TREN
Görüşme PlanlayınGörüşme Planlayın

Bulut ve Kimlik Güvenliği

Bulut, Kubernetes ve Altyapı Güvenliği

Bulutta altyapıyı sağlayıcı korur. Kimlikler, izinler ve yapılandırma ise sizin sorumluluğunuzdadır. AWS, Azure, Google Cloud ve Kubernetes ortamlarınızdaki rolleri inceliyoruz. Tek bir hatalı iznin nereye kadar uzandığını gösteriyoruz.

Bulut Değerlendirmesi Talep EtTüm Hizmet Alanları

Bulut, Kubernetes ve Altyapı Güvenliği

Bulutta izinler kod kadar sık değişir. Tek başına zararsız görünen izinler birleşince tüm hesaba erişim verebilir. Bunun için bir rolün başka bir rolü üstlenebilmesi yeterlidir. Sızmış tek bir erişim anahtarıyla, hiçbir ağ sınırı aşılmadan veriye ulaşılabilir.

İhtiyaç

Hangi durumlarda ihtiyaç duyulur?

  • Buluta geçtikten sonra, ilk kurulumdaki geçici izinler kalıcı hâle gelmeden önce.
  • Bulut hesaplarınız çoğaldığında ve aralarındaki güven ilişkileri karmaşıklaştığında.
  • Kubernetes üzerinde müşteriye açık bir uygulama yayına alınmadan önce.
  • Bir denetçi veya düzenleyici, bulut ortamınızın bağımsız değerlendirmesini istediğinde.

Sorular

Bu çalışma neyi yanıtlar?

  1. Bulut hesaplarımızda gerekenden fazla yetkiye sahip kimlik var mı?
  2. Sızan bir erişim anahtarıyla hangi verilere ulaşılabilir?
  3. Ele geçirilen bir iş yükü Kubernetes kümesine ve diğer hesaplara yayılabilir mi?
  4. Bir olayda gerekli kayıtlara ve kanıtlara ulaşabilir miyiz?

Bulut, Kubernetes ve Altyapı Güvenliği

Neler yapıyoruz

  • AWS, Azure ve Google Cloud Güvenlik Değerlendirmesi

    Hesaplarınızdaki yapılandırma ve rolleri gerçekçi ele geçirilme senaryolarıyla inceleriz.

  • Bulut IAM ve Yetki Analizi

    Fazla yetkileri ve rol üstlenme zincirleriyle oluşan saldırı yollarını çıkarırız.

  • Kubernetes Güvenlik Değerlendirmesi

    Küme yapılandırmasını, RBAC yetkilerini ve ağ politikalarını inceleriz.

  • Konteyner Çalışma Ortamı Güvenliği

    Konteyner izinlerini ve yalıtımını inceleriz. Bir konteynerden ana makineye geçiş riskine bakarız.

  • Bulut Ağ Mimarisi ve Segmentasyon

    Ağlar arası erişimi ve yönetim arayüzlerinin internetten ayrımını inceleriz.

  • Depolama, Veritabanı ve Yedek Güvenliği

    Depolama ve veritabanlarındaki erişim ve şifreleme kontrollerini inceleriz. Bir saldırganın yedeklerinizi silip silemeyeceğine bakarız.

  • Secret ve Anahtar Yönetimi

    Anahtar ve parolaların nerede saklandığını ve kimin erişebildiğini inceleriz. Ne sıklıkla yenilendiklerine bakarız.

  • Microsoft 365 ve SaaS Güvenliği

    Tenant ayarlarını ve dış paylaşımı inceleriz. Üçüncü taraf uygulamalara verilen izinlere bakarız.

  • Sunucu ve İşletim Sistemi Sıkılaştırma

    Gereksiz servis ve hesapları kaldırırız. Sunucuları onaylı bir güvenlik yapılandırmasına getiririz.

  • Bulut Olay Müdahale Hazırlığı

    Bir olayda gerekecek logları ve izolasyon yetkilerini önceden hazırlarız.

  • Hibrit Altyapı Güvenlik Mimarisi

    Kurum içi sistemlerle bulut arasındaki kimlik eşitlemeyi ve güven ilişkilerini değerlendiririz.

  • Bulut Sızma Testi

    Sızmış bir anahtarla bulut hesabında ne kadar ilerlenebileceğini deneriz.

Kapsam

AWS, Azure ve Google Cloud hesapları, Kubernetes kümeleri, Microsoft 365 ve kurum içi bağlantılar. İnceleme salt okuma yetkili bir hesapla başlar. Aktif test adımları ayrıca onaylanır.

Çalışma yöntemi

Bulguları tek tek listelemek yerine yetki zincirlerini çıkarırız. Bir zincir, bir kimlikten hassas bir kaynağa uzanır. Kritik zincirleri onayınızla ve kontrollü olarak deneriz.

Çıktılar

Teslim edilenler

Bir kimlikten hassas kaynağa uzanan yetki zincirleri. Her zinciri kesen en küçük izin değişikliği. Öncelik sırasına konmuş yapılandırma düzeltmeleri.

NotBulut ve kimlik değerlendirmesi birlikte yapılınca, kurum içindeki bir hesaptan buluttaki veriye uzanan yollar da görünür.

İlgili hizmetler

Kimlik ve Ayrıcalıklı Erişim Güvenliği Sıradan bir hesaptan yönetici yetkisine giden yolları tespit ediyor ve bu yolları kapatıyoruz. İnceleyin DevSecOps ve Yazılım Tedarik Zinciri Kodun depodan üretime giden yolunu yetkisiz değişikliklere karşı koruyoruz. İnceleyin Olay Müdahale ve Adli Bilişim Bir siber olayda yaşananları kanıta dayalı olarak belirliyor, sistemlerinizi güvenle yeniden devreye alıyoruz. İnceleyin

Bulut Değerlendirmesi Talep Et

Hedefinizi ve kritik sistemlerinizi paylaşın. Doğru kapsamı ilk görüşmede netleştirelim.

Görüşme Planlayın