Audyt klastra zakończony usunięciem znalezionych problemów

Realizacja opisana bez nazwy klienta i bez szczegółów, które pozwoliłyby zidentyfikować środowisko. Charakter znalezisk oddany wiernie.

Dlaczego audyt

Środowisko rosło latami, obsługiwane po drodze przez kilka osób i firm. Nikt nie miał pełnego obrazu: co jest wystawione na zewnątrz, kto ma jeszcze dostęp, które poświadczenia dalej działają.

Zakres przeglądu

• Co dokładnie jest osiągalne z internetu i czy musi być
• Izolacja między przestrzeniami nazw i ruch między usługami wewnątrz klastra
• Uprawnienia kont i dostęp administracyjny — ze szczególnym uwzględnieniem tych, które zostały po zakończonych współpracach
• Rozproszenie sekretów: gdzie leżą hasła, klucze i tokeny

Co się stało po audycie

To jest część, która zwykle nie następuje. Raport nie trafił do szuflady — znaleziska zostały usunięte w ramach tego samego zlecenia:

• Zamknięcie tego, co nie musiało być wystawione
• Uporządkowanie uprawnień i wycofanie dostępów, które nie powinny już istnieć
• Przeniesienie poświadczeń do HashiCorp Vault; w repozytoriach zostały wyłącznie wskaźniki do sekretów, nigdy ich wartości
• Rotacja kluczy, które mogły wyciec albo były zbyt stare, żeby im ufać

Co zostaje klientowi

Dokument opisujący, co znaleziono, co naprawiono i co świadomie zostało bez zmian wraz z uzasadnieniem. Nadaje się do pokazania audytorowi, ubezpieczycielowi albo kontrahentowi pytającemu o bezpieczeństwo — bo opisuje stan faktyczny po naprawie, a nie listę życzeń.