What does a cloud security audit typically cover?

일반적인 감사는 ID 및 접근 정책, 공개적으로 노출된 리소스, 방화벽 및 보안 그룹 규칙, 스토리지 버킷 권한, 암호화 설정, 로깅 범위 및 관리형 서비스의 패치를 검토합니다. 결과물은 일반적으로 권장 수정 사항과 함께 심각도별로 발견 사항을 나열한 서면 보고서입니다. Zinner에게 보고만 하는지, 아니면 개선 사항도 구현하는지 확인하십시오.

How much access does a security engineer need to my account?

감사의 경우 읽기 전용 접근 권한으로 충분한 경우가 많습니다. 대부분의 공급자는 내장된 보안 감사자 또는 뷰어 역할을 제공합니다. 구현 작업의 경우 변경되는 특정 서비스에 한정된 전용 계정을 부여하고, 다단계 인증을 활성화하며, 주문이 완료되면 이를 취소하십시오. 루트 또는 소유자 자격 증명을 공유하지 마십시오. 부여한 접근 권한을 기록하여 되돌릴 수 있도록 하십시오.

How is this work priced?

각 Zinner는 목록에 자신의 USD 가격을 미리 설정하고 표시합니다. 보안 작업은 일반적으로 단일 환경에 대한 고정 범위 감사 또는 구현을 위한 엔지니어링 시간 블록으로 판매됩니다. 클라우드 리소스 자체는 공급자가 직접 청구하며 Zinner에게 지불하는 가격의 일부가 아닙니다.

What is least privilege and why does it come up so often?

최소 권한은 모든 사용자, 서비스 및 워크로드가 자신의 작업을 수행하는 데 필요한 권한만 보유하고 그 이상은 보유하지 않음을 의미합니다. 이는 대부분의 클라우드 사고가 편의를 위해 부여되었지만 결코 좁혀지지 않은 과도하게 광범위한 역할을 통해 확대되기 때문에 중요합니다. 이 범주의 엔지니어는 일반적으로 현재 권한을 매핑하고, 사용되지 않는 권한을 식별하며, 광범위한 정책을 범위가 지정된 역할로 대체합니다.

What should I receive when the work is handed over?

자신의 계정에 적용된 구성, 리포지토리에 커밋된 코드형 인프라 파일, 네트워크 다이어그램 또는 토폴로지에 대한 서면 설명, 그리고 변경된 내용과 이유에 대한 요약을 요청하십시오. 모니터링이 구성된 경우 경고 규칙과 라우팅 위치도 받아야 합니다. 연결에 영향을 미치는 모든 것에 대한 롤백 지침을 요청하십시오.

How do I choose the right engineer for a security engagement?

한 클라우드의 네트워크 설계가 다른 클라우드로 깔끔하게 이전되지 않으므로 목록을 공급자 및 아키텍처와 일치시키십시오. 목록에 있는 검증된 구매 후기를 읽고, 무적을 약속하기보다는 방법을 설명하는 엔지니어를 찾고, 환경에 대한 쓰기 접근 권한을 부여하기 전에 짧은 상담 또는 읽기 전용 감사로 시작하십시오.