerに支払う価格の一部ではありません。

What is least privilege and why does it come up so often?

最小特権とは、すべてのユーザー、サービス、ワークロードが、その仕事を行うために必要な権限のみを持ち、それ以上は持たないことを意味します。これは、ほとんどのクラウドインシデントが、便宜のために付与され、決して狭められなかった広すぎる役割を通じてエスカレートするため、重要です。このカテゴリのエンジニアは通常、現在の権限をマッピングし、未使用の権限を特定し、広範なポリシーをスコープされた役割に置き換えます。

What should I receive when the work is handed over?

ご自身のアカウントに適用された構成、リポジトリにコミットされたインフラストラクチャ・アズ・コードファイル、ネットワーク図またはトポロジの書面による説明、および変更内容とその理由の概要を求めてください。監視が設定されている場合は、アラートルールとそれらがどこにルーティングされるかも入手する必要があります。接続に影響を与えるものについては、ロールバック手順を要求してください。

How do I choose the right engineer for a security engagement?

あるクラウドのネットワーク設計は別のクラウドにきれいに移行しないため、リストをプロバイダーとアーキテクチャに合わせます。リストの検証済み購入レビューを読み、無敵を約束するのではなく方法を説明するエンジニアを探し、環境への書き込みアクセスを許可する前に、短いコンサルテーションまたは読み取り専用監査から始めます。